IT-beveiliging uitbesteden: wanneer is het slimmer dan zelf doen?

IT-beveiliging uitbesteden betekent dat u het bewaken, bijwerken en beveiligen van uw netwerk, werkplekken en data overdraagt aan een externe partij. Die partij houdt bij welke kwetsbaarheden er zijn, installeert updates, bewaakt verdachte activiteit en grijpt in als er iets misgaat. U betaalt daarvoor een vast bedrag per maand in plaats van te improviseren op het moment dat het misgaat.

De vraag is niet of beveiliging belangrijk is — dat weet elke ondernemer inmiddels. De vraag is of u het zelf kunt bijhouden. En daar wringt het bij de meeste mkb-bedrijven.

Waarom het mkb steeds vaker doelwit is

Er bestaat een hardnekkig idee dat cybercriminelen alleen achter grote bedrijven aan gaan. In de praktijk is het omgekeerde waar: het mkb is aantrekkelijk juist omdát de beveiliging er vaak zwakker is. Aanvallen worden grotendeels geautomatiseerd uitgevoerd. Scanners zoeken het hele internet af naar systemen met een bekende kwetsbaarheid, en of daar een bedrijf met vijf of vijfhonderd medewerkers achter zit, maakt de scanner niet uit.

Het gevolg is dat een klein bedrijf met achterstallige updates een makkelijker doelwit is dan een concern met een securityteam. Niet omdat iemand het specifiek op u gemunt heeft, maar omdat u toevallig openstond op het moment dat de scanner langskwam.

Waar het zelf doen meestal op stukloopt

Bij vrijwel elk bedrijf dat security zelf regelt, zien we dezelfde vier knelpunten terugkomen. Niet door onwil, maar omdat beveiliging werk is dat nooit af is.

• Updates blijven liggen. Niet uit nalatigheid, maar omdat updaten downtime kan geven en er altijd iets urgenters is.
• Niemand kijkt naar de logbestanden. Uw firewall registreert verdachte pogingen, maar als niemand die meldingen leest, gebeurt er niets mee.
• Kennis zit bij één persoon. Wanneer die medewerker vertrekt of ziek wordt, verdwijnt het overzicht met hem of haar.
• Back-ups worden nooit getest. Een back-up die niet is teruggezet, is een aanname — geen zekerheid.

Het patroon is telkens hetzelfde: beveiliging is geen project met een einddatum, maar onderhoud dat elke week aandacht vraagt. Zodra het naast iemands eigenlijke werk moet gebeuren, verliest het.

Wanneer loont uitbesteden?

Uitbesteden is geen automatische keuze. Er zijn situaties waarin het duidelijk loont, en situaties waarin u er nog even mee kunt wachten. Het omslagpunt ligt meestal bij een van deze signalen:

• U werkt met persoonsgegevens of klantdata waarvoor u onder de AVG aansprakelijk bent.
• Uw medewerkers werken hybride of thuis, waardoor het bedrijfsnetwerk verder reikt dan uw pand.
• U heeft geen actueel overzicht van welke apparaten er op uw netwerk zitten.
• Een dag zonder systemen zou uw bedrijf serieus geld kosten.
• U moet aantoonbaar voldoen aan eisen van klanten, verzekeraar of een certificering zoals ISO 27001 of NIS2.

Herkent u er twee of meer? Dan is de kans groot dat het risico van zelf doen inmiddels groter is dan de besparing. Herkent u er geen enkele, dan kunt u waarschijnlijk nog prima uit de voeten met goed ingerichte basisbeveiliging.

Wilt u eerst weten hoe uw beveiliging er nu voor staat? Neem dan onze checklist netwerkbeveiliging voor het mkb door — daarmee brengt u in een uur de grootste gaten in kaart.

Wat kost IT-beveiliging uitbesteden?

Prijzen worden bijna altijd per werkplek per maand berekend. Voor het mkb ligt dat doorgaans tussen de 15 en 45 euro per werkplek, afhankelijk van wat er onder het contract valt. Aan de onderkant zit meestal alleen monitoring en updatebeheer; aan de bovenkant komt daar actieve detectie, incidentafhandeling en periodieke rapportage bij.

Die bedragen lijken fors tot u ze afzet tegen de kosten van één incident. Bij ransomware bent u niet alleen bezig met herstel, maar ook met omzetverlies tijdens de stilstand, mogelijke meldplicht bij de Autoriteit Persoonsgegevens en het uitleggen aan uw klanten wat er met hun gegevens is gebeurd. De rekening van een week stilstand overtreft een jaarcontract vrijwel altijd.

Zes punten waarop u een securitypartner beoordeelt

De markt zit vol partijen die "security" op hun website zetten zonder duidelijk te maken wat ze concreet doen. Deze zes vragen scheiden de serieuze aanbieders van de rest:

• Wat valt er precies onder het contract — en wat expliciet niet? Vraag om een afbakening op papier.
• Hoe snel reageren ze bij een incident, en geldt dat ook buiten kantooruren? Laat responstijden vastleggen.
• Krijgt u periodiek een rapportage die u zelf begrijpt, of alleen een factuur?
• Testen ze de back-ups actief door ze terug te zetten, of controleren ze alleen of de back-up gedraaid heeft?
• Wie is uw vaste aanspreekpunt, en wat gebeurt er als die persoon er niet is?
• Kunt u het contract opzeggen zonder dat u de toegang tot uw eigen systemen kwijtraakt?

Vooral die laatste is belangrijk en wordt zelden gesteld. Zorg dat beheerwachtwoorden en licenties op naam van uw bedrijf staan, niet op naam van de leverancier. Anders koopt u geen dienst maar een afhankelijkheid.

Beveiliging begint bij het netwerk

Een veelgemaakte fout is denken dat beveiliging vooral software is. In de praktijk begint het een laag lager: bij hoe uw netwerk is ingericht. Staan gasten op hetzelfde netwerk als uw administratie? Kan een besmette laptop ongehinderd bij uw server? Segmentatie — het scheiden van netwerkverkeer in aparte zones — voorkomt dat één besmet apparaat het hele bedrijf meesleept.

Wij pakken beveiliging daarom altijd samen met de netwerkinrichting aan. Bekijk hoe wij cybersecurity en netwerkbeveiliging voor bedrijven invullen, van firewall en segmentatie tot monitoring en incidentopvolging.

Wie het beheer van de hele IT-omgeving in één hand wil houden — werkplekken, cloud én beveiliging — kiest meestal voor een breder contract in plaats van losse diensten. Dat scheelt niet alleen in prijs, maar vooral in de discussie over wie waarvoor verantwoordelijk is als er iets misgaat.

Meer daarover leest u op onze pagina over IT beheer en cloud uitbesteden, waar beveiliging onderdeel is van het totaalpakket.

Zit uw bedrijf in Vlaanderen? Dan verzorgt onze Belgische collega Axeron hetzelfde: IT uitbesteden voor kmo's, inclusief cybersecurity en Microsoft 365-beheer.

Kort samengevat

IT-beveiliging uitbesteden loont zodra u persoonsgegevens verwerkt, hybride werkt of stilstand u serieus geld kost. Reken op 15 tot 45 euro per werkplek per maand, en beoordeel een partij op afbakening, responstijd, rapportage en of u eigenaar blijft van uw eigen toegang. Begin niet met software maar met uw netwerkinrichting — daar zit doorgaans het grootste en goedkoopst te dichten gat.

Moet u kunnen aantonen dat uw beveiliging op orde is? Dan is een externe controle de volgende stap: we schreven apart over een IT-audit uitbesteden, inclusief kosten en voorbereiding.