De positie van MSP’s in de supply chain is een hot topic. Ashley Schut, Head of MSP bij ESET in Nederland, gaat hier dieper op in. ‘Gezien de sleutelrol van MSP’s, en het risico op incidenten, is het logisch dat de securitywetgeving NIS2 ook expliciet voor deze ondernemingen gaat gelden.’
“We zien dat MSP’s zelf steeds vaker het doelwit van cybercriminelen zijn”, aldus Ashley Schut, “maar tegelijkertijd kan intensieve samenwerking tussen partijen in de keten heel effectief zijn. Dat kunnen samenwerkingen zijn tussen verschillende MSP’s met hun eigen specialisme, maar ook een nauwe samenwerking tussen de MSP en een vendor, zoals ESET.”
Schut: “Als we kijken naar de kwetsbaarheid van MSP’s voor cyberaanvallen, dan zien we dat het vaak om relatief kleine ondernemingen gaat die wel een IT-scope hebben van een enterprise omdat ze vaak meerdere klanten bedienen. Gezien hun eigen omvang is automatisering een must, daar kunnen ze niet omheen. Ze hebben immers nogal wat nodig om hun klanten goed te kunnen bedienen: namelijk toegang tot klantsystemen, tooling (zoals remote access tools) en netwerkconnectiviteit”
Schut: “Het is dan belangrijk voor een MSP om te weten welke tooling precies waarvoor wordt gebruikt binnen de omgeving, welke rechten die tools hebben en of sprake is van voldoende zichtbaarheid binnen de omgeving van de MSP. Als er een incident plaatsvindt, is het zaak dit tijdig te kunnen detecteren en hierop te reageren.”
NIS2 belangrijk voor MSP
“Gezien de sleutelrol van MSP’s, en het risico op incidenten, is het logisch dat de komende securitywetgeving NIS2 ook expliciet voor deze ondernemingen gaat gelden. Vanwege hun cruciale rol worden IT-dienstverleners binnen de richtlijn als een essentiële sector gezien. Zij gebruiken nu eenmaal vaak tooling om die eindklanten daadwerkelijk te helpen en hebben via en naar hun klanten een relatief groot aanvalsoppervlak. Binnen het mkb, dat toch de drijver is van onze economie, spelen deze serviceproviders bovendien een cruciale rol. Zij zijn de digitale motor. MSP’s hebben de kennis in huis om het mkb verder te helpen.”
Hack in supply chain
“Als we het hebben over de kwetsbaarheid van de supply chain, dan verwijs ik vaak naar de hack bij Solarwinds, die de boeken in is gegaan als ‘the boldest supply chain hack ever’. Veel grote bedrijven en overheidsinstellingen maakten gebruik van dat stuk Orion-software. Denk daarbij aan belangrijke diensten als Homeland Security in Amerika, en ook het Amerikaanse Ministerie van Defensie. Ik stel dan vaak dat MSP’s voor het mkb dezelfde functie hebben als Solarwinds destijds voor de Amerikaanse overheid. De service providers zijn de toegang tot de systemen van een groot aantal kleinere bedrijven. Daarom zijn ze een zo belangrijk onderdeel van de keten. En daarom moeten ze zich goed beveiligen in dit geval. Daar staat tegenover, dat als MSP’s hun zaken goed op orde hebben, en NIS2 zal dat afdwingen, zij het Nederlandse bedrijfsleven een stuk veiliger kunnen maken.”
Je kunt de kans op een incident als MSP echter wel verkleinen: door inventarisatie en bewuste keuzes.
Risicomanagement
“Het is een open deur, maar uiteraard weten we dat 100% veiligheid niet bestaat. Je kunt de kans op een incident als MSP echter wel verkleinen: door inventarisatie en bewuste keuzes. Begin daarom met gedegen risicomanagement: welke assets heb ik in mijn omgeving? Hoe snel kan ik reageren op een incident? Welke tooling heb ik en waar is die kwetsbaar? Heb ik goed inzichtelijk wat er allemaal in mijn omgeving hangt? Het is heel belangrijk het response- en recover-stuk goed in te richten, te testen en continu te optimaliseren. Dit om snel en adequaat te kunnen reageren op incidenten in de eigen omgeving en die van de klanten.”
“Gezien de complexiteit van security zien we steeds vaker dat een partner niet de complete stack kan oppakken. En dat hoeft ook niet. Zeker met de huidige uitdagingen op de arbeidsmarkt kan het niet zo zijn dat elke IT-dienstverlener, alles kan leveren. Ik denk dat daar juist de kracht van samenwerken naar boven komt. Dan kies je voor co-creatie, samen met andere partners of de vendor. Een voorbeeld hiervan zijn onze Managed Detection & Response-diensten (MDR), die wij samen met onze MSP’s richting klanten aanbieden en hierin ook echt samen werken aan een propositie die verweven wordt met elkaar.”
“Ons advies is daarom nadrukkelijk: ‘Maak hierin een bewuste keuze, en wees niet bang om samen te werken. Kijk naar de kennis en kunde die je in huis hebt, analyseer wat jouw ideale klant is en wat die wil, en specialiseer je. Daar kunnen wij de partners als vendor zeker bij helpen, bijvoorbeeld in de vorm van trainingen. Of door het geven van health checks om de MSP handvatten te bieden met betrekking tot hun eigen security. En uiteraard blijft de MSP met het directe klantcontact en kennis van de sector altijd in de lead.”
