Elke beslissing van de leverancier is een beveiligingsbeslissing

Managed service providers hebben nog nooit zoveel invloed gehad op de beveiligingsresultaten van hun klanten. MSP’s nemen dagelijks beslissingen die van invloed zijn op de manier waarop organisaties gebruikers authenticeren, geprivilegieerde toegang beveiligen, herstelwerkzaamheden na een ransomware-aanval uitvoeren, gevoelige gegevens beheren en zich verdedigen tegen de nieuwste cyberbedreigingen. Hun beheerde bedrijven blijven vertrouwen op die beslissingen, aangezien zij over het algemeen niet over de interne bronnen beschikken om deze te evalueren.

Dat vertrouwen creëert enorme waarde. En het creëert ook een verhoogde verantwoordingsplicht.

Jarenlang beoordeelden MSP’s leveranciers voornamelijk op basis van functionaliteit, integratiemogelijkheden, gemak van installatie en ondersteuning. Beveiliging was zeker een overweging, maar vormde vaak een van de vele factoren die een nieuwe aankoopbeslissing beïnvloeden. Er staan tegenwoordig andere zaken op het spel.

Cyberaanvallen zijn kostbaarder geworden, bedreigers hebben zich ontwikkeld en kleine en middelgrote bedrijven staan onder toenemende druk van toezichthouders en verzekeraars om effectieve cyberbeveiligingspraktijken aan te tonen.

Tegelijkertijd onderzoeken organisaties die het slachtoffer zijn geworden van cyberincidenten niet alleen hoe aanvallers toegang hebben gekregen, maar ook of vertrouwde leveranciers hun zorgvuldigheidsplicht hebben nageleefd om dit te helpen voorkomen. De implicaties zijn duidelijk: het kiezen van technologiepartners is veel meer geworden dan alleen een inkoopbeslissing. Het wordt nu gevormd door beveiligingsvereisten, bedrijfsresultaten en prioriteiten voor risicobeheer.

Elke beveiligingsleverancier die een MSP introduceert, wordt onderdeel van de verdedigingsstrategie van die klant. Elke wachtwoordbeheerder, back-upoplossing, platform voor externe toegang, identiteitsprovider en tool voor geprivilegieerde toegang is een extra vertrouwenslaag. Wanneer die technologieën presteren zoals verwacht, helpen ze organisaties om het risico te verminderen. Wanneer ze hierin falen, kunnen de gevolgen ernstig zijn.

Voor MSP’s die tientallen of zelfs honderden klantomgevingen beheren, kan het selecteren van de juiste technologiepartners een van de belangrijkste beveiligingsbeslissingen zijn die zij kunnen nemen.

De unieke risico’s op het gebied van cyberbeveiliging waar MSP’s mee te maken hebben

Moderne aanvallers zoeken niet alleen naar kwetsbaarheden; zij zoeken naar middelen om hun effect te vergroten. In plaats van organisaties één voor één aan te vallen, richten veel kwaadwillenden zich op vertrouwde relaties die toegang kunnen bieden tot vele onderliggende omgevingen. En MSP’s vertegenwoordigen precies dat soort kansen.

Een typische MSP beheert onder andere infrastructuur, identiteiten, eindpunten, back-upsystemen, tools voor externe toegang en beveiligingscontroles in tientallen of honderden klantomgevingen. Het compromitteren van een service provider kan gevolgen hebben die veel verder reiken dan één enkele organisatie.

Volgens het onderzoeksrapport van Verizon in 2025 over datalekken is de betrokkenheid van derden bij datalekken verdubbeld tot 30%, terwijl misbruik van aanmeldingsgegevens met 22% nog steeds een van de belangrijkste aanvalsvectoren voor het verkrijgen van initiële toegang was. Ondertussen bleek uit het rapport over de kosten van datalekken van IBM dat de gemiddelde kosten van een datalek in de VS nu $ 10,22 miljoen bedragen. Voor MSP’s die verantwoordelijk zijn voor het beschermen van afzonderlijke klantomgevingen, onderstrepen deze trends de groeiende behoefte aan due diligence van leveranciers, identiteitsbeveiliging en geprivilegieerde toegangscontroles.

Al met al onderstrepen deze bevindingen een realiteit die MSP’s maar al te goed begrijpen: aanvallers dringen niet altijd binnen. Doorgaans melden ze zich gewoon aan.

Aangezien MSP’s centraal staan in zoveel vertrouwensrelaties, is de beveiligingspositie van elke leverancier in de stack van belang. Of er nu een zwakte bestaat in een back-upplatform, een oplossing voor externe toegang of een identiteitsbeheersysteem: de gevolgen kunnen zich uitstrekken over talloze klantomgevingen.

Hoe groter het klantenbestand, des te groter de gevolgen.

Wat recente rechtszaken over cyberbeveiliging betekenen voor de verantwoordingsplicht van MSP’s

De belangrijkste verschuiving op het gebied van cyberbeveiliging is wellicht dat organisaties zich steeds vaker afvragen wie er na een inbreuk aansprakelijk moet worden gesteld. Er wordt meer nadruk gelegd op de vraag of er vóór een aanval redelijke beveiligingscontroles aanwezig waren. En die controle reikt verder dan alleen de bedreigers en strekt zich ook uit tot de leveranciers, consultants en service providers die zijn ingehuurd om deze omgevingen te beveiligen.

Er zijn een aantal recente voorbeelden die deze ontwikkeling aantonen.

Zoals is gerapporteerd door CSO Online, eist Clorox ongeveer $ 380 miljoen aan schadevergoeding van Cognizant. Clorox beweert dat tekortkomingen op het gebied van identiteitsverificatie en procedures voor het opnieuw instellen van aanmeldingsgegevens hebben bijgedragen aan een cyberaanval die de bedrijfsactiviteiten aanzienlijk heeft verstoord.

Wat deze zaak opvallend maakt, is dat de beschuldigingen zich richten op identiteitsverificatie en niet op geavanceerde technische uitbuitingen. De klacht heeft betrekking op de vraag of er passende maatregelen waren getroffen om gebruikers nauwkeurig te verifiëren voordat er toegang werd verleend. Hoewel moderne cyberbeveiliging zeer complex is, kan een eenvoudige tekortkoming in de identiteitscontrole wellicht een ideale gelegenheid voor de aanval hebben gecreëerd.

De MSP-gemeenschap is ook getuige geweest van rechtszaken waarbij service providers en hun technologiepartners direct betrokken waren. Volgens een artikel van ChannelE2E heeft het in Sacramento gevestigde advocatenkantoor Mastagni Holstedt zowel zijn MSP, LanTech, als zijn back-upleverancier, Acronis, aangeklaagd na een verwoestend ransomware-incident. De rechtszaak eiste meer dan $ 1 miljoen aan schadevergoeding, wat zorgen oproept over de technologieën en herstelcapaciteiten die zijn ingezet.

Of de beklaagden uiteindelijk in het gelijk worden gesteld, is niet waar het om draait. Het belangrijkste is dat de rechtszaak überhaupt is aangespannen. De eindklant richtte zich niet enkel op de aanvallers. In plaats daarvan is het advocatenkantoor dieper ingegaan op de organisaties die belast zijn met het helpen voorkomen van en herstellen na het incident. Als versterking van deze trend meldde BleepingComputer dat Marquis Software Solutions een rechtszaak heeft aangespannen tegen SonicWall na een ransomware-incident dat naar verluidt is gekoppeld aan een compromittering van back-upapparatuur.

Deze zaken hebben, afzonderlijk bekeken, betrekking op verschillende technologieën, sectoren en omstandigheden. Ze hebben allemaal echter één terugkerend thema gemeen: organisaties verwachten van de leveranciers en service providers die zij vertrouwen dat zij aantonen dat er vóór een incident al doeltreffende beveiligingsmaatregelen waren getroffen. De algemeen juridisch adviseur van Keeper, David Oskin, bevestigt nogmaals:

De wettelijke en regelgevende omgeving voor MSP’s is steeds complexer geworden, waardoor het steeds belangrijker is geworden om goed voorbereid te zijn op rechtszaken en risico’s te beheersen.

Hoewel de details van elke beschuldiging verschillen, hebben ze allemaal te maken met vertrouwen. Belangrijker nog is de onderliggende vraag: hadden deze providers meer kunnen doen om het risico voor hun klanten te verminderen?

Organisaties vertrouwen op leveranciers voor het beschermen van gevoelige gegevens. Zij vertrouwen erop dat service providers de nodige beveiligingsmaatregelen implementeren. Zij vertrouwen erop dat beveiligingstechnologieën tijdens een crisis naar verwachting presteren. Wanneer dat vertrouwen wordt geschonden, wordt elke beslissing die heeft bijgedragen aan de beveiligingspositie van de organisatie onder de loep genomen.

Waarom identiteitsbeveiliging voor MSP’s op de eerste plaats komt

Een reden waarom de zaak-Clorox zoveel aandacht trok, is dat deze een bredere uitdaging in de sector belicht: identiteit is het belangrijkste strijdtoneel geworden in cyberbeveiliging.

Lange tijd richtten organisaties zich sterk op verdedigingen van perimeters, die was ontworpen om aanvallers te weren. Bedreigers hebben hebben zich de afgelopen jaren aangepast. In plaats van te proberen beveiligingscontroles direct te omzeilen, richten ze zich vaak op de identiteiten die de toegang tot die systemen beheren, inclusief maar niet beperkt tot aanmeldingsgegevens, geprivilegieerde accounts, verificatiewerkstromen, helpdeskprocedures en toegangstokens.

Zodra aanvallers toegang krijgen tot een vertrouwde identiteit, kunnen ze zich vrij door een omgeving bewegen met behulp van legitieme tools en bevoegdheden. Dit verklaart waarom diefstal van aanmeldingsgegevens, phishing, social engineering en misbruik van privileges tot de meest voorkomende aanvalstechnieken behoren die in verschillende sectoren worden waargenomen.

Voor MSP’s is de uitdaging groter. Het beheren van honderden klantomgevingen betekent het beheren van duizenden identiteiten, geprivilegieerde accounts en authenticatie-gebeurtenissen. En elk aanmeldingsgegeven van een beheerder dat wordt gedeeld, onbeheerd geheim en zwak authenticatieproces verhoogt het risiconiveau.

De organisaties die erin slagen risico’s tot een minimum te beperken, zijn doorgaans dezelfde organisaties die identiteitsbeheer beschouwen als een fundamentele beveiligingsmaatregel in plaats van als een op zichzelf staande tool.

Hoe MSP’s leveranciers dienen te evalueren

Moderne cyberbedreigingen vereisen dat MSP’s leveranciers kritischer en vanuit een beveiligingsperspectief evalueren. Productfuncties, supportkwaliteit en het gemak van installatie blijven allemaal cruciale onderdelen. Beveiligingsarchitectuur verdient echter meer aandacht.

Voordat MSP’s een nieuwe oplossing aan hun technologiestack toevoegen, moeten zij het volgende achterhalen:

Uiteindelijk onderscheiden de antwoorden op deze vragen de leveranciers die enkel beveiliging op de markt brengen van degenen die deze in hun oplossingen, architectuur en bedrijfsvoering integreren.

Waarom beveiligingsarchitectuur belangrijk is bij het kiezen van MSP-leveranciers

De rode draad die door de meest schadelijke cyberaanvallen van dit moment loopt, en door een groot deel van het onderzoek dat daarop volgt, is toegang. Voor MSP’s is identiteitsbeveiliging daardoor een cruciale factor bij de keuze van technologiepartners.

Keeper^® is gebouwd om de aanmeldingsgegevens, geprivilegieerde accounts en identiteiten waar aanvallers zich het vaakst op richten, te beschermen. Dankzij de zero-knowledge beveiligingsarchitectuur, de wachtwoordbeheerder voor ondernemingen, beheer van geprivilegieerde toegang, geheimenbeheer en eindpuntprivilegebeheer helpt Keeper organisaties om identiteitsgerelateerde risico’s te minimaliseren voordat aanvallers deze kunnen benutten.

Voor MSP’s houdt dit in dat zij meer inzicht krijgen in geprivilegieerde toegang, dat aanmeldingsgegevens beter worden beschermd en dat zij er meer vertrouwen in hebben dat zij een platform aanbevelen dat is ontworpen voor de beveiliging van elke klantomgeving die zij beheren.

Een hogere standaard voor leveranciersselectie

Elke leverancier die een MSP inschakelt, wordt een verlengstuk van de eigen beveiligingsstrategie. Klanten weten misschien nooit waarom een bepaalde oplossing is gekozen, maar ze zullen de gevolgen zeker ervaren als die keuze niet juist blijkt te zijn.

In een tijdperk waarin cyberrisico’s steeds groter worden, gaat het bij de keuze van een leverancier niet alleen om het vergelijken van functies, prijzen of het gemak bij de installatie. Het gaat erom dat de partners beschikken over de beveiligingsarchitectuur, identiteitsbescherming en operationele volwassenheid die nodig zijn om moderne cyberbedreigingen het hoofd te bieden.

Naarmate die bedreigingen evolueren en de verantwoordelijkheid toeneemt, zullen de leveranciers die MSP’s selecteren, mede bepalend zijn voor de veerkracht van elke klantomgeving die zij beheren.

Start vandaag nog uw gratis proefabonnement op KeeperMSP^® om gebruik te maken van een platform met robuuste zero-knowledge encryptie en geavanceerde beveiligingsfuncties die zijn gebouwd om uw klanten te beschermen.