Cybersecuritybedrijven in Nederland: welke soorten er zijn en hoe u de juiste kiest

Deze bedrijven ontwikkelen de firewalls, endpointbescherming, netwerkapparatuur en software waarop uw beveiliging draait. Voorbeelden zijn Check Point, Fortinet en Extreme Networks. U koopt hun technologie meestal via een integrator of een managed security service provider, die ook de inrichting en het beheer verzorgt.

Een integrator ontwerpt en implementeert securityoplossingen; een managed security service provider neemt daarna ook het beheer over. Dat beheer kan volledig zijn (fully managed) of gedeeld met uw eigen IT-team (co-managed). Dit type partij past als u technologie wilt laten inrichten en wilt dat die bij wijzigingen, updates en incidenten beheerd blijft.

Een Security Operations Center bewaakt uw omgeving op verdachte activiteit. Bij managed detection and response grijpt de aanbieder ook in zodra er iets gebeurt. Dit type partij past als u dreigingen snel wilt zien en opvolgen, zonder een eigen team dat dag en nacht paraat staat.

Deze partijen vallen uw systemen gecontroleerd aan om te laten zien hoe ver een aanvaller komt. U ontvangt een rapport met bevindingen en herstelvoorstellen. Kies hiervoor bij voorkeur een andere partij dan de beheerder van uw omgeving, zodat niemand zijn eigen werk test.

Adviesbureaus vertalen wetgeving en normen, zoals de Cyberbeveiligingswet en ISO 27001, naar beleid, processen en bewijsvoering. Certificerende instellingen staan daar los van: zij toetsen of u aan een norm voldoet en adviseren u daarom niet over de invulling.

Na een aanval stellen deze specialisten vast wat er is gebeurd, halen zij de aanvaller uit uw omgeving en begeleiden zij het herstel. Veel organisaties maken vooraf afspraken, zodat zij bij een incident niet eerst een partij hoeven te zoeken.

Operationele techniek, zoals PLC's, SCADA en andere besturingssystemen op de productievloer, vraagt een andere aanpak dan kantoor-IT. Die systemen draaien vaak jaren zonder updates, en een scan of patch op het verkeerde moment kan de lijn stilleggen. OT-specialisten werken met normen als IEC 62443 en segmenteren zonder de productie te raken.

Een algemene IT-dienstverlener beheert werkplekken, servers en netwerken en levert security vaak als onderdeel van dat pakket. Dat volstaat voor een basisniveau. Hebt u een productieomgeving, verplichtingen onder de Cyberbeveiligingswet of bedrijfskritische systemen, vraag dan hoeveel specialistische securitykennis er achter dat pakket zit.

Ervaring in uw sector scheelt uitleg. Een partij die productieomgevingen kent, plant onderhoud rond uw stilstandmomenten.

Vraag of de engineers in dienst zijn, op welke platformen zij gecertificeerd zijn en of u een vast aanspreekpunt krijgt.

ISO 27001 laat zien dat de aanbieder de eigen informatiebeveiliging op orde heeft. Vraag naar de scope en de geldigheid van het certificaat.

Leg vast wat de partij doet en wat bij uw eigen team blijft, zeker bij co-managed afspraken.

Vraag naar reactie- en hersteltijden per prioriteit, welke dienst wanneer bereikbaar is en wat er gebeurt als een afspraak niet wordt gehaald.

Onder de Cyberbeveiligingswet keurt uw bestuur de maatregelen goed en volgt het de uitvoering. Rapportages moeten dus leesbaar zijn voor de directie.

Een partij met één merk adviseert meestal dat merk. Vraag of de voorgestelde technologie aansluit op wat u al gebruikt.

Configuraties, documentatie en toegangen zijn van u. Leg vooraf vast hoe de overdracht verloopt.

Vraag waar die gegevens worden opgeslagen, wie er toegang toe heeft en onder welk recht de leverancier en zijn toeleveranciers vallen.

Een zorgvuldige partij begint met inzicht in uw omgeving en risico's, en pas daarna met een voorstel voor producten of beheer.