Why does the classic MSP security approach fail?

The full conversation, transcribed

De enige manier om je als MSP nog te onderscheiden in security... ...is door het gesprek te voeren dat je concurrent niet durft. We hebben het vandaag over een onderwerp waar niemand meer omheen kan. Security en compliance. Want cybercriminelen worden slimmer, AI ontwikkelt zich razendsnel... ...en de verantwoordelijkheid van de MSP wordt alleen maar groter. Wat moet je zelf kunnen? Wat besteed je uit? En wanneer ben je nou eigenlijk echt veilig? Wat verkoopt u dan? Realiteit, denk ik. En die realiteit is angstig. Ik zeg ook wel eens van ik verkoop eigenlijk helemaal niks. Ik bescherm tegen die realiteit in die realiteit. Die is angstig. Ik denk voor ons allemaal hier aan tafel. Voor mij in ieder geval is het ook zaak om als eerste altijd die realiteit onder ogen te krijgen van CISO, IT-manager, bestuur. En vanaf daar kan je gaan praten. En als ze daar dan bang van worden. Ja, daar kan ik mij niet zo wel aan doen, want dat is helaas hoe de wereld nu werkt. Ja, want het helpt denk ik wel hè, dat de CEO nu eindelijk weer eens bed uit moet komen voor IT. Nou, we hebben er jarenlang voor gestreden om het op dat niveau te tafel te krijgen en om het gesprek waar te voeren. Dus in die zin helpt het natuurlijk wel, maar het is jammer dat het onder een soort angst moet gebeuren. Want feitelijk gaat het om continuïteit en voorzorgen dat je je werk kunt blijven doen. Dat is de essentie. Ik denk dat er nog heel veel ontkenning is bij MKB Nederland, in ieder geval. Ik geloof best bij de corporate, waar het nu echt wel op de juiste agenda staat. Maar daar heeft de MSP wat te doen dan. Ja, daar heeft de MSP wat te doen. En de hele beleving bij veel ondernemers of CEO's is van, ja, dat overkomt mij niet, of bij mij is niets te halen, of ja, mijn MSP heeft het goed geregeld. Ik vind, kijk, mijn credo, en dat weten al mijn collega's, is security is geen premium. Dus elk MSP die zegt, oké, je moet bijbetalen voor X, bijbetalen voor Y, die zegt, joh, we doen geen Soxim. Dat vind ik gewoon niet oké. Dat kan niet. Je kunt niet bezuinigen op security. Je kunt niet zeggen dat onze werkplek €30, maar als hij veilig is €45. Dat valt. Dat kan niet. Nou, het is super lastig om experts te krijgen. En zelfs voor mij al. Ik heb geen nut om jou te bellen. Hij heeft er al een heleboel. Hij heeft er weer goeie bij. Ja, dat hebben we net geleerd. Die pool is gewoon heel klein. En je hebt ZZP'ers en dan heb je een aantal die bewust bij een expert willen gaan werken. Want jij bent de expert? Ik ben een van de experts inderdaad en daar zitten dus ook hele goede mensen. Maar om daar heel veel te gaan vinden is heel lastig. Er is best wel veel prijsdrukken. Dus het is best wel complex om uiteindelijk die kwalitatieve puzzel te leggen. En gewoon echt te zorgen dat je klanten veilig zijn. En ook nog een competitief prijsje neer te leggen. Voor ons lukt dat niet hè. Dus wij zeggen oké vanaf 200 sheets. Want anders zijn we gewoon te duur. We hebben het vak geprobeerd. We zijn gewoon te duur, dus wij kunnen niet zorgen dat we al onze certificeringen hebben, dat we goede mensen hebben, dat we een goed platform bouwen en ook nog een werkelijk leven voor krietentjes. Maar wat ik belangrijk vind om te zeggen, is dat ik omarm het feit wel dat wij niet alles zelf kunnen. Want ook al ben je misschien groot genoeg om te zeggen, nou je kan best wel een sok opbouwen en een mdr dienst opbouwen, die mensen die kan ik bijna niet aantrekken. Want die willen graag met gelijkgestemdes experts, peers die bij jou werken bijvoorbeeld. Maar dan nog loop je het risico dat het misgaat. En dan begint het eigenlijk pas echt. Dan heb je eigenlijk een soort interventie-team nodig, die forensisch zijn opgeleid, die precies weten. Hoe ga ik nou bijvoorbeeld met zo'n hackersgroep om? Of hoe doe ik nu een echt onderzoek tot hoever ze zijn gekomen? En dat stuk, dat is eigenlijk wat, nou ja, ik durf daar geen cijfers op te noemen, maar ik denk dat het heel logisch van het aantal MSPs die dat niet kunnen. Ja, misschien wel. Uiteindelijk gaat de wereld ook veranderen. Het is allemaal waar. Maar ik vind wel dat je de conceptuele kennis en ook de inhoudelijke kennis moet hebben. Sowieso. En los van de tool die je kiest. Maar ook in zijn bedrijf kan niets gebeuren. Er kan van alles gebeuren. Dus ik vind wel dat je... Je moet ook niet blind varen op de toolset die je hebt. Dat is ook levensgevaarlijk. Je moet het eindelijk allebei doen. Je hebt een bedrijf met 150 man, dus die expertise kan jij tot je nemen. Heb je een MSP met 20 man, dan is dat echt een heel stuk lastiger. Dan zie je dat ze vaak veel generalistische kennisniveaus hebben. Die jongens moeten van Endpoint Manager, tot Defender, tot Azure, tot Sentinel, dat moeten ze allemaal weten. En dan krijg je dus dat je geen, met alle respecten, geen expert hebt... die alleen maar Sentinel doet of die alleen maar Defender doet. En als je dat vanuit die generalistische kennis gaat benaderen... is het veel complexer om op het niveau te komen... waar Roderick zit met zijn adviezen over tenant hardening... wat daar echt over gaat dat je exact weet wat elk setting je doet... en wat de impact is. Maar ik denk wel dat een tool, welke tool het dan ook is... het is eigenlijk een beetje, zeg maar, downplayen wat je doet... Ik denk dat, en dat ligt ook onder de strategie van ons portfolio, we standardiseren. En die standardisatie wil je ergens in onderbrengen, om hem vervolgens ook op schaal repetitief uit te kunnen rollen en te kunnen monitoren. Maar ik ben het wel met jou eens, je moet wel weten wat je erin stelt. Als je kijkt naar AI, dat vind ik een beetje vergelijkbaar. Je kunt een app bouwen met AI, maar je hebt geen flauw idee hoe je die in elkaar zet. Als er dan wat gebeurt, ben je de pizang. En dat is dus tricky. En dan hoor ik dus eindklanten zeggen, ja, mijn MSP heeft nu dat en dat product. Dus hebben ze aangeschaft. Maar in principe is het gewoon een synchronisatietooltje. En die synchroniseert nog steeds die kennis die bij die generalistische wellicht MSP-speler zit. Die dan nog steeds die generalistische kennis, maar dan op grote schaal aan het pushen is veel sneller. Dus eigenlijk is het alleen maar gevaarlijk dat die tools er zijn zonder dat die kennis er is. Ja, precies, omdat je niet weet wat je pusht. Ik vind het er wel heel goed op. Ik denk dat als je geen beleid hebt, dan weet je ook niet waar je jezelf op richt. Ik vind dat het beleid dwingt je om na te denken over bepaalde keuzes, over bepaalde inrichting, over bepaalde gedragscodes, over een mediabeleid. Ik praat met klanten over mediabeleid, die hebben geen idee. Als hij het maakt, mag ik het ook, toch? Absoluut. Maar beleid is papier en tijger als je er niks mee doet. Dus het zit aan elkaar vast. Dus ik vind wel dat je uiteindelijk als je beleid opschrijft, dan moet je het ook executeren. En dan moet je ook in de PDCA zorgen dat je beter wordt. Ik ben het heel erg eens met 50-50, want het is techniek. We hadden het net over hardening en daarop letten... en allemaal termen als configuration drift management en ga zo maar door. Saaie dingen. Man, hou op, je moet het elke dag doen. Een stuk compliance is dat, toch? Maar daar begint het. Dat is ongelooflijk belangrijk. En dan moet je vervolgens die factor proberen te verminderen. Dat gaat nooit lukken, zoals je zei. Maar wel om die aandacht ook aan die mensen te geven... en dat dan terugkerend te blijven doen. Want er komen nieuwe mensen bij, die gaan weg. Mensen gaan op vakantie, komen terug, gaan door hun mailbox heen. Die weten het eigenlijk wel, maar die willen er snel doorheen. Misschien dat tweede keer dat dan droppen, dan AI, dan straks, dan zeg je, hoeveel samenvatting na mijn vakantie, is die kans al minder? En dat is NIST 2 natuurlijk ook op een bepaalde manier. Dus ik geloof wel dat je als MSP moet nadenken, oké, hoe ga ik dat stukje awareness, maar ook dat stukje compliance van het kunnen registreren van incidenten of dingen die er gebeurd zijn, dat kunnen terugherluiden. Daar zit ook een stuk verantwoordelijkheid bij de eindklant. Hoe tackle je dat? Dan zou je bewijzen van een PSA bij een eindklant in moeten zetten... om alle problemen daaronder te gaan registreren, wat natuurlijk onmogelijk is. Ja, kan, maar ja. Maar je kunt dat natuurlijk niet helemaal onder controle hebben. En als ik dan naar een eindklant brede neer, dan wat ik zelf doe, kan ik wel onder controle hebben. Dus als ik zelf bepaal op welke manier ik authenticeer naar die SaaS-providers... nou, dan heb ik in ieder geval een kleiner blikje te controleren... dan wat ik tegen de grote SaaS-bedrijven zeg, je moet je werk beter doen. Maar uiteindelijk is het mijn verantwoordelijkheid. AI is natuurlijk wel supergevaarlijk, maar met AI kan je heel snel kwetsbaarheden in een klantomgeving vinden en dat op schaal toetsen en aanvallen. Dus als je je talenthandeling dan niet op orde hebt, dan ben je wel een bokje. En als je dat toevallig niet hebt gezien, wat ook gebeurt, dan zijn al je klanten misschien wel een bokje. En dan kan je dus eigenlijk niet anders dan los van dat je je hardening op orde hoort te hebben, dan toch een MDH-achtige oplossing erachter zetten op niveau. Ik vind security nog steeds een ambacht, dus ik vind nog steeds dat mensen daarbij betrokken moeten blijven. Ja, zeker. Maar ik kan nu, binnen vijf minuten, de complete threat exposure van een tenant zien. Ik heb ook platformen met AI die we dan zelf hebben gebouwd. Waardoor ik binnen één minuut, of vijf minuten, compleet die talent uitlezen. Die is volledig gemapt op de CIS, de BIO, ga ze maar door. En dat is AI die erachter zit. Er is wel wat veranderd. We hebben het vaak over aanval en verdediging. Maar medewerkers gebruiken ook AI, best wel veelvuldig. Daar zit ook een super groot risico. Maar dat is dan de rol die wij als MSP moeten pakken om ervoor te zorgen dat die klant wel in staat blijft om te innoveren en door te ontwikkelen, maar dat we er wel voor zorgen met hem dat dat op een verantwoorde manier gebeurt. Zeker. Je moet er wel iets voor, niet? Maar het is wel verstandig om er iets voor in te richten. Maar er zit ook wel veel, vind ik, veel angst en veel Je moet het je ook niet laten gijzelen. Je moet het je ook niet laten verperken. De klanten, zeker in het begin, die schoten een soort totale kram. En die hebben ook wel een heel groot gedeelte van hun innovatiepotentieel gemist. Dus waarom die klant daar nog zit? Dat is dus heel veel te sterk werk. Dus dat is blijkbaar niet de ruimte om te investeren op verkeerd advies. Waarom zit jij in deze tijd nog op een faal scherm met een verre bak? Het eerlijke verhaal is, het kost gewoon x. Hij zegt net recht aanbakken. Het kost geld. Dus als die migratie plaats moet vinden, dan kost het gewoon x. TV Gelderland 2021