Quantumcomputing wordt vaak nog gezien als een technologie voor de verre toekomst. Toch bereiden grote securityleveranciers zich inmiddels actief voor op een tijdperk waarin bestaande versleutelingsmethoden niet langer vanzelfsprekend veilig zijn. Dat bleek deze week tijdens een door Palo Alto Networks georganiseerde Quantum-Safe Summit, waar de impact van quantumtechnologie op digitale beveiliging centraal stond.

Volgens de aanwezige experts kunnen huidige encryptiestandaarden binnen enkele jaren onder druk komen te staan. Niet omdat quantumcomputers morgen al breed inzetbaar zijn, maar omdat cybercriminelen nu al versleutelde data onderscheppen met het oog op toekomstige ontsleuteling. Deze zogenoemde ‘harvest now, decrypt later’-aanpak maakt dat gevoelige informatie ook op langere termijn risico kan lopen.

Voor veel organisaties klinkt dat nog abstract. In de praktijk is post-quantum security voor de meeste mkb-bedrijven geen acuut probleem. Toch schuift het onderwerp langzaam richting strategische agenda’s, mede doordat toezichthouders en sectoren als finance en overheid zich hier al actief op voorbereiden. Leveranciers spelen daarop in door hun beveiligingsplatforms geschikt te maken voor toekomstige cryptografiestandaarden.

Palo Alto Networks presenteerde tijdens het evenement zijn zogeheten Quantum-Safe Security-aanpak, waarmee organisaties inzicht moeten krijgen in waar en hoe encryptie binnen hun omgeving wordt gebruikt. Volgens het bedrijf is dat nodig omdat beveiliging vaak diep verweven zit in applicaties, netwerken en legacy-systemen, waardoor aanpassingen niet eenvoudig zijn.

Een belangrijk aandachtspunt is dat veel bestaande systemen niet zomaar kunnen worden aangepast aan nieuwe standaarden. In zulke gevallen wordt gekeken naar aanvullende beveiliging tijdens datatransport, zonder dat onderliggende applicaties hoeven te worden vervangen. Daarmee ontstaat een gefaseerde aanpak: eerst inventariseren, daarna voorbereiden en pas later overstappen op nieuwe vormen van encryptie.

Voor msp’s en IT-dienstverleners is post-quantum security voorlopig vooral een onderwerp voor roadmapgesprekken en strategische advisering. Klanten zullen hier op korte termijn zelden concreet om vragen, maar audits, compliance-eisen en security-assessments kunnen het thema wel steeds vaker aanstippen. Wie nu al globaal begrijpt wat er speelt, staat straks sterker in gesprekken over lange termijnbeveiliging.

Cisco zet een grote stap in de modernisering van zijn wereldwijde partnermodel. Na veertig jaar komt het bedrijf met een volledig vernieuwde aanpak: het Cisco 360 Partnerprogramma, dat op 1 februari 2026 officieel live gaat. De veranderingen raken vrijwel alle partners die met Cisco werken. Comstor speelt in de Benelux een sleutelrol in de begeleiding en voorbereiding van partners op deze transitie. Judy Lempersz, 360 Ambassador bij Comstor, vertelt hoe dat traject eruitziet en waarom het nieuwe programma meer is dan een administratieve vernieuwing.

Cisco wil met het nieuwe 360 Partnerprogramma afrekenen met de complexiteit die in de loop der jaren is ontstaan. De huidige structuur met vier partnerniveaus – Registered, Select, Premier en Gold – verdwijnt. Daarvoor in de plaats komen twee duidelijke categorieën: Cisco Partner en Cisco Preferred Partner. De status van een partner wordt bepaald aan de hand van een score tussen nul en tien. “Een score van 7,5 of hoger betekent dat je als Preferred Partner wordt erkend,” legt Lempersz uit. “Die score geeft dus niet alleen de omvang van de samenwerking weer, maar ook de mate waarin een partner actief werkt aan lifecycle management, klanttevredenheid en diensten.”

Dat laatste vormt meteen de kern van het nieuwe programma. Cisco wil partners stimuleren om verder te kijken dan productverkoop. Lifecycle selling en managed services staan centraal: partners worden aangemoedigd om de volledige levenscyclus van een oplossing te beheren en te optimaliseren. Lempersz: “Het gaat er niet meer om dat je iets verkoopt, maar dat je klanten helpt om het ook daadwerkelijk te benutten. Als ze meer waarde halen uit hun oplossingen, leidt dat vaak vanzelf tot verlengingen of uitbreidingen.”

PXP als spil in de samenwerking

De introductie van het Cisco Partner Experience Portal (PXP) is onlosmakelijk verbonden met het nieuwe programma. In dit platform worden alle partneractiviteiten, scores en data samengebracht. Waar Cisco voorheen met meerdere portals en tools werkte, is PXP bedoeld als het centrale toegangspunt. “Het is echt een one-stop-shop geworden,” zegt Lempersz. “Alle informatie over prestaties, trainingen en certificeringen is daar te vinden. Zonder PXP kun je als partner eigenlijk niet meer goed functioneren binnen Cisco 360.”

Judy Lempersz | Foto’s: Steven van Kooijk

Comstor helpt partners om het platform effectief te gebruiken. De distributeur kan – met toestemming van de partner – via de zogenoemde DPV-verbinding (Distributor Partner View) meekijken in het PXP-dashboard. “Daardoor kunnen we partners proactief begeleiden,” vertelt Lempersz. “We zien bijvoorbeeld welke onderdelen nog aandacht vragen en kunnen helpen met prioriteiten stellen. Zo bouwen we samen aan een plan van aanpak richting die Preferred-status. 98 procent van de partners vindt dat prettig, juist omdat het de voortgang inzichtelijk maakt.”

Volgens haar is dat ook nodig, want de lat ligt hoog. “Cisco vraagt echt commitment van partners. Daarom werken we stapsgewijs, met concrete acties per fase. Partners krijgen van ons een duidelijk stappenplan waarmee ze gericht kunnen toewerken naar de go-live in februari.”

Trainingen en certificeringen

Een belangrijk onderdeel van het programma is de Customer Experience (CX) Specialisation. Partners die deze kwalificatie behalen, tonen aan dat ze lifecycle management in de praktijk brengen. Daarvoor zijn onder meer examens en trainingen vereist, waaronder die voor de rol van Customer Success Manager (CSM). Comstor heeft deze trainingen inmiddels in huis gehaald via opleider Global Knowledge. “Eind oktober zijn we gestart met de eerste tweedaagse training inclusief examen,” vertelt Lempersz. “We begonnen met een selecte groep van vier partners, maar het doel is om dit structureel uit te rollen zodat meer partners CX-gecertificeerd kunnen worden.”

De CX-specialisatie vormt volgens haar de start van de hele 360-reis. “Zonder deze basis is het lastig om de vereiste score van 7,5 te halen. De training helpt partners niet alleen aan kennis, maar ook aan inzicht in de klantrelatie. Dat past bij de koers die Cisco wil varen.”

Ook op het gebied van licentiemodellen verandert er veel. Enterprise Agreements (EA’s) – raamcontracten waarin licenties en services worden gebundeld – worden nadrukkelijk onderdeel van het programma. “Wie met EA’s werkt, verdient extra punten binnen Cisco 360,” legt Lempersz uit. “Daarom hebben wij bij Comstor een gespecialiseerd team dat partners hierbij ondersteunt. Het gaat niet alleen om verkoop, maar vooral om het goed inrichten van die contracten voor de lange termijn.”

Data als kompas

Het PXP-portaal biedt partners toegang tot een schat aan gegevens over hun klanten en prestaties. Zo kunnen ze hun zogeheten ‘wallet share’ analyseren: welk deel van de Cisco-omzet van hun klanten via hen loopt, en welk deel via andere partners. “Dat geeft waardevolle inzichten,” zegt Lempersz. “Partners kunnen zien waar kansen liggen of waar klanten mogelijk weglekken. Wij helpen hen om die data te vertalen naar concrete acties.”

Comstor gebruikt de inzichten uit PXP ook om partners te herinneren aan verlopende contracten of licenties. “We sturen proactief lijsten met aankomende renewals, zodat ze op tijd contact kunnen opnemen met klanten,” vertelt ze. “Daarnaast bespreken we vaak of een partner kan overstappen op een Enterprise Agreement, omdat dat meer stabiliteit biedt. Alles draait om voorspelbaarheid en continuïteit.”

Onderdeel van de onboarding

Het Cisco 360 Partnerprogramma geldt niet alleen voor bestaande partners. Ook nieuwe partners worden vanaf hun onboarding meegenomen in het traject. “Wanneer een bedrijf zich aansluit bij Comstor, nemen we ze direct mee in de 360-werkwijze,” zegt Lempersz. “We leggen uit wat het programma inhoudt, hoe PXP werkt en welke trainingen nodig zijn. Zo weten ze vanaf het begin hoe ze hun score kunnen opbouwen.”

Lempersz fungeert daarbij als vast aanspreekpunt. “Ik doe uitsluitend Cisco 360. Daardoor kan ik partners continu begeleiden, bijvoorbeeld bij het plannen van trainingen of het regelen van toegangsrechten in PXP. Soms organiseren we aparte Teams-sessies voor complete teams, of helpen we bij de voorbereiding op audits. Het is eigenlijk een heel breed traject waarin we partners stap voor stap meenemen.”

Blijvende ondersteuning

Cisco heeft zijn partners volgens Lempersz ruim de tijd gegeven om zich op de verandering voor te bereiden. “Sinds begin dit jaar zijn onderdelen van het programma gefaseerd ingevoerd, zodat iedereen kon wennen en feedback kon geven. Cisco heeft daar echt naar geluisterd. Ze hebben aanpassingen gedaan op basis van partnerinput en veel webinars en livesessies georganiseerd. In Amsterdam was bijvoorbeeld een grote sessie met het Cisco-team waar partners direct vragen konden stellen.”

Comstor organiseert zelf ook regelmatig bijeenkomsten. Zo vond eind september in Maarssen het Cisco 360 Partner Event plaats, met presentaties van zowel Cisco als Comstor. “Het was goed bezocht en de reacties waren positief,” zegt Lempersz. “Partners willen op de hoogte blijven, want de veranderingen zijn ingrijpend en raken hun hele bedrijfsvoering.”

De samenwerking tussen Cisco en Comstor krijgt bovendien een extra dimensie op het gebied van managed services. Lempersz verwijst naar de nieuwe white label SOC-oplossing die Comstor aanbiedt aan partners. “Voor partners die managed securitydiensten leveren, is dat een waardevolle uitbreiding. Bovendien telt het gebruik van zo’n dienst mee in de 360-score. Het laat zien dat een partner actief inzet op service en security.”

Nieuwe kansen voor partners en klanten

Het vernieuwde partnerprogramma biedt volgens Lempersz kansen op meerdere niveaus. Voor partners betekent het vooral meer inzicht en structuur. “Ze worden gestimuleerd om beter gebruik te maken van data, om actief met hun klanten in gesprek te blijven en om trainingen te volgen die hun dienstverlening versterken,” zegt ze. “Het programma dwingt tot professionalisering, maar levert daar ook veel voor terug.”

Voor eindklanten ziet ze indirect ook voordelen. “Omdat partners meer aandacht besteden aan de hele customer journey, krijgen klanten beter inzicht in wat hun Cisco-oplossingen allemaal kunnen. Vaak ontdekken ze functies die ze nog niet gebruikten. Daardoor stijgt de tevredenheid en de waarde die ze uit hun investering halen. Bovendien maakt het programma duidelijk welke partners echt gespecialiseerd zijn in bepaalde domeinen, zoals security of collaboration. Dat helpt eindklanten om gerichter te kiezen.”

Een gezamenlijke reis

Met het Cisco 360 Partnerprogramma maakt het bedrijf een duidelijke beweging richting eenvoud, transparantie en langdurige samenwerking. Comstor ziet het als haar rol om partners daarin te begeleiden – niet als eenmalige actie, maar als doorlopend proces. “Het stopt niet bij de go-live,” zegt Lempersz. “Het is een reis die doorgaat. De technologie verandert, de markt verandert, en partners groeien mee. Wij willen zorgen dat ze dat stap voor stap kunnen doen.”

Ze glimlacht: “Sommigen vinden het in het begin best veel, dat geef ik eerlijk toe. Maar als ze eenmaal zien wat het oplevert, ontstaat er enthousiasme. Dat is misschien wel het mooiste van dit hele traject: partners zien weer nieuwe kansen. En precies dat is wat Cisco met 360 voor ogen had.”

Volgens Gartner zal in 2027 ongeveer 35 procent van de landen vastzitten aan regio-specifieke AI-platforms, opgebouwd rond eigen data, infrastructuur en regelgeving. Die ontwikkeling komt voort uit geopolitieke spanningen, strengere regelgeving en toenemende aandacht voor nationale veiligheid.

Het onderzoeksbureau Gartner schetst een verschuiving waarbij overheden steeds vaker investeren in eigen AI-stacks, inclusief rekenkracht, datacenters en modellen die aansluiten bij lokale wetgeving, taal en cultuur. Waar platform lock-in nu nog bij circa 5 procent van de landen voorkomt, groeit dat aandeel volgens het bureau in korte tijd naar 35 procent.

Die beweging past binnen bredere discussies over digitale soevereiniteit. Overheden zoeken alternatieven voor dominante, veelal Amerikaanse AI-platforms en leggen daarbij meer nadruk op vertrouwen, culturele aansluiting en controle over data. Regionale en lokale modellen leveren volgens Gartner in uiteenlopende toepassingen meer contextuele waarde, onder meer in onderwijs, juridische omgevingen en publieke dienstverlening, vooral buiten het Engelstalige domein.

De toenemende nadruk op AI-soevereiniteit heeft financiële gevolgen. Gartner verwacht dat landen die een zelfstandige AI-stack willen opbouwen, richting 2029 minimaal 1 procent van hun bruto binnenlands product moeten investeren in AI-infrastructuur. Die investeringen zijn nodig door duplicatie van inspanningen en afnemende internationale samenwerking, met name buiten westerse markten waar zorgen leven over culturele en politieke beïnvloeding.

Regelgeving rond dataopslag, cloudlocalisatie en nationale AI-strategieën versnelt deze ontwikkeling verder. Tegelijkertijd spelen ook zorgen over bedrijfsrisico’s en nationale veiligheid een rol. De combinatie van die factoren leidt tot een snelle uitbreiding van datacenters en zogenoemde AI-fabrieken, die volgens Gartner de ruggengraat vormen van soevereine AI-omgevingen.

In dat krachtenveld ontstaat een concentratie rond partijen die grote delen van de AI-stack controleren, van infrastructuur tot modellen. Gartner ziet daarin de basis voor zeer hoge waarderingen bij een beperkt aantal spelers, gedreven door structurele vraag vanuit overheden en grote organisaties.

Vodafone Business gaat zakelijke klanten in Nederland voortaan een gecombineerd aanbod bieden waarin connectiviteit en digitale werkplekdiensten samenkomen. Naast vast en mobiel internet en telefonie kunnen mkb-bedrijven via Vodafone ook Microsoft 365, Teams, Copilot en aanvullende beveiligingsoplossingen afnemen binnen één pakket.

Met het gezamenlijke aanbod willen Vodafone Business en Microsoft het eenvoudiger maken om digitale werkplekken op te zetten en te beheren via één leverancier. Bedrijven krijgen toegang tot e-mail, documentbeheer, samenwerkingstools en AI-functionaliteit, gecombineerd met de netwerkdiensten van Vodafone. Beheer en facturatie verlopen daarbij via één omgeving.

Volgens beide partijen speelt de bundeling in op de groeiende behoefte aan samenhangende IT- en communicatiediensten. Die behoefte wordt onder meer gedreven door hybride werken, het toenemende gebruik van cloudapplicaties en de opkomst van AI binnen het mkb. De samenwerking richt zich ook op ondersteuning bij de uitrol en het gebruik van deze technologie.

Vodafone staat hierin niet alleen. KPN biedt al langer zakelijke werkplekoplossingen waarin Microsoft 365 is geïntegreerd, onder meer via de KPN EEN MKB Werkplek. Daarmee combineert KPN connectiviteit met productiviteitssoftware en aanvullende IT-diensten.

Ook Odido richt zich op zakelijke samenwerkingsoplossingen, bijvoorbeeld via ondersteuning voor Microsoft Teams-telefonie. Een vergelijkbare bundel waarin Microsoft 365 standaard wordt gecombineerd met vaste en mobiele diensten, zoals bij Vodafone en KPN, maakt daar geen vast onderdeel uit van het portfolio.

Voor msp’s en IT-dienstverleners betekent deze ontwikkeling dat telecomaanbieders een steeds groter deel van de digitale werkplek naar zich toetrekken. Door licenties, connectiviteit en basisbeheer te combineren, positioneren zij zich nadrukkelijker als eerste aanspreekpunt voor mkb-klanten. Dat kan de rol van partners verschuiven richting aanvullende dienstverlening, zoals migraties, maatwerkbeheer, security-advies en adoptietrajecten.

Tegelijkertijd blijft er ruimte voor samenwerking, bijvoorbeeld bij complexere omgevingen of klanten met specifieke eisen rond beheer en compliance. In die gevallen blijven msp’s een belangrijke rol spelen als uitvoerende en adviserende partij.

De samenwerking past daarmee in een bredere ontwikkeling waarbij telecomproviders hun rol verbreden. Naast verbindingen leveren zij steeds vaker complete digitale werkplekken, inclusief cloudsoftware en security. Daarmee proberen zij zakelijke klanten meer samenhang te bieden in hun IT-omgeving en hun positie als centrale leverancier te versterken.

De Europese telecomsector kan in 2026 rekenen op een lichte omzetgroei, maar blijft kampen met structurele uitdagingen. Dat blijkt uit een recente analyse van ING. Volgens de bank groeit de sector volgend jaar naar verwachting met ongeveer 2 procent. Die groei komt vooral voort uit prijsaanpassingen en aanvullende diensten, niet uit een sterke toename van het aantal klanten.

De telecommarkt in Europa geldt al jaren als volwassen. In veel landen is de concurrentie groot en staan tarieven onder druk. Tegelijkertijd blijft de vraag naar snelle en betrouwbare connectiviteit groeien, onder meer door cloudgebruik, hybride werken en digitalisering in het bedrijfsleven. Providers proberen hierop in te spelen met snellere verbindingen, nieuwe bundels en gespecialiseerde zakelijke proposities.

Volgens ING groeit de winstgevendheid van telecombedrijven iets sneller dan de omzet. Operators investeren al langere tijd in kostenbesparing en efficiëntie, onder meer door automatisering van processen, het uitfaseren van verouderde netwerken en het vereenvoudigen van klantenservice. Deze maatregelen moeten helpen om marges op peil te houden in een markt waar prijsverhogingen niet vanzelfsprekend zijn.

Tegelijkertijd blijven de investeringen hoog. Telecombedrijven moeten blijven investeren in glasvezelnetwerken, 5G-infrastructuur en de verdere ontwikkeling van mobiele netwerken. In sommige landen verschuift de focus van grootschalige uitrol naar optimalisatie en kwaliteitsverbetering van bestaande netwerken. Ook de inzet van AI voor netwerkbeheer en klantenservice speelt daarbij een steeds grotere rol.

De concurrentiedruk blijft ondertussen groot. Naast traditionele aanbieders betreden ook alternatieve spelers de markt, bijvoorbeeld op het gebied van glasvezel, satellietcommunicatie en private netwerken. Dit maakt het voor gevestigde partijen lastiger om zich te onderscheiden op prijs alleen. Differentiatie via dienstverlening en betrouwbaarheid wordt daardoor steeds belangrijker.

Daarnaast speelt regelgeving een belangrijke rol. Europese wetgeving rond spectrum, datadeling en digitale infrastructuur beïnvloedt investeringsbeslissingen en samenwerkingsvormen in de sector. Hoewel regelgeving stabiliteit kan bieden, zorgt zij soms ook voor beperkingen op het gebied van schaalvergroting en consolidatie.

Voor de Nederlandse markt zijn de ontwikkelingen herkenbaar. Ook hier investeren aanbieders fors in glasvezel en mobiele netwerken, terwijl tegelijkertijd wordt gezocht naar manieren om de dienstverlening rendabel te houden. Voor zakelijke gebruikers en msp’s ontstaat daardoor een markt waarin connectiviteit steeds meer wordt gecombineerd met aanvullende diensten, zoals security, cloudkoppelingen en managed services.

Volgens ING staat de Europese telecomsector daarmee voor een periode van gematigde groei, waarin efficiëntie, focus en samenwerking bepalend zijn. Grote sprongen voorwaarts blijven voorlopig uit, maar aanbieders die hun netwerk en dienstverlening goed weten te positioneren, kunnen profiteren van de aanhoudende digitalisering in Europa.

Een plan dat niet getest is, bestaat in feite alleen op papier. Dat is een constatering die in de praktijk steeds opnieuw terugkomt. Incident response gaat zelden mis door een gebrek aan tools of technologie. Het loopt vast op aannames, op ontbrekende afspraken, op onduidelijkheid over verantwoordelijkheden of op het simpele feit dat niemand vooraf heeft geoefend hoe een incident zich in het echt ontvouwt.

Bij mkb-omgevingen komt daar nog iets bij. IT wordt vaak met weinig mensen gedaan, veel functionaliteit is ondergebracht in SaaS, en bedrijfskritische systemen zijn vaak gegroeid in plaats van ontworpen. De business wil ondertussen vooral door. In die context heeft een uitgebreid draaiboek weinig waarde als het niet uitvoerbaar is op het moment dat het nodig is.

Haalbare incident response zit daarom niet in volledigheid of perfectie, maar in herkenbaarheid en herhaalbaarheid. In weten wat je doet als het misgaat, met de mensen en middelen die er op dat moment zijn.

Haalbare incident response voor het mkb

Voor mkb-klanten betekent haalbare incident response vooral dat je snel overzicht krijgt en keuzes kunt maken. Niet alles hoeft tegelijk opgelost te worden. Binnen korte tijd moet duidelijk zijn wat geraakt is, welke systemen of processen direct risico lopen en waar ingrijpen het meeste effect heeft. Dat vraagt om beslissingen in plaats van analyses.

In de meeste incidenten begint dat bij identiteit. Compromittering van accounts, misbruik van sessies, verkeerd ingestelde toegangsrechten of zwakke authenticatie vormen vaak het startpunt. Dat betekent dat je snel moet kunnen zien wie waar toegang heeft, welke sessies actief zijn en wat recent is veranderd. Zonder dat inzicht doe je vooral aan symptoombestrijding.

Daarnaast moet er een set basisacties zijn die onder druk uitvoerbaar blijft. Endpoints isoleren, accounts blokkeren of resetten, verdachte mailregels uitschakelen, logs veiligstellen, back-ups beschermen. Dat zijn geen bijzondere verrichtingen, maar je moet ze wel oefenen. Een incident is niet het moment om procedures te lezen of uit te zoeken waar je moet klikken.

Ten slotte vraagt haalbare incident response om een minimale voorbereiding. Dat betekent niet dat alles vooraf dichtgetimmerd moet zijn, maar wel dat cruciale toegang geregeld is. Zonder adminrechten, logging en een globaal overzicht van de omgeving verandert elk incident in een zoektocht, en die kost altijd meer tijd dan je denkt.

Voorbereiding zinvol?

De grens van voorbereiding ligt niet bij wat technisch mogelijk is, maar bij wat tijdens een incident daadwerkelijk tijd oplevert. Alles wat je vooraf regelt moet zich terugbetalen in snelheid en duidelijkheid op het moment dat het nodig is. Voor veel mkb-omgevingen zit die voorbereiding vooral in de basis. Identiteit goed ingericht, MFA afdwingbaar, beheeraccounts afgebakend, logging op kernsystemen actief en back-ups die niet alleen bestaan, maar ook getest zijn. Dit zijn geen specifieke incident response-maatregelen, maar voorwaarden om überhaupt te kunnen reageren.

Daarbovenop kun je versnellers aanbrengen die specifiek helpen tijdens een incident. Denk aan standaardprocedures per type incident, vaste communicatielijnen, vooraf ingerichte scripts voor isolatie of resets en een duidelijke afspraak over wie beslist als er impactvolle keuzes gemaakt moeten worden.

Wat vaak weinig toevoegt, is het blind overnemen van een enterprise-aanpak. Volledige forensische tooling op elk systeem, uitgebreide monitoring die niemand interpreteert of complexe escalatiestructuren die in de praktijk niet worden gevolgd. Dat kan waardevol zijn in grotere omgevingen, maar in het mkb wordt het al snel te zwaar om goed te onderhouden.

Uitvoering

Incident response heeft altijd twee gezichten. Voorbereiding is rationeel en planbaar. Uitvoering is rommelig, tijdgevoelig en vol verrassingen. Als je voorbereiding te ver afstaat van de uitvoering, bouw je een museumstuk.

Rollen maken het verschil tijdens een incident

Zonder duidelijke rolverdeling ontstaat chaos. Dat geldt zeker in mkb-situaties, waar mensen meerdere petten op hebben en lijnen kort zijn. Er moet iemand zijn die de regie voert en beslissingen neemt. Niet per se de beste techneut, maar wel iemand die overzicht houdt en prioriteiten stelt. Daarnaast is een technische verantwoordelijke nodig die de uitvoering coördineert en bewaakt dat acties samenhangen.

Communicatie verdient een eigen rol. Eén aanspreekpunt richting de klant voorkomt ruis en misverstanden. Hetzelfde geldt intern. Tijdens een incident is het funest als iedereen tegelijk communiceert zonder afstemming.

Documentatie wordt vaak onderschat, maar is cruciaal. Vastleggen wat er gebeurt, wanneer beslissingen zijn genomen en welke acties zijn uitgevoerd, is nodig voor evaluatie, aansprakelijkheid en eventuele meldplichten. Dat is geen administratieve last, maar onderdeel van professioneel handelen.

Aan klantzijde is mandaat essentieel. Er moet iemand zijn die mag besluiten om systemen uit te schakelen, processen stil te leggen of externe partijen in te schakelen. Zonder die beslissingsbevoegdheid blijft een msp hangen tussen techniek en bestuur.

Externe partijen betrek je niet ad hoc

Bij veel incidenten is externe hulp nodig. Forensische specialisten zijn zinvol als er sprake is van grote impact, mogelijke datadiefstal of juridische gevolgen. Dan moet wel duidelijk zijn welke data beschikbaar is en hoe bewijs veiliggesteld wordt.

Cyberverzekeraars stellen vaak eisen aan melding en opvolging. Soms sturen ze hun eigen specialisten. Wie dat niet vooraf heeft uitgezocht, verliest tijd op een moment dat snelheid telt.

Leveranciers van kernsystemen spelen eveneens een rol. Hostingpartijen, applicatieleveranciers en netwerkproviders moeten snel bereikt kunnen worden, met duidelijke afspraken over verantwoordelijkheden.

Ook meldplichten verdienen aandacht. Of er sprake is van een datalek, wie dat beoordeelt en wie communiceert met toezichthouders en betrokkenen, moet geen discussiepunt zijn tijdens het incident zelf.

Incident response hoeft niet dramatisch gebracht te worden. Het helpt om het te benaderen als onderdeel van continuïteit. Net zoals back-ups, monitoring en onderhoud. Door te werken met herkenbare scenario’s wordt het onderwerp concreet zonder angst aan te wakkeren. Verdachte inlogpogingen, vreemde mailboxregels of plotselinge encryptie zijn situaties die organisaties herkennen. Dat maakt het gesprek praktisch.

Wat msp’s hiermee kunnen doen

Een eenvoudige opbouw met verschillende niveaus werkt vaak beter dan één allesomvattend aanbod. Begin met afspraken, basisvoorbereiding en oefenen. Breid dat uit met scenario’s, betere monitoring en externe ondersteuning waar dat past. Het mkb hoeft niet alles tegelijk. Maar een aanpak die getest is en meegroeit met de omgeving, maakt het verschil op het moment dat het echt misgaat.

Cybercriminelen zetten steeds vaker legitieme IT-beheertools in om langdurige en nauwelijks zichtbare toegang tot netwerken te krijgen. Dat stelt KnowBe4 Threat Labs op basis van nieuw onderzoek naar een aanvalscampagne waarbij Remote Monitoring and Management-software wordt misbruikt als permanente achterdeur.

De analyse beschrijft een campagne waarin aanvallers bewust afzien van klassieke malware of ransomware. In plaats daarvan gebruiken zij RMM-tools die normaal gesproken onderdeel zijn van regulier IT-beheer. Na het buitmaken van geldige inloggegevens installeren zij deze software zodanig dat volledige en blijvende controle ontstaat, zonder direct op te vallen bij beveiligingsoplossingen.

De aanval start met een gerichte phishingmail die is vermomd als uitnodiging van Greenvelope, een legitieme dienst voor digitale uitnodigingen. De berichten bevatten weinig verdachte kenmerken en leiden slachtoffers naar een nagemaakte inlogpagina. Daar worden accountgegevens onderschept. Met deze geldige credentials loggen aanvallers vervolgens in en installeren zij RMM-software zoals GoTo Resolve en LogMeIn.

Volgens de onderzoekers vormt juist dat tweede deel van de aanval een belangrijk probleem. De gebruikte software is rechtsgeldig ondertekend door de leverancier en maakt gebruik van de officiële infrastructuur van die partijen. Verkeer dat hierdoor ontstaat, wijkt nauwelijks af van regulier beheer en wordt daardoor vaak niet als verdacht aangemerkt. Het resultaat is een persistente toegang met vergaande rechten binnen het netwerk, zonder duidelijke alarmsignalen.

KnowBe4 plaatst de bevindingen in een bredere ontwikkeling waarin aanvallers steeds vaker vertrouwen op living-off-the-land-technieken. Daarbij worden bestaande, vertrouwde tools ingezet om detectie te vermijden en de verblijfsduur in een netwerk te verlengen. RMM-software is daarbij aantrekkelijk, omdat deze standaard is ontworpen voor permanente toegang en beheer op afstand.

Het bedrijf stelt dat deze aanpak vraagt om een andere kijk op beveiliging, waarin gebruikersgedrag een centralere rol krijgt. Onder de noemer Human Risk Management combineert KnowBe4 gedragsdata, telemetrie en actuele dreigingsinformatie om per medewerker een dynamisch risicoprofiel op te bouwen. Op basis daarvan kunnen maatregelen en training gerichter worden ingezet.

Een belangrijk element daarbij is het vertalen van echte aanvalscampagnes naar realistische, maar onschadelijke simulaties. Door medewerkers bloot te stellen aan aanvallen die sterk lijken op actuele dreigingen, zoals de Greenvelope-campagne, ontstaat volgens het bedrijf meer aandacht voor subtiele signalen die bij traditionele phishingtraining vaak ontbreken.

James Dyer, Threat Intelligence Lead bij KnowBe4, stelt dat het misbruik van legitieme IT-tools traditionele beveiligingsmodellen onder druk zet. Volgens hem ontstaat effectieve verdediging pas wanneer dreigingsinformatie direct wordt gekoppeld aan concreet gebruikersgedrag en training, in plaats van uitsluitend aan technische detectie.

Wekelijks verzamelt ChannelConnect de opvallendste, leukste of beste nieuwsitems en tools. Met natuurlijk speciale aandacht voor de toepassingen ervan voor IT-dienstverleners en msp’s. Het overzicht van de afgelopen week.

Nieuws

Tools*

AI in Nederland en Europa

Als je vandaag een nieuwe applicatie aansluit of een extra vestiging toevoegt, denk je waarschijnlijk na over netwerksegmentatie. De vraag is alleen of de manier waarop je segmenteert nog past bij wat je probeert te beschermen. De oplossing? Microsegmentatie.

Vrijwel elk netwerk heeft segmentatie. VLAN’s hier, een firewallregel daar, en ergens een diagram dat de architectuur goed weergeeft. Dat werkt meestal. Tot het netwerk verandert, het gebruik verschuift, of een incident ineens laat zien hoe breed sommige segmenten eigenlijk zijn. In de praktijk blijkt segmentatie vaak grover dan het op basis van het risicoprofiel zou moeten zijn. Terwijl dreigingen steeds specifieker worden, blijven netwerken opvallend vaak ingericht rond brede zones en vaste aannames over vertrouwen. Die spanning wordt vooral zichtbaar buiten het datacenter. Op vestigingsniveau, waar gebruikers, IoT, OT en cloudapplicaties samenkomen, lopen klassieke segmentatiemodellen tegen hun grenzen aan.

VLAN’s zijn niet meer genoeg

Het punt is namelijk dat VLAN’s zijn ontworpen voor overzicht en schaal, niet voor context. Ze delen een netwerk op in logische blokken, gebaseerd op locatie, functie of afdeling. Dat is prima, zolang alle systemen binnen zo’n blok vergelijkbare risico’s hebben en zich voorspelbaar gedragen. Maar dat is steeds minder vaak het geval:

• Werkplekken, printers, camera’s en SaaS-connectors delen hetzelfde VLAN omdat ‘dat zo gegroeid is’.
• Een applicatieomgeving is logisch gescheiden, maar gebruikers krijgen via VPN alsnog breed netwerktoegang.
• Nieuwe cloudapplicaties vereisen uitzonderingen op bestaande firewallregels, en zo verdwijnt langzaam het overzicht.

Het probleem zit niet in VLAN’s zelf, maar in het feit dat ze geen rekening houden met identiteit, gedrag of context. Alles binnen een VLAN wordt in principe vertrouwd, terwijl risico’s juist per device, per gebruiker of per applicatie verschillen.

Daar komt bij dat aanvallen zelden netjes binnen één zone blijven. Laterale beweging, privilege-escalatie en misbruik van legitieme accounts maken klassieke netwerkgrenzen poreus. Als één endpoint binnen een VLAN wordt gecompromitteerd, ligt de rest vaak open.

Microsegmentatie buiten het datacenter

Microsegmentatie wordt vaak geassocieerd met datacenters en cloudomgevingen, bijvoorbeeld bij workload-isolatie, east-west traffic control en software-defined networking. Maar hetzelfde principe is minstens zo relevant op vestigingsniveau. Daar verschuift de focus van de klassieke vraag waar iets zich in het netwerk bevindt naar wat het precies is en welke rol het vervult.

Niet de netwerkpoort of het VLAN is leidend, maar de identiteit van een gebruiker, device of applicatie. Wat mag dit systeem doen, met welke andere onderdelen mag het communiceren en onder welke voorwaarden is die toegang toegestaan? Context zoals locatie, status van het apparaat, authenticatie en gedrag weegt mee, waardoor toegang niet langer impliciet is, maar telkens opnieuw wordt afgedwongen.

In plaats van brede netwerkzones werk je met policies die verkeer toestaan op basis van identiteit, rol en context. Een werkplek krijgt dan niet ‘toegang tot het netwerk’, maar toegang tot specifieke diensten. Een camera mag alleen praten met zijn videoplatform. Een applicatiecomponent mag alleen communiceren met zijn backend, en zo voort.

Technisch kan dat op verschillende manieren:

• Network Access Control (NAC) op basis van device-identiteit en posture
• Host-based firewalls met centrale policy
• Software-defined networking in campus- of WAN-omgevingen
• Cloud-native policies die on-prem en cloud verbinden

Het belangrijke verschil met klassieke segmentatie is dat de scheiding niet meer primair aan de netwerklaag hangt, maar aan beleid.

Segmentatie op device-, rol- en applicatieniveau

En daarbij wordt microsegmentatie nog interessanter wanneer je verschillende invalshoeken combineert.

Device-niveau
Niet elk apparaat is gelijk. Een beheerde werkplek met EDR en actuele patches vormt een ander risico dan een IoT-sensor of een BYOD-apparaat. Door devices te classificeren en daar policies aan te koppelen, beperk je wat ze überhaupt mogen.

Rol-niveau
Gebruikers hebben verschillende verantwoordelijkheden. Iemand van finance heeft andere applicaties nodig dan iemand in productie. Segmentatie op rolniveau voorkomt dat netwerktoegang breder is dan functioneel noodzakelijk, ook als gebruikers van locatie wisselen.

Applicatieniveau
Steeds meer verkeer is applicatiegericht en versleuteld. Door policies te baseren op applicatie-identiteit in plaats van IP-adressen, sluit segmentatie beter aan bij moderne omgevingen. Dat geldt zowel voor on-prem applicaties als voor SaaS en cloud-native diensten.

De niveaus versterken elkaar. Een onbekend device met een geldige gebruikerslogin krijgt dan alsnog beperkte toegang. Een bekende werkplek buiten compliance valt automatisch in een restrictiever profiel.

De relatie met zero trust

Microsegmentatie is een praktisch onderdeel van zero trust-architecturen. Het uitgangspunt blijft hetzelfde: vertrouw niets impliciet, verifieer continu en beperk toegang tot wat strikt noodzakelijk is.

Terwijl zero trust vaak abstract blijft, maakt microsegmentatie het concreet. Policies worden afdwingbaar op netwerk- en applicatieniveau, ook buiten het datacenter. Dat betekent dat ‘binnen’ en ‘buiten’ steeds minder relevant worden. Het gaat dus om de context.

Een veelgehoorde zorg is dat fijnmazige segmentatie beheercomplexiteit toevoegt. En dat is inderdaad een risico, vooral als je microsegmentatie benadert als een technisch kunstje in plaats van als een architectuur.

Met de juiste segmentatie wordt het beheer juist overzichtelijker. Verkeersstromen liggen expliciet vast in beleid, waardoor duidelijk is welk verkeer wordt verwacht en welk niet. Afwijkingen vallen sneller op en zijn eenvoudiger te herleiden tot een specifieke oorzaak.

Tegelijk blijven incidenten beter afgebakend, omdat verstoringen of compromittering zich niet automatisch door grote delen van de omgeving kunnen verspreiden. De sleutel zit in zichtbaarheid en tooling.

Hoe ver ga je zonder het onnodig complex te maken?

Pas op met de verleiding om alles tegelijk te segmenteren. Dat werkt zelden. Effectieve microsegmentatie begint klein en groeit mee met inzicht.

Een paar praktische uitgangspunten:

• Start met de meest risicovolle assets of processen
• Segmenteer op basis van daadwerkelijk verkeer, niet op aannames
• Automatiseer waar mogelijk, handmatig beheer schaalt slecht
• Documenteer intentie, niet alleen regels

Belangrijker nog: microsegmentatie is geen project met een einddatum. Het is een structurele maatregel die meebeweegt met veranderingen in applicaties, werkvormen en dreigingen. Nieuwe vestiging? Nieuwe applicatie? Dan hoort segmentatie daar standaard bij, niet als sluitstuk, maar als ontwerpprincipe.

Van netwerkontwerp naar gedragsmodel

VLAN’s brengen vooral orde in infrastructuur, microsegmentatie over controle op gedrag. Dat vraagt een andere manier van denken. Minder focus op fysieke of logische grenzen, meer op context en intentie. Op vestigingsniveau is die verschuiving misschien wel het meest zichtbaar. Juist daar komen oude netwerkmodellen en nieuwe realiteit hard met elkaar in aanraking. Wie daar durft los te laten dat alles binnen één locatie vertrouwd is, zet een belangrijke stap. De bottom line: het netwerk wordt er niet simpeler van, maar wel een stuk realistischer.

Jarenlang was het netwerk de beveiligingsperimeter. Wie binnen was, mocht praten. Firewalls, VLAN’s en ACL’s bepaalden wie waarheen kon. Die logica werkte zolang applicaties, gebruikers en data zich grotendeels binnen dezelfde infrastructuur bevonden. Dat landschap bestaat niet meer.

Gebruikers werken overal, applicaties draaien verspreid over cloudplatforms en data beweegt continu tussen omgevingen. In die werkelijkheid verschuift de kernvraag van ‘waar komt dit verkeer vandaan’ naar ‘wie of wat probeert hier toegang te krijgen’. Identity staat daarmee centraal in toegang, segmentatie en risicobeheersing.

Het perimeterprobleem

Het klassieke beveiligingsmodel gaat uit van een duidelijke binnen- en buitenkant. Zodra verkeer door de firewall is, geldt impliciet vertrouwen. Dat model is onder moderne omstandigheden niet meer houdbaar. VPN’s verlengen het netwerk naar onbeheerde apparaten, SaaS-diensten omzeilen het netwerk volledig, en API’s communiceren buiten het zicht van traditionele controles.

Voor jou als msp betekent dit dat netwerkmaatregelen alleen onvoldoende context bieden. Ze zien verkeer, maar niet de intentie erachter. Identity levert die context wel. Wie is de gebruiker of workload? Vanaf welk apparaat? In welke toestand? Onder welke voorwaarden? Die vragen bepalen steeds vaker of toegang verleent moet worden, en dus niet het IP-adres of subnet.

Identity als controlepunt

Identity gaat daarnaast ook niet meer alleen over inloggen. Moderne IAM-oplossingen functioneren als realtime beslissingslaag. Elke toegangspoging wordt beoordeeld op meerdere signalen tegelijk. Denk aan:

• gebruikersidentiteit en rol,
• apparaatstatus en compliance,
• locatie en tijdstip,
• gedragspatronen,
• gevoeligheid van de gevraagde resource.

Met conditional access koppel je die signalen aan beleid. Toegang wordt verleend, beperkt of geweigerd op basis van context. Dat maakt identity tot een dynamisch controlepunt, vergelijkbaar met wat firewalls ooit waren voor netwerkverkeer. Daarmee verschuift het zwaartepunt van securitybeheer naar minder vaste regels, meer beleid, dat continu wordt toegepast en aangepast.

Relatie met netwerksegmentatie

Identity vervangt netwerksegmentatie niet, maar verandert de rol ervan. Segmentatie blijft relevant om laterale beweging te beperken en impact te isoleren. Het verschil zit in de aansturing. In plaats van toegang te bepalen op basis van netwerkpositie, wordt toegang gekoppeld aan identiteit. Een gebruiker krijgt toegang tot een applicatie omdat zijn identiteit en context dat toestaan, niet omdat hij zich op het juiste VLAN bevindt. Netwerksegmentatie ondersteunt dat model door verkeer technisch te scheiden, terwijl identity bepaalt wie er gebruik van mag maken.

Voor jou betekent dat dat ontwerpkeuzes veranderen. Segmentatie verschuift van grofmazige netwerkscheiding naar fijnmazige toegang op applicatie- en dienstniveau. Identity fungeert daarbij als lijm tussen netwerk, applicaties en cloudplatforms.

Workloads krijgen ook een identiteit

Een belangrijk technisch punt dat vaak wordt onderschat: identity geldt niet alleen voor mensen. Workloads, services en API’s krijgen steeds vaker een eigen identiteit. Denk aan service accounts, managed identities en certificaatgebaseerde authenticatie. Dat heeft grote gevolgen voor architectuur. Hardcoded credentials verdwijnen uit configuraties. Toegang wordt tijdelijk en contextafhankelijk. Services krijgen alleen rechten zolang ze actief zijn en alleen voor wat ze nodig hebben.

Voor msp’s vraagt dit om ander beheer. Niet langer gebruikersaccounts aanmaken en vergeten, maar levenscycli beheren van identiteiten die automatisch ontstaan en verdwijnen. Governance en automatisering worden daarmee randvoorwaarden.

Impact op gebruikerservaring

Identity raakt direct aan veiligheid en gebruiksgemak. Slecht ingerichte IAM-oplossingen veroorzaken extra prompts, blokkades en frustratie. Goede inrichting zorgt ervoor dat toegang grotendeels onzichtbaar verloopt. Context speelt hierin een sleutelrol. Een gebruiker die vanaf een beheerd apparaat werkt, binnen bekende patronen, kan vrijwel ongemerkt toegang krijgen. Afwijkend gedrag vraagt extra bevestiging. Dat maakt security adaptief zonder onnodige frictie.

Gebruikerservaring wordt dan onderdeel van securityontwerp. Identity raakt direct aan acceptatie, productiviteit en vertrouwen. Dat betekent dat je vaker moet afstemmen met klanten over risicoacceptatie en gebruiksscenario’s.

Ontwerpimplicaties voor msp’s

Identity als fundament dwingt tot andere ontwerpkeuzes. Enkele implicaties die je in de praktijk tegenkomt:

• IAM-architectuur krijgt een centrale plek in het landschap, niet als bijlage.
• Netwerkontwerp en identitybeleid worden samen besproken.
• Applicaties worden beoordeeld op hun integratie met identitydiensten.
• Legacy-systemen vragen extra aandacht vanwege beperkte ondersteuning.

De rol van de msp verschuift naar architectuur en regie. Identitybeleid fungeert als uitgangspunt voor technische controles die consistent worden toegepast over netwerk, applicaties en cloudomgevingen.