F-Secure: Security nog te vaak reactief

Van sprint naar consolidatie, van uithijgen tot vooruitkijken: dat is wereldwijd voor organisaties de stand van zaken op IT-gebied na anderhalf jaar coronacrisis. De thuiswerkplek is ingebed in de IT-omgeving, transities naar (hybride) cloudomgevingen zijn afgerond of onderweg. Het wordt hoog tijd voor IT-beslissers om te kijken of in deze transitie security afdoende is meegenomen. En, nog belangrijker volgens Roy van den Hoogen en Robert Scholten van F-Secure: hoe dit keer security echt integraal mee te nemen in alle aspecten van IT en haar gebruikers. “Het is niet de vraag of, maar wanneer je wordt aangevallen. Dan moet je zicht hebben op je IT-omgeving, zodat je zo snel mogelijk kunt ingrijpen als er iets mis gaat.”

Iedereen in de IT-wereld – werkplekleveranciers, IT vendoren, serviceproviders’s – is de afgelopen anderhalf jaar in een digitale versnelling geraakt. Elke organisatie was noodgedwongen bezig met mobiele en thuiswerkplekken. Vanuit de leverancierskant heeft dit positief uitgepakt. “We gaan nu deels terug naar kantoor, maar hybride werken is de toekomst voor vrijwel elke organisatie”, verwacht Roy van den Hoogen, marketing manager Benelux bij F-Secure. “Alleen krijg je nu bij veel organisaties de vraag: Hoe vul je mobiel en thuis werken in alle facetten optimaal in?”

De transformatie van de werkplek naar vooral thuis is goed verlopen. Maar als het gaat om cybersecurity, ziet Van den Hoogen veel vraagstukken van organisaties die - nog middenin de digitale stroomversnelling - moeten bedenken wat dit aan verandering inhoudt op langere termijn. “Je ziet dagelijks in het nieuws alle cybersecurity-issues. De cruciale factor blijft de mens: de mens als kwetsbare schakel, maar ook als het gaat om schaarse cybersecurity-experts.”

IT-wereld dynamisch geworden
De IT-wereld is dynamisch geworden, nu ook meer traditionele organisaties mee moeten met ontwikkelingen op gebieden zoals cloud-adoptie en hybride werken”, vult Robert Scholten aan. “Je krijgt een prioriteitenlijstje. Met toepassingen naar de cloud gaan, een hybride werkplek met overal goede connectiviteit, alle toepassingen voorhanden en goed beveiligd. Dat betekent ook aanpassing van je IT-beleid: welke uitrol van toepassingen geef je voorrang?”

Wat F-Secure volgens de Business Manager MDR (managed detection & response) Benelux ziet is, dat ook in de huidige digitale stroomversnelling security vaak achteraf wordt meegenomen. “Eerst wilde men kunnen doorwerken, security kwam later. Het gevolg: een enorme toename van hacks en ransomware-aanvallen.”

Nu lopen veel organisaties achter de feiten aan en moeten ze het security-landschap consolideren middenin een digitale transformatie. Zelfs grote organisaties zie je nu slachtoffer worden van de opengegooide achterdeur, merkt Scholten. “En in segmenten als midmarket, mkb, hebben organisaties vaak niet het geld of de expertise om zelf met die nieuwe security-vraagstukken aan de slag te gaan.

Overzicht en inzicht
Kortom, IT-beslissers hebben overzicht en inzicht nodig: van het IT-landschap van hun organisatie, en van de benodigde security. En daarvoor heb je vaak externe resources nodig, met mensen die in security gespecialiseerd zijn.

Scholten: “Security als agendapunt komt steeds meer naar voren en dat is positief. Maar het security-aanbod is divers en complex en resources om de juiste keuzes te maken en uit te voeren zijn beperkt. Bedrijven hebben dus externe partijen nodig om ze te helpen door de bomen het bos te zien, de voor hun bedrijf juiste security-technologie en -beleid te kiezen en dit vervolgens 24/7 te beheren. Zodat zij door kunnen gaan met hun dagelijkse processen.”

Grip nodig
Makkelijker is dit niet geworden. Mensen werken vanuit huis met verschillende security-oplossingen. Vaak ontbreekt het aan een algemeen security beleid vanuit de organisatie, of het is niet proactief. Steeds meer werkplekken en -toepassingen komen daarnaast vanuit de cloud, waarvandaan ook steeds meer security wordt aangeboden. Maar ook daar moeten bedrijven zoeken naar de best passende oplossingen voor hun organisatie, hun IT-omgeving en hun processen. “Consolidatie is mooi, maar men heeft grip nodig”, benadrukt Scholten. “Het is niet de vraag, óf, maar wanneer je wordt aangevallen. Dan moet je zicht hebben op je IT-omgeving, zodat je zo snel mogelijk kunt ingrijpen als er iets mis gaat.”

IT-beslissers hebben volgens Scholten experts nodig die security vanuit een architectuur-oogpunt bekijken en inzetten, teruggaan naar een stukje maatwerk op basis van standaard bouwblokken. “Samen, als partners, met de IT- en security-specialisten van een organisatie, gaan wij als F-Secure zo naar het gewenste resultaat. Nu de digitale versnelling leidt tot veel migraties naar nieuwe IT-infrastructuren, zoals van Azure of AWS, is dit belangrijker dan ooit. IT wordt hybride, niet volledig cloud, niet volledig on premise. En daar moet één enkele security-laag overheen.”

Externe expertise
De trend om meer op externe specialisten te leunen, is onomkeerbaar. Een bedrijf met 10.000+ werknemers heeft die expertise wellicht merendeels zelf in huis. De rest is mkb en mkb+. Zij zullen deels moeten leunen op IT-partners zoals managed security service providers, weet Scholten. “Maar ook voor die IT-aanbieders is security steeds complexer geworden. En ook zij moeten deels leunen op specialisten. Dat is toch de leverancier, zoals in ons geval op het gebied van endpoint security, met ons managed detection & response (MDR)-portfolio.”

Nu gaat MDR vooral nog direct tussen F-Secure en klant, maar ook daar zie je samenwerking tussen kanaal en fabrikant opkomen, stelt Van den Hoogen. “We kunnen op alle bestaande oplossingen en platformen een laag met managed detection & response bouwen. Dat is ook nodig nu endpoints structureel op diverse locaties gebruikt zullen worden. Het aanvalsoppervlak wordt in ieder geval niet kleiner. Bovendien verandert dat oppervlak voortdurend. Kijk maar naar de Kaseya-aanval eerder dit jaar, waarbij een kwetsbaarheid gebruikt wordt van een beheerplatform van een toeleverancier om zo via service providers aanvallen op hun klanten uit te voeren.”

Van den Hoogen kan niet beloven dat leveranciers in de huidige digitale versnelling en consolidatie security-vraagstukken eenvoudiger kunnen maken voor de CIO of CISO. “Maar we kunnen ze wel inzichtelijker maken voor en met de IT-beslisser: wat zijn ontwikkelingen in security en malware, hoe kan ik dat op de juiste manier aan de directie laten zien, hoe kun je de return on investment van cybersecurity tonen? Wij kunnen dat vrij goed aantonen met de combinatie van ons MDR-platform en onze overige diensten. Via onze cloud-oplossing F-Secure Elements kunnen we elke endpoint vanuit de cloud beveiligen en laten zien wat dat oplevert. Daarnaast zorgt ons cloud gebaseerde Elements platform voor een complete consolidatie van alle facetten van security: endpoint protection, endpoint detection & response, vulnerability management en collaboration protection voor onder andere M365. Dit biedt overzicht en gemak.”

Samenwerking is nodig
Wat een CIO of CISO hiervoor nodig heeft, is niet een leverancier die licenties levert met wat beheer en een SLA eronder, maar echte samenwerking. Scholten: “Om bijvoorbeeld een goede businesscase op te zetten, waarmee de security-verantwoordelijke naar de directie kan stappen. Wij nemen daarin alle afdelingen mee, niet alleen IT. Alleen zo kunnen we een goed beeld krijgen van de impact als er iets mis gaat, of de kosten van een oplossing in verhouding staan tot de kosten die je bespaart door aan malware-aanval tegen te houden of snel in te dammen. Want security is duur, specialisten zijn duur. Maar het C-level moet ook zien wat je bespaart en of dat in verhouding staat tot de investering.”

Dat, concludeert Scholten, is cruciaal: een goede vertaalslag maken van de ROI, zowel direct als op de langere termijn. Met grote regelmaat in de bestuurskamer tonen wat er is tegengehouden, wat de impact had kunnen zijn geweest als het niet tegengehouden was. “En neem dat ook mee in je strategie voor de toekomst, wetende dat je digitale transformatie waarschijnlijk nog wel een tijd doorgaat.”

CIO’s zien het belang van cybersecurity ook in als belangrijkste risicobron in een organisatie”, weet Scholten. “Zorg dus, als die aandacht er op C-level nog niet is, dat dit zo snel mogelijk wel gebeurt. De Benelux loopt op veel IT-gebieden in Europa en zelfs wereldwijd voorop. Maar op security-gebied is het nodig dat er altijd een CIO of CISO in het directieteam zit en dat is nu te vaak nog niet het geval.”

Auteur: Martijn Kregting