#25 - Cbw: nog meer compliance en audits? (met Job Verhagen)
Hey, welkom terug bij Keep Talking. Leuk dat je weer luistert. Aflevering 25 alweer en ja, er is alweer een maand voorbij. En in deze vijfentwintigste aflevering ga ik in gesprek met de CEO van Intercept, Job Verhagen. Want wat heeft hij als directeur van een zogenaamde Cloud Service Provider te zeggen over de toenemende compliance druk op het gebied van bijvoorbeeld informatiebeveiliging.
Renco:En kijk vooral ook op LinkedIn of Vimeo de bijbehorende opnames want dan zie je wat er voordat we op het rapport drukte al heel erg grappig was. Ja dat zul je als luisteraar moeten missen maar dus check vooral die video's ook even leuk om er op een gezicht bij te hebben. Ik zou zeggen dat je na een aantal podcasts de zenuwen vooraf wel meester bent, maar ik gooide net voordat ik op een record drukte een glas thee om.
Job:Ja. Hebben we even snel opgeruimd?
Renco:We hebben even snel opgeruimd. De andere stemmen die je hoort zijn natuurlijk mijn gasten in deze aflevering. Ja, niemand minder dan ja, de CEO, want daar ben je.
Job:Ja, dat klopt.
Renco:Van het bedrijf Intercept, John van Hagen.
Job:Yes, dank je wel.
Renco:Jan, leuk dat ik er ben, want we zijn bij jou op kantoor in het mooi Zwolle. Wat ook wel leuk is, is dat om te vertellen denk ik, is dat wij ook bij elkaar op de basisschool hebben gezeten.
Job:Ja, al heel lang geleden. Is echt 25 en 30 jaar geleden.
Renco:Ja, wij komen allebei oorspronkelijk uit het plaatsje Wijhe. Ja. Hebben daar bij elkaar in vast gezeten. Daarna zijn we ook wel onze eigen weg gegaan, maar we ja, we zijn elkaar ook wel gewoon weer ergens tegengekomen. Ik weet niet precies hoe het zit, maar
Job:We wonen nu in dezelfde wijk hé.
Renco:Dat helpt. We lopen het risico elkaar gewoon bij de Albert Heijn tegen te komen. Dat klopt, ja. Ik kan me dan nog herinneren dat ik een keer door de wijk fietste. Ik heb 1 keer door de wijk gefietst met mijn zieke kat achterop.
Renco:Precies Precies toen heb je mij getrokken. Dat heb ik altijd onthouden.
Job:Maar goed, we gaan het
Renco:niet over mijn destijds zieke katten hebben. Ik vond het leuk om een keer met jou te podcast. Ik heb jou gevraagd of je dat daar zag zitten. Nou, dat was geen probleem. Want Intercept, misschien kan je dat even zelf vertellen.
Renco:Dus even kort wie jij bent, ook wat doet Intercept.
Job:Ja, zeker. Ik ben hier dus CEO, dus deels mijn bedrijf. Ik doe dit nu moet ik goed zeggen 1 september doe ik 12 jaar, dus eigenlijk vanaf de start begonnen. Dus 2 mensen die het hebben gestart. Daarna ben ik erbij gekomen, hebben we er bv van gemaakt.
Job:Vanaf die zijn we mensen gaan aannemen eigenlijk. Vanaf de zolderkamer als het ware.
Renco:Ik heb een rondleiding gekregen. Er zijn inmiddels wel wat mensen
Job:aan gaan nemen. Ja, klopt. Het is inmiddels geen zolderkamer meer. We zijn nu met bijna 80 mensen, 78 of iets dergelijks en destijds deden we met name server based computing. Dus we deden VM-ware, Citrix en eigenlijk applicaties afleveringen voor eindgebruikers en we fungeerden als het ware soort van derdelijns beheer achter IT-organisaties van gewoon klantenaccounts, kantoor zorginstellingen, dat soort zaken.
Renco:Van bedrijven die hun ICT wilden uitbesteden?
Job:Nou, vaak hadden ze wel zelf een IT-afdeling, maar wij draaiden dan bijvoorbeeld hun 24 keer 7 en op het
Renco:moment dat ze
Job:er niet uitkwamen met echt specialistische citrix vragen, hielpen wij ze.
Renco:Soort achtervang.
Job:Klopt en in 2017 denk ik, we gezegd, nou iets eerder hebben we, 2015 hebben we al gezegd van nou, we willen alleen nog maar klanten die ook in Azure wat doen. Dat betekent niet dat alles in Azure moet staan, in ieder geval een workload of iets dergelijks, want daar ligt op lange termijn onze focus.
Renco:Dat kan ik nog vinden. Jullie hebben heel bewust al vroeg de afslag genomen naar die Azure cloud.
Job:Ja, dus wat wij niet hebben gedaan is zelf hosting begonnen. Wij zijn op die Azure trein gesprongen. We hadden wel lokale hosters. Hier in Zwolle zaten er ook een aantal. Die hadden datacenters met servers waar je gewoon van virtuele machines tot weet ik veel wat kon afnemen en daar dan mee partneren.
Job:Dat hebben we nooit gedaan. We zijn direct naar Azure gegaan en we waren een van de eerste ook in het Cloud solution Provider CSP model. Op die manier koop je je ding bij Microsoft in, je Azure Cloud consumptie en dat factuur je door naar de klanten. Of je koopt het via dat programma in via de distributeur die je dan weer bij Microsoft inkoopt. Wij doen dat dus rechtstreeks bij Microsoft.
Renco:Ja, want jullie zijn dus een CSP, Cloud service Ja, Solution provider. Wat zei jij?
Job:Cloud service provider. Oké. En Dus Cloud service provider. Ja, volgens is service provider. Heb je gelijk?
Job:Nee, je hebt gelijk. Ik denk het ook. En na 2017 kwamen we eigenlijk een softwarebedrijf tegen. Mavin, misschien wel bekend, zit in business process modelling, kwaliteit management en dat soort zaken en die had moeite om een applicatie op een gegeven moment te krijgen in de cloud en goed afgeleverd te krijgen bij het ministerie van buitenlandse zaken als ik het goed zeg. Die zaten in zo'n hoogste datacenter, dat werd met VM-ware geprovisist, maar daar kwam eigenlijk een hele desktop mee.
Job:Dus als klant kreeg je dan de mavin applicatie online. Maar dat was eigenlijk een extern bureaublad wat je moet openen met een tweede keer pruldemand, met een tweede keer mijn documenten. Ja, het
Renco:voelde een beetje bloot ook.
Job:-Precies en dat kwam dus ook niet door die firewalls heen. Nou, als je destijds, als ik het goed zeg, zijn appe technologie zei van Citrix, dan kon je er gewoon HTML 5 verkeer van maken. Dan kon het wel van buitenaf gewoon door de firewalls heen en dan kon je wel alleen die mavin applicatie publiceren. Dus wat we eigenlijk deden was eigenlijk precies hetzelfde als destijds als derdelijns beheer achter IT afdelingen met surfbased computing, maar dan voor softwarebedrijven op Azure die applicatie afleveren
Renco:bij eindklanten. Dus jullie klanten waren softwarebedrijven?
Job:Dat zijn dus nu softwarebedrijven inderdaad.
Renco:Maar dat is nu ook nog?
Job:250, iets meer dan 250 klanten. Die zitten verspreid over Nederland, Engeland, Denemarken, maar het gros 90, 85 procent zit gewoon in Nederland. Oké. Die dus naar de publieke cloud zijn gegaan Azure in dit geval en vanuit daar dus eigenlijk verder schalen. Wij helpen ze met oké dan moet je misschien je code aanpassen.
Job:Zo'n softwarebedrijf kan opeens geografisch ook verkopen. Hoe werkt dat dan, laat ik maar zeggen. We hebben klanten die dan opeens in Australië klanten hebben. Ja, wij kunnen prima een datacenter van Australië deployen van Azure of in Amerika. Nou, Google kon dat niet vanuit die hoosit omgeving.
Renco:Dus je denkt, het voelt wel alsof je ook wel met die klanten meedenkt, zeg maar, om alle mogelijkheden die het Azure cloud platform biedt, om die zeg maar te vermarkten, te verzilveren.
Job:Ja, en wat we nu dus heel veel zien is dat steeds meer technologie of code naar containers gaat. Op Azure is dat dan AKS, dus Criminity Services en daar helpen we ze mee. Dus het vercontaineriseren. Niet een woord, maar
Renco:een draaien met dokkencontainers. Ik bedoel, een beetje hobby projectje, maar hetzelfde principe toch?
Job:-Ja, precies hetzelfde principe. Het idee is oké, tweet hem like cadill not like pats. Dus ja, als een koe dood gaat, hebt er gewoon 100 en dan heb je 99, maar die energieke kat die bij jou achterop de fiets, daar doe je alles voor. Daar fiets je mee naar de Dieren.
Renco:Dat heb je gezien.
Job:Ja, klopt. En met containers is natuurlijk gewoon recyclen en het spint allemaal weer snel op. Je kan makkelijker schalen en dat soort zaken allemaal. Wij zijn dus een kennis gedreven organisatie, maar we helpen die softwarebedrijven dus ook met het beheren van die omgeving, want zij moeten software developers, niet 24 uur even operations doen van de cloud. En we helpen ze ook met als je dan naar containers gaat, hoe kan je die code dan aanpassen om die software zo schaalbaar mogelijk te maken.
Job:Dus we zitten in dat hele domein.
Renco:Maar er is kennelijk wel veel vraag naar dan. Je bent aardig gegroeid de afgelopen jaren, dus je biedt iets wat nog niet veel bedrijven aanboden.
Job:Sowieso zijn er weinig bedrijven die zich alleen op softwarebedrijven focussen. De meeste managed services bedrijven zoals wij dat onszelf noemen, focussen zich meer op die moderne werkplekken rondom Microsoft 365, productivity van die eindgebruiker, teams, dat soort zaken.
Renco:Maar ik ben al jarenlang ben ik Microsoft 365 klant bij jou geweest.
Job:Dat klopt.
Renco:Of tel ik niet mee nu?
Job:Nee, je telt zeker mee, maar onze omzetverhouding is een 9010, laat maar zeggen. Azure ik denk en 10 Microsoft 365 procentueel gezien en ik denk dat het bij de meeste andere Microsoft partners andersom is.
Renco:Ja, maar jullie zullen het misschien gewoon ook vanuit een totaal idee opnemen, omdat klanten dan in 1 keer bij jullie alles kunnen afnemen. Maar het is niet jullie unique selling point.
Job:Nee, wij hebben klanten, dat is dan toevallig geen softwarebedrijf, maar een grote e-commerce club. Ja, wij hoesten dan op het gebied van AKS hun hele webshop. Daar gaat 200000000 per jaar over, maar we bemoeien ons totaal niet met alle teams integraties in vergadercamera's, dat soort zaken allemaal succes ermee. Dat zijn gewoon andere Microsoft partners die
Renco:Ieder zijn vakken.
Job:We concurreren ook
Renco:niet met elkaar.
Job:Dus we hebben in die zin niet heel veel bedrijven die hetzelfde doen als wij. Dus we zijn in die zin wel hard gegroeid. Maar, en zo kwam ik ook op, het is wel lastig om aan die developers goed te verkopen, want die zijn natuurlijk super eigenwijs. Want die schrijven er is niets, ze schrijven code en dan kan je iets op het internet. Ja, die virtuele machine is dan gewoon commodity.
Job:Waarom zou die dan nog beheerd moeten worden of 24 uur 7 gesport moeten worden? Dus dat gesprek is wel eens lastig.
Renco:Maar daar komt daar komt die op dan in beeld denk Klopt,
Job:als je met zijn baas praat en zegt: hoe is nou de developer zo efficiënt mogelijk? Want volgens mij heb jij een backlog van 2 jaar en wil je executeren op je roadmap en wil je nieuwe features aan je klanten leveren, dan moet je dus die developer niet ook je Obs moeten laten doen.
Renco:Nee, dat moet je outsourcen bij jullie afnemen. Klopt. Jij bent de CEO van het bedrijf, deels eigenaar van het bedrijf en jij bent ook volgens mij commercieel verantwoordelijk.
Job:Ja, Dus je
Renco:zult ook betrokken zijn bij het binnenhalen. Misschien niet van alle kleinere klanten, maar van grotere klanten zul je vast ook actief bij betrokken zijn. Maar even voor de luisteraar, wie is Job? Als het typeert jou wat je wil vertellen.
Job:Nou, dat is wel een mooie vraag. Ik denk tomeloos ambitieus, tomeloos energie, maar ook tomeloze positiviteit. Ik doe graag de dingen samen. Ik ben echt een mensenmens. Ik had toevallig net sixteen personality test gedaan.
Job:En daar kwam ook uit in het Engels dat ik soms een argument voor argument zeker doe. Dus dat ik niet van een discussie zonder dat het per se een oplossing hoeft te zijn. Daar kan ik mezelf wel eens in verliezen. Dus daar moet ik goed op letten. Maar ook heel pragmatisch.
Job:Ik hou gewoon van snelle denkers, snel in oplossingen denken en snel beslissingen maken en weer verder.
Renco:Ja, dat klinkt soms als consultant die al 10 jaar lang in de overheidswereld werkte. Ja, dat klinkt af en toe wel prettig hoor. Gewoon pap, pap, pap,
Job:weet je?
Renco:Ja, ik kan ook een beetje jaloers naar luisteren.
Job:Van nature kan ik soms ook met mensen die dan daar lang over doen of veel informatie op de slide hebben, vind ik dat soms ook lastig om daaraan te relateren. Laat ik me zeker, die slide wel gelezen. Maar wat is je vraag, laat ik maar zeggen. Maar ik moet dat niet zien als detail in een negatieve zin. Ik moet leren, dus dat is een ding waar ik er ook mee bezig ben.
Job:Van oké, dat is allemaal waardevolle input om uiteindelijk weer te verbeteren. Dus dat en dat vind ik ook leuk. Ik ben graag bezig met verbeteren. Ik doe ook nog een studie bijvoorbeeld daarnaast, managementwetenschappen aan de Open Universiteit. Maar thesis gaat over AI adoptie binnen SaaS-bedrijven en wat dat dan modereert, die adoptie.
Job:Dus ja, hartstikke leuk. Ook relevant voor onze klanten.
Renco:Nou, en als je deze dingen allemaal doet, dan zul je wel single zijn.
Job:Ja, ja, daar heb ik ook nog een vrouw en kinderen natuurlijk. Ja, dus 3 kinderen, 14, 12 en 8, dus dat is ook leuk. Zaterdag draai ik weer de bardienst bij de voetbalclub van 12 tot Dus dat hoort er ook inderdaad bij. Ja, dus dat is wel leuk.
Renco:Wel een goed gevulde week, veronderstel ik.
Job:Zeker. Niet veel
Renco:tijd over die nog Ik
Job:hoef me niet te vervelen. Nee, nee.
Renco:Jij bent de cloud service provider. Jouw klanten zijn softwarebedrijven gaf je al aan. Softwarebedrijven hebben ook weer klanten. Eerder noemde je het voorbeeld van een softwarebedrijf wat dan bijvoorbeeld het ministerie als eindklant heeft. Ik vond het wel eens interessant om te horen in die toeleveranciersketen.
Renco:Zie ik dat dan. Eigenlijk ben je ook een bedrijf wat diensten biedt in een soort keten naar die eindklant toe. Die eindklant komt bijvoorbeeld onder NIS2 te vallen. De nieuwe Europese directive die dan omgezet wordt in Nederland naar de cyberbeveiligingswet. Daar staat in dat je supply chain moet doen.
Renco:Je moet die hele toeleveranciersketen inzichtelijk maken en je moet zorgen die keten als geheel goed beveiligd is. Je kunt niet meer zeggen van: ik ben dit stukje en dat doen we super goed. Nee, je zit in een keten met nog mensen aan de ene kant op de trein en aan de andere kant ook
Job:niet. Nu
Renco:ben ik wel benieuwd. Kloppen mensen ook bij jou aan? Zeggen je op, ben je wel NIS2 compliant?
Job:NIS2, gek genoeg, niet extreem.
Renco:Niet extreem.
Job:Het wordt wel genoemd, maar er wordt niet aan ons gevraagd. Zijn jullie wel NIS2 compliant? Wij krijgen wel die vraag op het gebied van Dora. Dus we hebben bijvoorbeeld softwarebedrijven die aan verzekering en financiële instellingen leveren. Die moeten ISAE 3402 compliant zijn en die moeten ook Dora gewoon volledig invoeren en ook hun leveranciers langs die lat leggen.
Renco:En dat doen ze dan dus ook bij jou?
Job:Ja, dus we worden gewoon uitgenodigd op gesprekken en laat me zien hoe heb je dat geborgd, hoe heb je dit geregeld en hoe is dit in het geval van ons geregeld specifiek. Soort dingen worden gewoon gevraagd. We hebben hier dus intern, ik vind dat wel een beetje frustrerend, maar inmiddels iemand bijna 100 procent vrij moeten maken voor compliance.
Renco:Waarom vind je dat frustrerend?
Job:Nou, omdat 1, niet iedereen dat kan. Er is zoveel wet- en regelgeving en auditing inmiddels. Wij hebben bijna maandelijks inmiddels een audit.
Renco:Serieus? Maandelijks? Wow.
Job:We hebben de ISO 27001, 9001. We hebben SOC 2 inmiddels. We hebben de Azure Expert MSP audits, maar we hebben ook specialisations. Ja, zijn dus dus we zijn gespecialiseerd bijvoorbeeld in AKS bij Microsoft en dan krijg je dus een extra soort van batch of sticker als partner.
Renco:Maar daar zit ook toetsing dus?
Job:Ja, er zitten audits van. Er zitten gewoon 6 audits aan.
Renco:Vroeger kreeg je van de juf ook niet zomaar een sticker.
Job:Moet je
Renco:eerst laten zien dat je netjes kon schrijven.
Job:Dat begrijp ik, maar als je als Sok 2 als je audit doet en je doet al agile expert bij payroll. Dus ik noem nu net even, ik denk dat dat zijn al 9 audits op jaarbasis en je moet zo diep in die materie zitten, maar dat is niet mijn core business. Mijn core business is die klantenservice.
Renco:Is het voor jou als er zo'n Dora vraag komt, hoe is dat voor jou om die vraag te beantwoorden? Is dat moeilijk? Bedoel, sleep sleep je dan gewoon een paar audit rapporten op tafel en is de klant dan over het algemeen wel tevreden of komt die met hele specifieke Dora requirements waarvan jij ook denkt: oeh, dat is alweer, dat is alweer nummer 10 die ik aan zie komen.
Job:Nou, heel eerlijk, ik betrek altijd direct de compliance personen bij, want dat is gewoon degene die de expert is op dat gebied en die moet gewoon inhoudelijk mee kunnen met die klanten. Dus daar maken we tijd, geld en voor vrij, want die gaat nu bijvoorbeeld ook een Ciso-opleiding doen, want die wil er verder in verdiepen. Het was een projectmanager, die heeft het hele compliance deel onder zich getrokken, maar ook de awareness intern. Dus we hebben intern ook extra tooling geïmplementeerd voor security en dat soort zaken.
Renco:Ja, je bent ook 70001 gecertificeerd, dus je zult ook wel eens moeten doen, dat gebied.
Job:Nee, dat klopt. Maar wat mij opvalt met die klantvragen is dat die klanten het zelf ook nog allemaal niet precies weten. Op het gebied van Dora en dat was dan een klant. We hebben daar een project voor gedaan, maar die hebben geen beheer bij ons genomen. Daar is niet voor gekozen, want we zijn geen niet ISAE 3402 gecertificeerd.
Job:En die komen dan bij ons. Hoe hebben jullie dit voor ons ingeregeld? Dus mijn eerste vraag is, we hebben niks voor jullie ingeregeld. Wat bedoel jij precies met
Renco:op het gebied
Job:van Dora, want jullie wilden geen beheer bij ons afnemen want we zijn geen i7-vierduizend 102 gecertificeerd. Dus wat verwacht jij van die Matrix vanuit Dora die bij ons kan doorleggen als we alleen een consultancy project voor je hebben gedaan? Volgens mij zit hier dus geen keten aansprakelijkheid.
Renco:Dat is een aparte vraag misschien ook dan wel.
Job:Ja, klanten zelf hebben niet helemaal scherp in dat hele leveranciers management. Wie doet nu wat? Waar zijn die verantwoordelijkheden nou belegd? Deze klant gaat voor het eerst naar Azure, dus dat kan eigenlijk niet met je interne mensen, want het zijn altijd serverbeheerders geweest die moeten stap maken naar de publieke cloud. Die moet je opleiden en ondertussen probeer je die door dingen bij ons neer te leggen.
Renco:Nou ja, dat is wel een herkenbare hoor, organisaties die horen natuurlijk van 'er komt van alles op ons af' en dan is het fijn om dat over de schutting te leggen bij toeleveranciers. Ik zie dat ook wel eens aan de kant, dus bij mijn opdrachtgevers, dat er een dienst aanbesteed wordt of een ICT-oplossing en dan moeten zij ook aan voorwaarden voldoen. Ze moeten bijvoorbeeld laten zien dat ze 27001 gecertificeerd zijn. Ik wil ook dan een ISAE 3402 rapport zien en dan krijg ik soms met droge ogen stukken aangeleverd van de hosting provider. Prachtig.
Renco:Ik bedoel goed hoor, daar niet van, maar hier dekken we het niet mee af.
Job:Nee, dus dat is wel een trechter, want wat wij altijd deden was ook inderdaad verwijzen naar Azure, want die hebben alle certificering.
Renco:Daar kom je niet meer mee weg,
Job:zeg maar. Nee, zeker niet. Dus we hebben aan onze klanten gevraagd. Wij zitten te denken aan SOC 2 en niet aan ISA 3402.
Renco:SOC 2 is de internationale variant eigenlijk.
Job:Ja, en het dekt grotendeels ook af wat je met ISA 3402 moet doen.
Renco:Het is niet flauw bedoeld, want jij hebt het over certificeringen, maar ISA 4002 is een audit, een rapport wat je eigenlijk jaarlijks laat opstellen, veel geld voor betaalt en in SOC 2 is het eigenlijk hetzelfde.
Job:Ja, klopt. Een rapport in plaats van een certificering. Ja, want 70001
Renco:is natuurlijk echt een certificering.
Job:Nee, dus hebben we dat in de Klant Advies Raad besproken en die zeiden van ja, volgens mij kan je niet meer zonder SOC 2. Dus we hebben dit jaar SOC 2 gestart. Nee, je start natuurlijk met SOC 1, maar in eerste kwartaal hebben we de eerste metingen gedaan en de voorbereidingen en de scope en dat soort zaken en dan wordt voor de zomer nog een meting gedaan en dan aan het eind van het jaar hopen we de definitieve meting te kunnen doen in een soort 2 rapportage te kunnen krijgen. Dat kost ons dus 50000 euro. Moet ik dat nou doorbelasten naar mijn klanten?
Renco:Exact, dat was mijn volgende vraag. Zie jij dit echt als een soort corvee wat je moet doen om dat nou eenmaal de wereld om je heen verandert of lukt het je ook nog om de effort en de kosten, de euro's die je er tegenaan gooit, om die ook nog te vermarkten in iets wat jouw producten beter aantrekkelijk en daarmee misschien ook iets hoger te prijzen zijn?
Job:Nee, bijna niet. Dat laatste. Dat lijkt best wel lelijk, want je moet
Renco:het wel lappen.
Job:Klopt, dus wat ik heb gedaan, ik heb sowieso gezegd onze beheerkosten, die moeten veel beter worden uitgesplitst, want bijvoorbeeld per klant betalen we ook 500 euro per maand aan monitoring. Dus die klant moet begrijpen dat als je bij ons beheer betaalt zo'n 2500 euro per maand, dat 500 euro al monitoringkosten zijn.
Renco:Ja, dus een SOC-achtige dienstverlening.
Job:Nee, dus sensoren in de omgeving die ons alarmeren op het moment dat er iets kapot gaat en het moet hersteld worden. Oké, dus gewoon echt monitoring, fysieke monitoring, natuurlijk virtueel, maar de motoring van de machines. Maar we hebben ook een TOPdesk account voor die klanten. Dus we betalen ook voor TOPdesk.
Renco:Paar licenties voor natuurlijk.
Job:Precies. We besteden ook tijd aan kennis overdracht, maar ook innovatie, onderzoek of nieuwe technologie waar die klant straks baat bij heeft. Dus opleidingsbudget, we besteden dus geld aan Auditing, aan informatiebeveiliging, laten we zeggen aan het feit dat het goed geregeld is aan de achterkant. Ook dat is gewoon het percentage eigenlijk van kosten die die gewoon moet betalen.
Renco:Ja, is eigenlijk even toegespitst dan nu op dat informatiebeveiliging. De overheid, die neemt eigenlijk.
Job:Dat is precies wat ik bedoel en dat frustreert dat die overheid gewoon zo toeneemt, maar wat ik wel heb gezegd, ik krijg 2 dingen. We hebben, 1 stapje terug trouwens, we hebben dit allemaal wel uitgesplitst op onze website onder het mom van een trust centre, dus dat hebben we.
Renco:Een goed voorbeeld van Microsoft?
Job:Ja klopt en daar hebben we dus daar hebben we dat dus allemaal uitgesplitst. Op privacy, compliance en nog een aantal dingen en wat doen wij daar dan in? Wat kan je van Microsoft verwachten? Welke tooling zou je kunnen inzetten om je bijvoorbeeld te helpen met Dora? Defender of Sentanol weet wel.
Renco:Administratie2, die zit
Job:er ook tussen. Daar hebben we dat uitgemapt. Dus dat is informatief naar onze klanten toe. Daar verwijzen we ook actief naar, maar ik heb gezegd ik wil eigenlijk dat 1 compliance, dat in onze product keten als we een nieuw product maken, dat er altijd een haak wordt geslagen naar compliance. Dus als wij bijvoorbeeld zeggen, wij gaan jou helpen met security om dat omhoog te krijgen van bijvoorbeeld 65 procent security score naar 85 procent.
Job:Of we gaan je helpen met assessment recovery, 2 keer per jaar doen we ook een test in uitwijk. Dan wil ik eigenlijk de haak hebben. Oké, welke dingen van iso
Renco:Met welke controls zou
Job:je dit kunnen doen? Met welke? Wat dekt dit af in sok 2, laat maar zeggen over business continuitey? Zeg maar wat.
Renco:Ik spreek ook vaak over een control framework waarbij je eigenlijk al je raamwerken, op je normen en kaders waar je aan moet voldoen. Nou, je hebt er al een heel aantal genoemd in dit gesprek, waarbij je die eigenlijk in een onderlinge samenhang in een soort groot raamwerk zet, zodat je zeg maar, het is uitspraak voor, aantonen meervoudig verantwoorden. Ja,
Job:precies. Dus aan de ene kant wil ik dat al die producten los mappen op controls en aan de andere kant wil ik vanuit het raamwerk die verschillende normeringen, certificeringen, wetgeving hebben staan. En als je dus kijkt naar GDPR bijvoorbeeld, ik zeg maar wat, je kijkt onder GDPR naar informatiebeveiliging. Ik noem maar wat hoor. En je zoekt op een bepaalde control dat je dus andersom ook kan zien.
Job:Oké, dan heb je dus bij Incept deze specifieke dienstverlening nodig die je helpt met deze onderdelen om je daarop te kunnen voorbereiden, verantwoorden en dat
Renco:soort zaken. Wat een monsterklus.
Job:Ja, maar je hebt nu ook een ervoor vrijgemaakt, grotendeels, dus die zal dit soort dingen gewoon moeten gaan categoriseren, bundelen en bijhouden.
Renco:Ja, dit zal zich nog verder ontwikkelen en dan moet je eigenlijk op voorbereid zijn. Je eigenlijk zo hebben ontworpen en gebouwd dat als er nog een Dora 2 komt of een NIS 3, dan moet je dat er eigenlijk op diezelfde manier op kunnen mappen. In plaats van dat je elke keer dan maar audit 10, 11 en 12 optuigt, zodat je elke keer in een soort container laat zien dat je aan al die verschillende requirements voldoet, maar het wordt natuurlijk op een gegeven moment heel kostbaar en inefficiënt.
Job:Zeker, helemaal waar hoor. We kunnen er wel delen van automatiseren. Als je het hebt over security bijvoorbeeld. Er zijn gewoon best wel veel standaard open source scannings toolings bijvoorbeeld die ook op pen testers worden gebruikt, die bijvoorbeeld op Cis framework scannen, andere tag frameworks, laat ik maar zeggen En die we geautomatiseerd elke maand draaien voor onze klanten, die een heleboel aanbevelingen geven, die we een score meegeven met een high impact, medium, low impact, waar ze gewoon wat mee moeten, laat maar zeggen. En die scans zijn volledig te automatiseren.
Job:We kunnen volledig
Renco:-gespaspelen scannen.
Job:-Ja, volledig geautomatiseerd bijvoorbeeld documentatie daarvoor genereren richting de klant sturen. Dus dat zijn wel dingen van: kijk, daar moet gewoon meer tijd in worden gestoken en het automatiseren van dit zaken.
Renco:Ja, zodat ook die kosten naar beneden kunnen.
Job:Precies, precies. Maar wat ik lastig vind, is hoe hou je nou de wet- en regelgeving dan bij als eigenaarbaas? Want uiteindelijk is het mijn verantwoordelijkheid. Dus die komt.
Renco:-Daar maak je iemand voor verantwoordelijk denk ik.
Job:Ja, die moet mij dan voeden, maar ook voor die persoon is het misschien lastig om als iemand die vanuit de IT komt alle wet en regelgeving bij te houden. Het categoriseren, te bepalen wat is wel belangrijk voor ons, wat is niet belangrijk, wat ik voorstellen in het leiderschapsteam. Dus ik heb ook tegen deze persoon zei ik wil dat je gewoon vaker in het leiderschapsteam komt als wij maar onze maand of kwartaal vergadering hebben. Neem kwartier, half uur, praat ons bij over wat gebeurt er op het gebied van GDPR, wat gebeurt er op het gebied van Dora, wat gebeurt er gebied van Nistadina.
Renco:En er zit eventueel nieuwe dingen nog aan te komen.
Job:Ik wil het gewoon weten. Nou en dat faciliteert gewoon al: oké prima, we hebben hier een repeterend iets op, moet zelf ook onderzoek doen, intern werken we met GITHAP. Ik wil het daar gewoon gestructureerd zien. We werken ook met mavim, laat maar zeggen, voor onze controles informatiebeveiligingsbeleid, kwaliteit management, laat maar zeggen. Ik wil daar ook in terugzien.
Renco:Noem dat al die dingen die je nu opsomt, dat zijn allemaal ingrediënten voor mij van een managementsysteem. Uiteindelijk heb je natuurlijk die 70001 als managementsysteem voor informatiebeveiliging en daar wordt die PDCA cyclus afgedwongen eigenlijk. Dat is je kapstok zou ik zeggen. Daar kun je heel veel in ophangen. Alleen het gaat je wel steeds meer tijd, energie en geld kosten om aan al jouw klanten die aan je jas trekken te laten zien dat je voldoet.
Job:Ik heb ook gezegd, 2 keer per jaar een management review vind ik gewoon niet voldoende. Dus ik wil er vaker doorheen en ik zit zelf ook gewoon door al die items heen te klikken. Op een regenachtige donderdagmiddag ga ik gewoon door die items heen.
Renco:Als die kantinedienst kan leeg zijn in de bar, de voetbal.
Job:Ja, precies.
Renco:Dan zit je gewoon even
Job:ga ik door die items heen. Als ik
Renco:geen voortgang zie 2 maanden lang, hoe kan dat nou? Volgens mij moet
Job:die voortgang op zijn. Als die dit en dit is gemept, dit is intern uitgezet en bijvoorbeeld de procedure bij HR is aangepast, iets met de vochtverklaring, noem maar weer zo'n klein voorbeeldje hoor. En wij hebben dat in onze informatiebewaaringsbeleid gezet en ik zie dat het uitgevraagd is en er gebeurt niks. Ga er gewoon vragen over stellen.
Renco:Ja, moet zeggen, ik pink wel even een traantje weg hier, Jop. Ook hier is misschien het verschil met de overheidssector, maar iemand die gewoon zelf vaststelt als directeur van hé, er is een control, er niks op gebeurd en dat het daar achteraan gaat. Nou, ik schiet ik schiet even vol hier.
Job:Maar ik bedoel dat natuurlijk wel compleet random,
Renco:maar Maar oké.
Job:Het haat mensen Nee, nee, en dat is ook een beetje wat ik bedoel, laten we zeggen. Mijn werk is natuurlijk niet dit soort dingen bijhouden en en en dat frustreert natuurlijk wel eens. Aan de andere kant, het kan ook een kracht zijn. Laten we het met zijn allen vooral gebruiken, want dat is nog wel leuk om te vertellen. 1 van onze purpose stopt eigenlijk met het feit dat we de dingen willen doen voor een beter morgen.
Renco:Wat stopt er? 1 van onze?
Job:Onze purpose. Wij helpen die softwarebedrijven om betere software te schrijven uiteindelijk voor een beter morgen. Want als alle software gedreven wordt, alles wordt Saas, alles gaat naar de cloud, dan moet het niet alleen veilig, waar we het nu ook over hebben, het moet duurzaam, laat maar zeggen. Voor onze kinderen moet
Renco:het ook nog goed zijn.
Job:Dus sustainable cloud users is ook een thema bij ons. Hoe kunnen we dat nu duurzaam doen? Dan kijk je meer naar de Kooldioxide en de footprint, laat
Renco:maar zeggen,
Job:die uit die cloud komt. Maar als we het echt voor een beter morgen moeten doen, dan moeten we dit dus ook als taak echt wel zwaar oppakken en er gewoon zorgen dat we hier gewoon serieus tijd, geld en aandacht aan besteden. Zou het interessant vinden om dit soort dingen te benchmarken? Hoe doen andere IT bedrijven dit nu? Maken die dan ook 80 mensen 1 verantwoordelijk voor?
Renco:Wat zou dan ook kunnen? Qua
Job:kosten
Renco:en qua Ik
Job:denk niet dat iedereen bijvoorbeeld met SOC 2 bezig is. We leggen ons dat zelf op.
Renco:Ik denk niet dat je van mij het antwoord verwacht, want ik heb het er echt niet.
Job:Nee, dat snap ik, maar zijn vragen die ik mezelf wel stel.
Renco:Ja, begrijp ik. Ik wil nog 1 ander onderwerp, want als ik met een cloudservice provider zit, dan moet het ook even gaan over de geopolitieke toestanden.
Job:Ik hoop dat als jij het ging vragen.
Renco:Ja, Dus met het risico dat we dan gewoon nog een aflevering gaan opnemen nu, maar ik ben toch wel benieuwd. Je zei net al van nou, ik word niet vaak lastig gevallen met NIS 2. Nou, lastigvallen gebruik je trouwens niet, Nee. Je krijgt niet veel vragen over NIS 2, af en toe over Dora, maar je zult wel vragen krijgen, denk ik over waar staan mijn data?
Job:Kun
Renco:je dat een beetje bevredigend beantwoorden?
Job:Er is nu veel onrust in de markt, dus er worden gewoon veel vragen gesteld. Ik heb ook al van projecten gehoord gewoon on hold worden gezet. Dus bijvoorbeeld een softwarebedrijf die een overheidsinstelling binnenhaalt als klant.
Renco:Ik zeg
Job:van nou, doe maar even rustig aan. We gaan even kijken hoe het de komende tijd gaat.
Renco:Ja, we wachten eerst nog even af.
Job:Eigenlijk heel jammer, want een softwarebedrijf gaat natuurlijk weer klanten aansluiten, gaat groeien. Gewoon goed voor het economisch verkeer natuurlijk, zeg ik even als ondernemer.
Renco:Wij
Job:voelden ons ook genoodzaakt om proactief te over informeren. We hebben mailings eruit gedaan, een klanten blog geschreven over geopolitiek. Dan 2 dingen. Wij gebruiken zelf datacenters in Dublin, Amsterdam en Zweden vooral veel. Daar staat die data.
Job:Kan je dan garanderen dat het helemaal nooit naar Amerika gaat? Ja, goeie vraag. Is net wel een aankondiging geweest van Bret Sam, als ik het goed zeg. Die hoogste legal baas van Microsoft. Hij zit er ook al heel lang.
Renco:Gelezen ja, dat er een soort Europese -chef-
Job:En hij gaat de broncode van Azure in Zwitserland neerleggen. Nou, ik weet niet precies wat daar nou de praktische invulling van is. Er is dan iemand gerichter om die broncode dan te openen en kan dan Als je erop bouwen vanuit Zwitserland uit de bunker, geen idee. Dus dat vind ik een beetje lastig. Dat vind
Renco:ik wel, gaat wel vertrouwen vanuit, want die Zwitsers die kunnen dat wel bewaren.
Job:Ik denk dat ze inderdaad expres ook Zwitserland hebben gezegd. Wat ze daarnaast doen is een aantal datacenters bouwen en het eigenaarschap gaat dan naar een lokale partij. Dus de eigenaarschap van de datacenter is niet meer van Microsoft, maar van bijvoorbeeld in Frankrijk, Blue en in Duitsland en andere clubs.
Renco:Ze hebben
Job:het in het verleden volgens mij met T-Mobile.
Renco:Maar Microsoft exporteert het dan?
Job:Ja, dus het rijdt dan Azure. Je betaalt meer, omdat het een lokale variant is die gewoon volledig door een lokale club in eigendom is.
Renco:Een extra smaak zal
Job:ik maar zeggen in
Renco:het palet van Microsoft. Als jij een volledig gelokaliseerd variant wil, dan kan dat ook.
Job:Ja, dat klopt. En ze zeggen natuurlijk we zijn altijd al remote of hoe noem je dat nou, hybride. Dus ja, ze hebben natuurlijk tooling zoals Azure, waarbij je vanuit Azure eigenlijk ook je omgeving kan managen. Ja, we waren altijd al hybride, dus nou ja goed oké, is niet het antwoord op onze vragen denk ik.
Renco:Maar heb je het idee dat er klanten zijn die zich hier dusdanig veel zorgen over maken? Dan heb ik het niet zozeer over nieuwe dingen die we nog eens van plan zijn te doen, want die zou je inderdaad makkelijker op pauze kunnen zetten. Maar ja, je hebt natuurlijk ook wel heel veel dingen die draaien gewoon. Dat kan je niet permitteren.
Job:Nee, die gaan dus niet zomaar de cloud uit. Dat is 1.
Renco:Dat lijkt me ook een hoge uitstap drempel overigens.
Job:Ja, en ik vraag dan ook door: hoe zit je met je e-mail? Wat gebruik je als e-mailprovider? Eigenlijk toch altijd outlook Microsoft, laat maar zeggen. Ja, zeg gebruik je Word of wat doe je? Ja, waar komt het uit een 365 abonnement?
Job:Heb je een lokale installatie van Word of hoe doe je dat dan? En synchroniseert dat naar OneDrive? Ja, synchroniseert wel naar OneDrive. Waar staat dat dan?
Renco:Dus eigenlijk trek je de vraag breder, maak je hem groter om
Job:als Nou, dat je het wel kan hebben over ik moet uit die cloud met mijn servers, maar je bent helemaal niet uit die cloud met servers. Je bent voor de helft uit de cloud, laat maar zeggen. En wat doe je met de Je moet wel over de hele data streep praten als je het mij vraagt en niet alleen over die server, laat maar zeggen. Dus het is niet mijn bedoeling om daarmee klanten te ontmoedigen om te zeggen van: het gaat je toch nooit lukken. Maar is mijn bedoeling wel om de vraag in de breedste zin van het woord te
Renco:krijgen.
Job:Ik zit overigens ook in een SaaS community WhatsApp groep met ik denk ongeveer 200 SaaS, meer startup-achtige clubs. Daar ging die gewoon los hoor. Daar zijn gewoon mensen die prima andere cloud alternatieven hebben en die gewoon naar Duitse, Franse, Nederlandse varianten springen met hun omgeving, die soms zelfs goedkoper zijn dan Azure. Daar zie het gewoon echt letterlijk gebeuren.
Renco:Ligt er ook een beetje aan wat voor software je draait, wat voor functionaliteit je zoekt. Het zal niet voor iedereen misschien een haalbare kaart zijn, maar het is natuurlijk niet dat het of Azure of niks is.
Job:Nee, als je ook met 10 man bent en je hebt 5 klanten, laat maar zeggen, dan is het misschien ook een heel ander verhaal dan als je een softwarebedrijf met 40 jaar historie en 40 jaar code in tot net, laat maar zeggen. Je bent al in Azure en je hebt helft van je klanten al over. Ik bedoel, dat is natuurlijk een heel groot verschil. Maar er zijn zeker alternatieven. En wat wij wel hebben gezegd in onze strategie, willen op termijn 2026, 2027 een tweede cloud aansluiten en we zeiden altijd dat gaat Avs worden.
Renco:Maar
Job:zou dat dan niet een lokaal alternatief moeten zijn?
Renco:Een EU-alternatief met 3 dan.
Job:Een EU-alternatief in plaats van Avs.
Renco:Ja, want anders dan kom je natuurlijk een beetje van de regen in het rup, in de zin dat je met die AWS, tweede cloud, een aantal van deze bezwaren natuurlijk nog steeds niet piepen. Of moeten we en en doen?
Job:Dus en AWS en een lokale speler.
Renco:Een beetje wat je net vertelde, dat Microsoft eigenlijk ook een soort nieuwe smaak toevoegt van je kunt een cloud afnemen in Duitsland, dan betaal je wat meer, maar dan is die helemaal locally owned.
Job:Ja, dat klopt. Dus het heeft zeker impact op onze strategie, heeft ook absoluut impact op onze klanten die het gewoon ook echt wel spannend vinden. Ik zie voor nu nog niet onze klanten direct
Renco:Ik zie ook geen zweetdruppels op jouw voorhoofd ontslaan.
Job:Nee, zeker niet en nogmaals, ik vind dus echt dat je hem dan in de bredere zin van het woord gaat, met de helft van je data vertrekken vind ik niet uit de cloud vertrekken.
Renco:Nee, dus in bepaalde hypocrisie zie Dat kan ook een onwetendheid zijn natuurlijk, maar je kunt zo'n partij als jullie onevenredig aanrekenen dat jullie dan met een Amerikaanse cloud provider werken. Terwijl ja, thuis zeg ik: het is toch wel handig dat ik dan mijn documenten ook op mijn telefoon kan blijven. Ja, op
Job:je foto's. Nee, zeker. De vraag racet bij mij wel een beetje van ja, Microsoft heeft wel echt extreem veel macht. Die e-mailknop als ze die uitzetten, dat gaat natuurlijk niet gebeuren. Maar dat zeg ik nu.
Job:Het is natuurlijk best wel vreemd als we daarover nadenken. Hetzelfde geldt natuurlijk voor Tesla. Ik wil niet weer een heel ander onderwerp aansnijden, maar ik begreep dat die een knop hebben, omdat ze op afstand de auto uit kunnen zetten. Dat is toch raar?
Renco:Het is een beetje zo'n nare droom, toch?
Job:Ja, maar dat is toch vreemd? Als we daarover nadenken met elkaar, we dus die ander blijkbaar voldoende vertrouwen dat die mijn e-mail maar door laat lopen. Ja, het is natuurlijk een commercieel belang, dat begrijp ik ook wel. Het een kapitalistisch systeem, dat snap ik ook wel.
Renco:Dat is niet echt een incentive om op die knop te drukken.
Job:Nee. Maar het kan wel.
Renco:Het kan wel, ja. Ik moet natuurlijk bekennen dat jarenlang naar volle tevredenheid klant bij jou geweest. Ben als eenzitter in Microsoft 365. Ik heb onlangs mijn contact al opgezegd, maar goed, ben natuurlijk aan een vreselijk lange opzegtermijn gehouden. Nee, grapje.
Job:25 jaar.
Renco:Maar ik ben dus nu overgestapt naar Maar
Job:het was wel compliance.
Renco:Nee, zonder meer, maar ik ben nu overgestapt naar een andere e-mailprovider.
Job:En ben je daar blij mee?
Renco:Ja, ik ben overgestapt naar Proton.
Job:Werkt dat goed? Zwitserland, Ja,
Renco:Ja, het werkt goed. Alleen laten we niet doen alsof het dezelfde functionaliteiten biedt als die Microsoft biedt.
Job:En bij Teams doe je ook niet meer?
Renco:Ja, heb niet meer zelf een Teams licentie, dus iemand moet mij gewoon uitnodigen dan. Dan kan ik gewoon via de web
Job:En als je mij uitnodigt voor een virtuele online meeting? Hoe doe je dat dan?
Renco:Ja, ik fiets gewoon naar jou toe.
Job:Ja, maar dat gaat ook via Poot? Dat doen ze ook gewoon?
Renco:Nee, ze doen geen videoconferencing. Nee, nee, nee. Dus als ik, ik kan, dan moet ik ofwel toch besluiten dat deel via Teams te blijven doen. Ja, ik moet uitwijken naar Zoom of Of Google inderdaad. Dat hoeft ook niet erg te zijn.
Job:Maar dat is gewoon wat je moet verkennen denk ik.
Renco:Ja, Precies, ik heb daar ook best wel de tijd voor genomen om dat allemaal uit te zoeken. Voor alle duidelijkheid, ik vind dat Microsoft echt mooie producten maakte en ik als éénpitter, en ook nog eens een keer in het vakgebied van informatiebeveiliging en privacy dacht nou, misschien moet ik gewoon eens Je
Job:moet het sowieso proberen.
Renco:Daarom. Ik ben er tot nu toe prima tevreden over, maar als ik 75 of 80 man in dienst had, dan zou ik niet overstappen naar Programmill. Zo is het ook.
Job:Ja, nee precies, maar dit is wel natuurlijk interessant ook op de lange termijn om dit soort dingen continu te blijven onderzoeken en we moeten daar gewoon met zijn allen absoluut niet blind voor zijn. Dat is denk ik wel wat de tijd ons nu meer dan nooit leert en wat ik niet had verwacht, laat maar zeggen. Dat dit zo snel zou kunnen gaan qua onrust qua sentiment inderdaad. Dat het zo snel zou kunnen gaan. Daar schrik ik wel een beetje van.
Renco:Als je een jaar terugkijkt en nu, dat is een enorm verschil.
Job:Ja, maar ik vraag me dan ook een beetje wat zijn de Europese alternatieven nou echt? Je hebt natuurlijk op het gebied van AI natuurlijk wel chat en cloud en dat soort dingen. Met name de Fransen volgens mij zijn er wel ver in. Maar ja, we proberen in Europa toch heel sterk te reguleren, in plaats van toch misschien iets minder te innoveren. Dat vind ik ook wel een spannende dan op dit gebied hoor.
Renco:Nou ja, ik ben het met je eens. Het alternatieve verhaal, zeker als het een bepaalde schaalgrootte heeft en integraties vraagt, Dan is dat niet zo makkelijk. Ik ben in 1 pitten een stadsnack voor Voor menig ander bedrijf ook nog wel. Je moet er wel even de tijd en energie insteken. Maar laten we ook onderkennen dat voor veel grote bedrijven dit helemaal niet.
Job:Nee, het is niet makkelijk hoor. Zou je bijvoorbeeld overstappen van ChatGPT naar DeepSyk als bedrijf zijnde, omdat het sentiment nu zo keert rondom Amerika? Ik denk dat het toch van de regen en de drup denk ik dan.
Renco:Ja, dat denk ik dan Maar dan dan maar komen we ook op het terrein waar ik eigenlijk weinig verstand van heb nog. Ja,
Job:wordt bijna filosofisch ook misschien.
Renco:Ik moet ja, ik moet misschien gewoon straks jouw thesis gaan lezen. Ja. Dan steek ik in ieder geval in de context van SaaS providers steek ik wat op.
Job:Ja, ik hoop het, ja. We moeten data nog uit gaan wijzen,
Renco:dus Oké, wat is de beoogde
Job:Nou, juni hoop ik toch wel mijn draft in te kunnen leveren. Zit nu in dataverzameling en maar dan moet het ook echt wel een keer klaar zijn, want ik wil eigenlijk voor mijn vakantie verdediging.
Renco:Kan me voorstellen. Het is wel lekker om dat achter te hebben.
Job:Maar dat gaat wel elk weekend even doorpees geworden. Naar de Bardienst.
Renco:Ik vond het ontzettend leuk om met je te praten hierover.
Job:Ja, dank je wel. Ik ook leuk om te doen.
Renco:Wij houden dit nog een half uur volhouden denk ik, maar de luisteraar heeft hoge informatiedichtheid denk ik al te pakken. Denk ik ook ja. Bedankt voor je tijd en ik zie je er bij de Albert Heijn denk ik. Ja, leuk
Job:man, dank je wel.
Renco:Ja, dat was een leuke opname met Job, oude schoolvriend. Kwam allebei uit Wij. Het is toch ook wel een leuke link zo op deze manier en het was in Zwolle dus ik kon nog gewoon op mijn fietsje met de podcast spullen in de rugtas er heen. Wat een luxe. Nou ja, een beetje rommel gemaakt daar op de grond met al die thee, maar dat is ook allemaal weer goed gekomen dus we hebben na afloop nog patat gegeten en een broodje frikandel dus ja, top dan.
Renco:Job, dankjewel en jij ook bedankt voor het luisteren. Graag tot over een maand.
