Het SLA-Kwartaalgesprek met je IT-Partner: 7 Scherpste Vragen
Een periodiek SLA-gesprek tussen directie en IT-partner hoort niet alleen te gaan over openstaande tickets of hardwarevervanging, maar over continuïteit, beveiligingsrisico's en aantoonbaar bewijs. Het uitbesteden van IT-beheer ontslaat een organisatie niet van haar eigen verantwoordelijkheid voor passende beveiligingsmaatregelen en toezicht. De IT-partner heeft daarnaast eigen verantwoordelijkheden op basis van de overeengekomen dienstverlening en, afhankelijk van zijn rol, toepasselijke wetgeving.
Dit artikel hoort bij het thema ICT-ondersteuning en leveranciersbeheer, onderdeel van ICT-beheer en werkplekken.
Door periodiek een gestructureerd overleg te voeren aan de hand van concrete controle-indicatoren (zoals hersteltests van back-ups, patchgraden, beheer van administratorrechten en endpointbeveiliging), ontstaat een transparante samenwerking. Dit zorgt voor duidelijke verwachtingen vóórdat er sprake is van een audit, verzekeringsvraag of storing.
Waarom operationele rapportages niet altijd het hele verhaal vertellen
Veel IT-leveranciers leveren periodiek geautomatiseerde overzichten: uptime-percentages, aantal verwerkte e-mails en gesloten helpdesktickets.
Deze gegevens zijn nuttig voor het dagelijks beheer, maar beantwoorden niet direct de strategische risicovragen van de directie:
- Hoe snel kunnen we systemen en gegevens feitelijk herstellen bij ernstige uitval of versleuteling?
- Welke accounts beschikken over verstrekkende beheerdersrechten en hoe worden die beschermd?
- Voldoet onze huidige inrichting aan de afspraken in contracten, verwerkersovereenkomsten en polisvoorwaarden?
De 7 Controlevragen voor het Kwartaaloverleg
Gebruik deze vaste onderwerpen tijdens het overleg met je IT-dienstverlener:
1. back-up en herstelbaarheid
"Wanneer is de meest recente hersteltest uitgevoerd, welk systeem betrof dit,
en wat waren de gemeten hersteltijd en uitkomsten?"
2. meervoudige authenticatie (mfa)
"Op welke zakelijke systemen en gebruikersgroepen is MFA technisch afgedwongen,
en zijn er actieve uitzonderingen?"
3. beheerdersrechten en privileged accounts
"Hoeveel accounts hebben beheerdersrechten binnen onze omgeving, wie beheert deze,
en worden hiervoor strikt gescheiden accounts gebruikt voor dagelijkse werkzaamheden?"
4. updatebeheer en ondersteuning
"Zijn er servers, werkplekken of netwerkcomponenten met openstaande beveiligingsupdates
langer dan de overeengekomen termijn, of systemen die einde-levensduur hebben bereikt?"
5. endpointbeveiliging en monitoring
"Is de gekozen antivirus- of EDR-oplossing actief op alle bekende werkplekken en servers,
en hoe verloopt de opvolging bij een kritieke beveiligingswaarschuwing?"
6. uitdiensttreding en accountbeheer
"Zijn de accounts van vertrokken medewerkers aantoonbaar gedeactiveerd en zijn bijbehorende
sessies en mobiele koppelingen ingetrokken?"
7. data-opslag en leveranciersafspraken
"Waar worden onze gegevens en back-ups fysiek opgeslagen, zijn de verwerkersovereenkomsten
up-to-date en wie heeft namens de IT-beheerder toegang tot onze data?"
De Norm: Wat schrijven standaarden voor over leveranciersbeheer?
- CIS Controls v8 (Safeguards 15.4, 15.5 & 15.6): Service Provider Management. Stel expliciete beveiligingseisen vast in overeenkomsten met dienstverleners, beoordeel periodiek of zij aan deze vereisten voldoen, en monitor de geleverde beveiligingsprestaties.
- AVG / GDPR (Artikel 28 lid 1): De verwerkingsverantwoordelijke mag uitsluitend een beroep doen op verwerkers die afdoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen.
Praktijkscenario: Het overleg dat een slapend risico blootlegde
Aantoonbaar Bewijs: Hoe leg je het gesprek vast?
Een constructief overleg levert duidelijke afspraken op die schriftelijk worden vastgelegd:
- Kort gespreksverslag: Een beknopte samenvatting van de besproken onderwerpen en verstrekte overzichten.
- Gezamenlijke actielijst: Punten die moeten worden aangepast, voorzien van een opleverdatum en een verantwoordelijke persoon.
- Ondertekening of schriftelijke bevestiging: Bevestiging per e-mail van beide kanten zodat verwachtingen over en weer helder zijn.
Veelgestelde vragen
Hoe reageert een IT-partner doorgaans op dit soort gerichte vragen?
Een professionele IT-dienstverlener moet dit soort vragen kunnen beantwoorden en onderbouwen. Het biedt de IT-partner de gelegenheid om te laten zien welke beheertaken zijn uitgevoerd en waar eventueel aanvullende keuzes of investeringen van de directie nodig zijn.
Wat als onze IT-beheerder bepaalde bewijsstukken niet direct paraat heeft?
Dat kan gebeuren bij een eerste gesprek. Maak in dat geval een concrete vervolgafspraak waarin de ontbrekende rapportages (zoals een back-up herstelverslag of MFA-overzicht) binnen een redelijke termijn (bijvoorbeeld twee weken) alsnog worden aangeleverd.