Opkomende securityvendors: de kans is reëel, de check is cruciaal

Bij Zovi zien wij het in de aanvragen: de vraag naar securityoplossingen van minder bekende leveranciers neemt toe. Niet omdat organisaties de grote namen niet kennen, maar juist omdat ze die namen wél kennen en inmiddels ook de beperkingen ervan begrijpen. Het A-merk is groot, breed en duur. En voor veel specifieke vraagstukken is dat precies het probleem.

De securitymarkt is de afgelopen jaren sterk gefragmenteerd. Waar vijf jaar geleden een handvol grote namen het speelveld domineerde, telt de markt nu honderden vendors die zich richten op specifieke niches: endpoint-detectie voor OT-omgevingen, identiteitsbeheer voor hybride werkomgevingen, dreigingsanalyse voor kritieke infrastructuur, NIS2-compliance voor het MKB. Geen van die oplossingen wordt goed afgedekt door een generalistisch platform van een van de bekende namen. En dat weten inkopers inmiddels ook.

Daarbij speelt een tweede factor. De geopolitieke situatie heeft organisaties bewuster gemaakt van waar software vandaan komt en welke wetgeving er op die software van toepassing is. De discussie over Amerikaanse cloudproviders en datasoevereiniteit heeft geleid tot een zichtbare zoektocht naar Europese alternatieven, met name in de publieke sector en bij organisaties die gevoelige data verwerken. Die zoektocht leidt vrijwel automatisch naar namen die bij veel inkopers nog onbekend zijn.

Het is een terechte ontwikkeling. Maar er is een keerzijde die in aanvragen zelden aan bod komt.

De securitymarkt trekt ook vendors aan die het minder nauw nemen. Een overtuigend product, een goede pitch en een paar referenties zijn voldoende om op de radar te komen van organisaties die actief zoeken naar alternatieven. Wat je van buiten niet altijd ziet: hoe snel worden kwetsbaarheden gepatcht? Hoe transparant is de vendor over incidenten? Wie is er eigenlijk aandeelhouder en waar liggen de belangen? Is de software daadwerkelijk getest op de Nederlandse markt, of is de compliance-documentatie een vertaling van een Amerikaans of Israelisch sjabloon?

Zovi checkt dit actief voordat een vendor aan een aanvraag wordt gekoppeld. Dat klinkt vanzelfsprekend, maar in de praktijk gaat het verder dan een referentiecheck. Het gaat om het beoordelen van patchhistorie, financiering, structuur van de organisatie, de aanwezigheid van een verwerkersovereenkomst die past bij de Nederlandse markt, en de vraag of een vendor in staat is om op de lange termijn ondersteuning te leveren. Een startende vendor met een sterk product kan prima een goede keuze zijn. Maar dan moet je dat wel kunnen onderbouwen.

Wat Zovi ook terugziet in de praktijk is dat de vraag naar specifieke oplossingen soms te snel wordt omgezet in een keuze voor een specifieke vendor. Een organisatie heeft een probleem in de hoek van OSINT of threat intelligence, zoekt op en vindt een kleine Europese partij die precies dat doet. De klik is er, het product ziet er goed uit. Maar er is niet gekeken of er ook andere partijen zijn die hetzelfde doen, en of die vergelijking niet een completer beeld geeft. De meerwaarde van Zovi zit mede in dat brede overzicht: wij weten wat er naast die ene gevonden naam nog bestaat, wereldwijd, per segment.

De opkomst van serieuze security-alternatieven buiten de grote namen is een positieve ontwikkeling voor de markt. Het vergroot het aanbod, drijft innovatie en maakt specifiekere oplossingen bereikbaar voor organisaties die eerder alleen konden kiezen uit wat de grote platforms boden. Maar die verbreding vraagt ook om meer discipline in het selectieproces, niet minder. De naam is kleiner, de kans op een goede fit is groter, en het risico op een verkeerde keuze is reëel als de check ontbreekt.

Zovi helpt die check te doen. Niet als obstakel, maar als onderdeel van wat een goede aanvraag oplevert. Wilt u weten hoe wij een specifieke securityvendor beoordelen? Neem contact op via info@zovisoftwaresolutions.com.