Managed security services: afspraken die tellen
Managed security services betekent dat een externe partij beveiligingstaken van je overneemt. Wat daaronder valt verschilt sterk per aanbieder, en juist dat verschil bepaalt of het aansluit op wat je nodig hebt.
Drie modellen uit elkaar gehouden
Beheerde beveiliging: de leverancier beheert firewalls, endpointsoftware en updates. Nadruk op onderhoud, minder op detectie. MDR: detectie en opvolging staan centraal, inclusief het mandaat om in te grijpen bij een incident. Doorstuurdienst: meldingen worden doorgezet naar jouw team zonder eigen analyse, wat werk verplaatst in plaats van wegneemt.
Vraag bij elke offerte welk van deze drie je koopt. De termen worden door elkaar gebruikt, de prijsverschillen zijn groot en de uitkomst bij een incident verschilt volledig.
Reken de dienst door naast de licentie zelf, zoals de prijzen van Bitdefender GravityZone per apparaat per jaar. Uitbesteden verplaatst het werk, niet de verantwoordelijkheid. Onder de Cyberbeveiligingswet blijft je eigen bestuur aanspreekbaar op de zorgplicht, ook wanneer een leverancier de uitvoering doet. Leg daarom vast wat je van die leverancier terugkrijgt aan rapportage en bewijs.
Wanneer uitbesteden verstandig is
Mkb en zakelijke dienstverlening
Onder ongeveer vijftig medewerkers is eigen bewaking buiten kantooruren niet rond te krijgen. Uitbesteden dekt dan het gat waarin de meeste aanvallen starten.
Industrie en productie
Kies een partij met ervaring in productieomgevingen. Standaardmaatregelen die een systeem opnieuw opstarten, zijn daar niet zonder gevolgen.
E-commerce en platforms
Continuïteit telt zwaar en het aantal meldingen ligt hoog. Spreek reactietijden af per prioriteit, en toets die achteraf aan de rapportage.
Zorg en onderwijs
Bij toegang tot gevoelige gegevens hoort een verwerkersovereenkomst, met afspraken over waar gegevens staan en wie erbij kan.
Overheid
Aanbestedingen vragen om vastgelegde eisen. Beschrijf de gewenste dienst in termen van bronnen, dekking en reactietijden, niet in productnamen.
Financiële dienstverlening
DORA vraagt om zicht op kritieke ICT-leveranciers, met een exitstrategie en het recht om te toetsen. Neem die punten op in het contract.
Wie doet wat, zwart op wit
Detectie en beoordeling
Wie kijkt naar meldingen, binnen welke tijd, en op welke dagen en uren. Vraag naar de bezetting achter de belofte, niet alleen naar de belofte.
Ingrijpen bij een incident
Mag de leverancier zelf een account blokkeren of een werkplek isoleren, en wie bevestigt dat. Zonder mandaat verliest elke minuut waarde.
Herstel en onderzoek
Valt forensisch onderzoek binnen het contract of is dat meerwerk tegen dagtarief. Dat verschil merk je pas op het slechtste moment.
Rapportage en bewijs
Maandelijkse cijfers over doorlooptijden en meldingen, bruikbaar richting auditor of toezichthouder.
Zeven vragen voor je tekent
- Welke systemen en logbronnen worden aangesloten, en wat gebeurt er zodra een bron stilvalt?
- Op welke uren wordt er daadwerkelijk gekeken, inclusief feestdagen?
- Binnen hoeveel minuten kijkt iemand naar een melding met hoge prioriteit?
- Welke handelingen mag de leverancier zelf uitvoeren tijdens een incident?
- Wat gebeurt er bij een grote uitbraak waarbij meerdere klanten tegelijk hulp vragen?
- Van wie zijn de detectieregels en de historische logging na afloop van het contract?
- Welke rapportage lever je maandelijks, en is die bruikbaar als bewijs richting een toezichthouder?
Leg de antwoorden vast in de overeenkomst. Een dienstbeschrijving zonder cijfers laat achteraf ruimte voor discussie op het moment dat je die het minst kunt gebruiken.
Van uitvraag naar werkende dienst
Reikwijdte en doel bepalen
We brengen in kaart welke systemen, data en beheeronderdelen onder managed security vallen, zoals Microsoft 365, endpoints, servers, firewalls, cloudomgevingen en back-ups. We bepalen waar de grootste risico’s zitten en welke doelen gelden voor detectie, opvolging en rapportage.
Analyse van huidige beveiliging en detectiepunten
We beoordelen bestaande maatregelen en beschikbare logbronnen. We bepalen welke bronnen ontbreken en welke meldingen relevant zijn. Denk aan accounts, rechten, netwerkverkeer, endpoint-events en cloudlogs. Zo ontstaat een basis voor herkenning van afwijkingen en bruikbare detectie.
Monitoring en incidentrespons inrichten
We richten monitoring technisch in met logverzameling, correlatie en detectieregels, gekoppeld aan EDR/XDR waar nodig. Tegelijk leggen we escalatieroutes, contactmomenten en verantwoordelijkheden vast. Daardoor worden signalen niet alleen gezien, maar ook opgevolgd met duidelijke acties.
Controle en voortdurende optimalisatie
Dreigingen en omgevingen veranderen continu, dus managed security moet meebewegen. Periodieke evaluaties verbeteren detectieregels, rapportages en opvolging. Zo blijft beveiliging aantoonbaar, actueel en passend bij bedrijfsrisico’s en nalevingseisen.
Waar de prijs door bepaald wordt
Prijsmodellen lopen uiteen: per medewerker, per apparaat, per aangesloten bron of per hoeveelheid verwerkte logging. Dat laatste model verrast het vaakst, omdat het volume groeit zodra je meer bronnen aansluit. Vraag een indicatie op basis van je huidige omvang plus twintig procent groei.
Reken daarnaast op eigen uren. Een externe dienst neemt de bewaking over, terwijl herstel, patchen en het opschonen van accounts meestal bij je eigen beheerorganisatie blijven liggen.
Waarom uitbesteden soms tegenvalt
Meldingen zonder ontvanger. De dienstverlener meldt netjes, en aan jouw kant kijkt niemand buiten kantooruren mee. Leg een telefoonnummer vast en test het.
Geen bevoegdheid om te handelen. Detectie zonder mandaat levert een nauwkeurig verslag op van wat er misging.
Vastzitten aan één partij. Detectieregels en historische logging die eigendom zijn van de leverancier maken overstappen duur. Regel dit vooraf.
Verwachtingen die niet kloppen. Uitbesteden vervangt geen basis: updates, back-ups en toegangsbeheer blijven jouw werk. Zie informatiebeveiliging.