Is digitale beveiliging een markt voor citroenen?

Aangezien het aantal beveiligingsspecialisten, leveranciers van hard- en softwaretechnologie voor beveiliging en leveranciers van beveiligingsdiensten de afgelopen tien jaar is toegenomen, zien we ook een aanzienlijke stijging in de uitgaven voor beveiliging. En deze beveiligingsbudgetten zijn een belangrijk onderdeel geworden van de financiële planningscyclus van organisaties. Recente voorspellingen geven aan dat de budgetten zullen blijven groeien en het is niet duidelijk waar het zal eindigen.

We denken echter dat op een gegeven moment de nieuwigheid van digitale beveiliging zal slijten en de druk op het budget zal toenemen. We kunnen niet proberen de oceaan met een vingerhoedje leeg te scheppen. Om dit te voorkomen zullen medewerkers die verantwoordelijk zijn voor digitale beveiliging de toegevoegde waarde van hun investeringen, maar ook van zichzelf, moeten laten zien. Net als elk ander bedrijfsproces of afdelingsmanager binnen het bedrijf.

Om wat historisch licht en achtergrond te werpen op onze redenering vergelijken we eerst Digital Security met reguliere IT en de IT-afdeling, en wat er met IT zou gebeurd zijn als het geen waarde had kunnen laten zien en niet afgestemd was op de business. Daarna zullen we wat richtlijnen geven voor het aantonen van "echte" waarde en om het zo zoet als kersen te laten smaken.

Business-IT afstemming is al een probleem sinds de jaren zeventig en wordt voornamelijk veroorzaakt door

• gebrek aan samenwerking,
• gebrek aan wederzijds begrip en
• gebrek aan tastbare toegevoegde waarde.

Om deze afstemmingsproblemen te overwinnen en deze relatie te verbeteren, zijn er meerdere afstemmingsmodellen voor Business en IT geïntroduceerd. In de afgelopen jaren hebben we ook gezien dat er meerdere 'Value of IT'-methoden zijn geïntroduceerd, waaronder ITIL, die zich ook richten op het tonen van waarde aan de business. De focus van deze modellen ligt echter vaak op de meer generieke objectieve waarde (ROI, KPI's, SLA's) in plaats van op de subjectieve waarde (klanttevredenheidsscore en hoe mensen IT waarnemen en ervaren). Daarover later meer.

De belangrijkste reden voor deze omschakeling van meer procesgericht naar waardegericht is het resultaat van het feit dat raden van bestuur en senior management de vraag beginnen te stellen "Wat is de waarde van IT voor het geld dat we eraan uitgeven?" Misschien komt dit door de ervaring die ze in hun persoonlijke leven hebben opgedaan bij het gebruik van IT. Wat we daarmee bedoelen is dat ze in hun persoonlijke leven ervaren dat IT soepel kan werken en dat iPhones veilig zijn door biometrische toegang, iets wat de IT-afdeling hen nooit heeft geleverd. Deze afdeling van "nee" had een zure citroensmaak. Maar ze ervaren ook budgetdruk. De belangrijkste reden voor deze budgetdruk is dat budgetverantwoordelijken niet in staat waren om de door IT geleverde waarde te beoordelen. Immers, als je de voordelen van iets niet kunt begrijpen of zien, ga je proberen de uitgaven te verlagen. Ze knijpen gewoon de mensen uit die niet leveren of niet echt bijdragen.

Het moet gezegd worden dat op dit moment, dankzij de digitaliseringstrend en Covid, budgetbeperkingen minder een probleem zijn geworden. Men kan zich echter afvragen of bedrijven hun geld uitgeven aan digitalisering uit angst om de volgende Kodak of Nokia te worden of dat ze echt weten welke digitale waarde ze krijgen voor hun geld.

In het boek “Discover the IT Cherry”

" maakten we een vergelijking tussen de paper "Market for Lemons" van Akerlof uit 1970 en de vraag of IT ook een markt voor citroenen is. Het artikel onderzoekt hoe de kwaliteit van goederen die op een markt worden verhandeld kan afnemen in aanwezigheid van informatieasymmetrie tussen kopers en verkopers, waardoor er alleen "citroenen" overblijven^[1]. In onderstaande tabel staan de criteria voor een citroenmarkt en wordt de parallel met IT-organisaties getrokken. De parallel met digitale beveiliging wordt gemaakt op basis van onze eigen ervaring om te bepalen of digitale beveiliging ook een markt voor citroenen is. We beschouwen Digital Security in dit geval als geheel en niet alleen de aanbieders van beveiligingssoftware of -diensten.

1. De koper is niet in staat om de waarde en kwaliteit van een product volledig te bepalen voordat het product wordt gekocht. De verkoper is zich bewust van deze waarde (asymmetrische informatie).

Parallel met IT organisaties:

De business (de consument) heeft te weinig informatie om de werkelijke kosten en kwaliteit van een IT-service te bepalen. De interne of externe IT-organisatie of IT-leveranciers zouden over deze informatie kunnen of willen beschikken. Als we bijvoorbeeld kijken naar de selectie van een outsourcingpartner is een vergelijking tussen leveranciers moeilijk te maken en is het onduidelijk welke kwaliteit daadwerkelijk wordt geleverd voor de betaalde prijs.

Parallel met Digitale Security:

Bedrijven hebben te weinig informatie om de werkelijke kosten, voordelen en kwaliteit van digitale beveiliging te bepalen. Hoewel de verkopersmarkt aanzienlijk is gegroeid, blijft het moeilijk om het verschil tussen producten en diensten te begrijpen. Beslissingen worden voornamelijk genomen op basis van "kunnen we ons dit veroorloven?" in plaats van de voordelen te begrijpen of de waarde te kunnen bepalen.

De huidige situatie kan niet eeuwig blijven duren. Op een gegeven moment wil een bedrijf voldoende beveiliging hebben en zijn aandacht en uitgaven richten op zaken die inkomsten genereren of bijdragen aan de bedrijfsdoelstellingen. Er zullen steeds meer vragen worden gesteld waarom bepaalde investeringen in digitale beveiliging moeten worden gedaan en of beveiligingsbudgetten kunnen dalen. Dit zal het geval zijn wanneer beveiligingsincidenten zich niet zullen voordoen of een beperkte impact zullen hebben. Wanneer een bestuur denkt "ga uit van de inbraak" en de focus ligt op het verkleinen van de explosieradius in plaats van op het verkleinen van alle explosies, gooit men gewoon geld over de balk. Voorafgaand aan deze druk op het budget moeten Digital Security-professionals, technologieleveranciers en leveranciers nu hun waarde gaan laten zien.

Het aantonen van de waarde van digitale beveiliging is misschien moeilijker dan men denkt. Waarde van digitale beveiliging is meer dan rapporteren over het aantal gevonden en herstelde kwetsbaarheden, het aantal beveiligingsincidenten dat is opgelost, het aantal mensen dat is getraind in bewustwordingscursussen of het aantal bevindingen van auditors dat is opgelost. Om waarde te begrijpen, is het goed om te beginnen met een definitie van waarde:

Deze manier om waarde aan te tonen is de manier die de meesten van ons op managementscholen leren via business cases enz. Een goede manier om de waarde van digitale beveiliging op een objectieve manier te meten is door gebruik te maken van ROSI (Return on Security Investment). We hebben het daar al over gehad in onze blog. Een gemakkelijke manier om de voordelen te verhogen of hetzelfde niveau te behouden, maar de kosten te verlagen, is door de software en licenties volledig te gaan gebruiken, in plaats van extra software te kopen die functionaliteit biedt die je misschien al hebt. We verwijzen naar de term technologiegebruik. Tijdens activiteiten is het een goede gewoonte om de beveiligingsincidenten te meten en de impact van nieuw geïmplementeerde beveiligingsmaatregelen te laten zien. Maak rapportage over voordelen en kosteneffectiviteit onderdeel van je dagelijkse routine, net zoals elke andere manager of directeur in het bedrijf dat doet.

Subjectieve waarde heeft alles te maken met de perceptie van de persoon of groep die de beveiligingsmaatregelen of het beveiligingsniveau ervaart. In dit geval wordt het belangrijk om te beginnen met het managen van de perceptie die mensen hebben. De perceptie kan bijvoorbeeld zijn "we zijn veel te goed beveiligd en geen bank!", "we zijn compleet onveilig" of "beveiliging maakt mijn werk zoveel inefficiënter, kunnen we dit niet afsluiten?".

Om de perceptie van de beveiligingsgebruikers en belanghebbenden (bijv. directie, toezichthouders) te managen, moet je beginnen te begrijpen wat hun huidige perceptie is en wat hun verwachtingen zijn, want perceptie is het resultaat van verwachtingen. Een bekende regel om verwachtingen te managen:

• Als je levert onder verwachting zijn mensen ongelukkig en willen ze stoppen met wat je "verkoopt", marketingterm hiervoor is cognitieve dissonantie^[5].
• Als je levert volgens verwachting zijn mensen tevreden, maar staan ze ook open voor andere mogelijkheden.
• Als je boven verwachting levert, zijn mensen blij en worden ze loyale ambassadeurs.

De beste truc om mensen gelukkig te maken is dan natuurlijk om ervoor te zorgen dat de verwachtingen zo laag mogelijk zijn of om een absolute overachiever te zijn.

Waarde voor de groep wordt vaak weergegeven in standaardrapporten van leveranciers of in openbare informatie. Over het algemeen dekt dit de basisbehoefte en is het iets dat aan de verwachtingen voldoet. De echte waarde zit echter in de waarde voor het individu.

Waarde voor het individu wordt vaak gemeten met klanttevredenheidscores. Je herkent ze misschien uit je persoonlijke leven als je iets online bestelt en een week na de levering wordt gevraagd hoe tevreden je bent met het product of de service. Vaak gebaseerd op een score van 1 tot 10 of met een smiley. In sommige gevallen is er ook ruimte voor een opmerking.

In Digital Security hebben we deze manier van waarde meten nog niet gezien. Binnen IT zien we wel klanttevredenheidsscores, maar de follow-up van deze scores is vaak beperkt. Terwijl onze ervaring is dat tijd besteden aan het opvolgen van deze waardevolle feedback vaak resulteert in een "boven verwachting" ervaring. Klanttevredenheidsscores kunnen dus een waardevol instrument zijn om inzicht te krijgen in de perceptie van uw gebruikers en stakeholders over digitale beveiliging.

Naast klanttevredenheidsscores houden we van de empathiefactor; dit gaat over het begrijpen van de mensen die de budgetten hebben en beheren. Als je begrijpt wat deze mensen belangrijk vinden in digitale beveiliging, kun je hun perceptie of verwachtingen managen. Een recent artikel van Gartner over "naast individuele passies en zorgen", geven directies over het algemeen om drie dingen:

• Inkomsten/missie: Operationele of niet-operationele inkomsten en het verbeteren van niet-inkomsten missiedoelstellingen
• Kosten: Toekomstige kostenbesparing en onmiddellijke verlaging van de bedrijfskosten
• Risico: financieel, markt, naleving van regelgeving en veiligheid, innovatie, merk en reputatie^[6]".

Deze drie dingen zijn algemene uitspraken. Als technologieleider, Digital Security-professional en/of CISO is het dus heel belangrijk om de behoeften, agenda en wensen van de budgethouder te begrijpen, te begrijpen wat belangrijk is voor het bedrijf, de strategie en missie van het bedrijf te begrijpen, enzovoort. Toon oprechte empathie.

Het moeilijke aan waarde is het deel dat subjectief en individueel is. Wat voor de ene persoon belangrijk is, is dat misschien niet voor iemand anders. Als gevolg daarvan worden beslissingen niet altijd genomen op basis van rationaliteit. Als mensen jou of het idee niet begrijpen, vertrouwen of leuk vinden, hebben ze de neiging om een andere richting in te slaan, waardoor je in de war raakt. Eén ding dat je kan ondersteunen in deze irrationele processen is het gebruik van samenwerkingstechnologieën die interactie tussen bedrijven en professionals in bepaalde domeinen (bijv. business of beveiliging) vergemakkelijken, zoals Group Support Systems^[7] waarin je collectief kunt brainstormen over standpunten, meningen en nieuwigheden. Deel ze vervolgens in naar wat belangrijk is voor een bepaalde groep of individu. Maak de meningen van de groep tastbaarder, explicieter en bespreek ze collectief en ga er op een rationelere manier mee om. Uiteindelijk moet je echter nog steeds de "omgeving" begrijpen, aangezien niet elke organisatie dezelfde context heeft, en een beetje experimenteren met wat waardevol is voor de verschillende belanghebbenden.

Begin bijvoorbeeld met het meten van klanttevredenheidsscores over een specifieke beveiligingsoplossing of experimenteer met ROSI op individuele investeringsscenario's of een compleet portfolio en toon zo de werkelijke waarde van investeringen aan. De hulp inroepen van iemand buiten IT helpt je om de tegenovergestelde positie te begrijpen en de kloof tussen IT & Digitale beveiliging en de business te overbruggen. Dit alles om ons beroep voor te bereiden voor het jaar 2025.

Ben je geïnteresseerd in deze onderwerpen en wil je meer leren? Deze onderwerpen maken deel uit van onze Master in IT Management, Master in Risk & Cyber Security Management en Master in IT Governance and Assurance.

^Bronnen:

^[1] Akerlof, George A. (1970). “The Market for ‘Lemons’: Quality Uncertainty and the Market Mechanism”. Quarterly Journal of Economics. The MIT Press (zie ook: https://en.wikipedia.org/wiki/The_Market_for_Lemons)

^[2] Onderzoeksrapport cybersecurity technology efficacy, Is cybersecurity the new “market for lemons”?, October 2020, Debate Security

^[3] HACCP is een managementsysteem waarin voedselveiligheid wordt aangepakt door middel van de analyse en beheersing van biologische, chemische en fysieke gevaren vanaf de productie van grondstoffen, inkoop en behandeling, tot de productie, distributie en consumptie van het eindproduct.

^[4] Mark Butterhoff, Barry Derksen, Aart van der Vlist. “Discover the IT Cherry – How to become the most valued IT organization by using cherries”

^[5] Cognitieve dissonantie verwijst naar een situatie met tegenstrijdige houdingen, overtuigingen of gedragingen. Dit veroorzaakt een gevoel van mentaal ongemak dat leidt tot een verandering in een van de houdingen, overtuigingen of gedragingen om het ongemak te verminderen en het evenwicht te herstellen.

^[6] https://www.gartner.com/smarterwithgartner/5-security-questions-board-will-definitely-ask/

^[7] Bobbert & Mulder (2016) on GSS in Digitale Security in ISACA Journal (https://www.isaca.org/resources/isaca-journal/issues/2016/volume-5/boardroom-dynamics-group-support-for-the-boards-involvement-in-a-smart-security-decisionmaking-proce)

https://managementboek.nl/boek/9789090335131/leading-in-digital-security-yuri-bobbert