Hoe kies je een IT-security partner als MKB-bedrijf?

MKB-bedrijven zoeken steeds vaker een externe security-partner. De markt zit vol met partijen die zich IT-security expert of information security expert noemen. Het verschil tussen die partijen wordt pas zichtbaar zodra je een aantal concrete vragen stelt.

In deze blog lopen we vier onderwerpen langs waarop dat verschil meestal blijkt, met bij elk onderwerp de vragen die je meeneemt naar een kennismakingsgesprek.

Kort samengevat

• Een goede security-partner is transparant over verdienmodel en productkeuzes. 
• Vraag door op continuïteit: wie staat er morgen voor je klaar als de consultant wegvalt?
• Heldere afspraken over resultaten en kosten voorkomen verrassingen.
• Niet elke security-partij past bij een MKB-schaal, ook al spreken ze de juiste taal.
  
  

Hoe transparant is je adviseur over producten en verdienmodel?

Sommige security-partijen verdienen vooral aan de software, hardware of licenties die ze aanraden. Andere partijen geven puur advies. De meeste zitten ergens daartussen. Het belangrijkste is dat de motivatie achter een productkeuze open op tafel ligt. Een goede adviseur legt uit waarom hij of zij een bepaalde tool aanraadt, of er een alternatief is, en welk belang er meespeelt.

Vragen om te stellen:

• Verkopen jullie zelf software of licenties, of werken jullie met vaste leveranciers?
• Krijgen jullie commissie of vergoedingen van die leveranciers?
• Waarom raden jullie deze specifieke tool aan, en wat is het alternatief?
  
  

Wat gebeurt er als jouw vaste aanspreekpunt wegvalt?

Veel security-consultancy draait op één of een paar centrale personen. Als een van hen wegvalt door ziekte, vertrek of pensioen, kan de kennis snel verdwijnen. Vraag hoe je security-partner dat heeft opgevangen: via een team, een back-up-partner, schriftelijke vastlegging van afspraken, of een combinatie.

Een externe security-officer als CISO is alleen zinvol als er een team achter staat dat opvangt en meedenkt. Dat geldt voor grote partijen en voor kleine teams. 

Vragen om te stellen:

• Wie is mijn vaste aanspreekpunt, en wie neemt het over als hij of zij wegvalt?
• Hoe leggen jullie afspraken en kennis vast zodat een ander het kan overnemen?
• Werken jullie samen met andere partijen voor opvang bij langere afwezigheid?
  
  

Wat krijg je concreet voor je geld?

“Een security-traject” of “begeleiding bij NIS2” zegt nog niets over wat er feitelijk wordt geleverd. Vraag wat er concreet wordt opgeleverd: rapporten, sessies, uren. Bij een pentest of security-scan is dat bijvoorbeeld een rapport met bevindingen en concrete aanbevelingen. En vraag wat er gebeurt als het werk groter wordt dan vooraf ingeschat.

Vragen om te stellen:

• Welke documenten of rapporten leveren jullie op?
• Hoeveel uur of welke contactmomenten zitten er in het tarief?
• Wat gebeurt er bij meerwerk of een incident buiten de afgesproken uren?
  
  

Past de partij bij de MKB-schaal?

Veel security-experts hebben hun ervaring opgedaan bij banken, ziekenhuizen of multinationals. Daar zijn budgetten en teams groter, en het advies past zelden direct op een MKB-omgeving. Een security-partner die het MKB kent, denkt mee in haalbare stappen en in kosten die kloppen bij jouw bedrijf.

Vragen om te stellen:

• Welke MKB-bedrijven hebben jullie eerder geholpen, en in welke branches?
• Hoe vertaal je adviezen naar een MKB-budget?
• Werken jullie met vaste tarieven of strippenkaarten voor kleinere vragen?