Sophos CISO Advantage: doel, dienstgrenzen en invoering

Sophos CISO Advantage helpt beveiligingsrisico’s te vertalen naar een verbeterplan met prioriteiten en begrijpelijke managementrapporten. Het aanbod is bedoeld voor organisaties zonder eigen Chief Information Security Officer én voor bestaande beveiligingsteams. Het maakt deel uit van Sophos Fusion (voorheen Sophos Central) en ondersteunt de planning van een beveiligingsprogramma; het is geen extra endpointagent of vervanging voor incidentafhandeling.

Beschikbaarheid, gecontroleerd op 28 oktober 2026: Sophos beschrijft nog steeds een uitrol in geselecteerde regio’s. Dat bevestigt geen beschikbaarheid in Zwitserland, voor een bepaalde rechtspersoon of voor elke Fusion-tenant. Laat vóór de planning het land, de leveringswijze, de bestelbare dienstverlening en de feitelijke startdatum bevestigen. Een zichtbare productnaam of algemene aankondiging volstaat niet.

Voor de technische beschikbaarstelling is de gegevensregio van de Fusion-tenant bepalend; het bedrijfsadres en de tenantregio kunnen verschillen. Stem vóór de bestelling tenant, regio, licentie en toegangsroute af met de partner. Bij beheer door een partner hoort ook de concrete klant- en estatestructuur bij deze controle. Een algemene GA-aankondiging betekent geen activering voor elke tenant of beheerstructuur. Ontbreekt My Products > CISO Advantage, controleer dan deze punten en de uitvoerende rol, in plaats van op goed geluk een tweede tenant aan te maken.

Welke taak het aanbod vervult

Sophos beschrijft vier samenhangende stappen: een nulmeting met omgevingsgegevens en bedrijfscontext, rapporten voor de directie, een verbeterplan met prioriteiten en herhaalde voortgangscontroles. Een koppeling aan raamwerken zoals NIST en CIS kan de werkzaamheden structureren; ze bevestigt geen certificering of wettelijke conformiteit.

Het praktische verschil met een alarmoverzicht zit in de beslissing: welk risico raakt welk bedrijfsproces, welke maatregel heeft voorrang en hoe wordt later verbetering vastgesteld? Een aanbeveling vereist nog steeds een interne verantwoordelijke, budget en goedgekeurde uitvoering.

Volgens Sophos kan CISO Advantage intern of met een servicepartner worden gebruikt. Daaruit volgen niet automatisch een persoonlijk CISO-mandaat, overdracht van de directieverantwoordelijkheid of onbeperkte adviesuren. De daadwerkelijk geleverde ondersteuning hoort in de concrete opdracht.

Onderscheid maken met aangrenzende diensten

Account Health Check controleert concrete Sophos-beveiligings- en tenantinstellingen. CISO Advantage richt zich op de bredere beoordeling en prioritering van het beveiligingsprogramma. Een goede healthstatus vervangt die beoordeling niet.

MDR en MDR Plus betreffen bewaking en reactie op actieve dreigingen. Managed Risk onderzoekt het overeengekomen aanvalsoppervlak op kwetsbaarheden. Een strategisch rapport activeert of levert deze diensten niet automatisch. Ook een Security Services Retainer is een afzonderlijk inkoopmodel met af te bakenen opdrachten.

Licentie en dienstverlening vooraf afstemmen

Sophos biedt een jaarlijkse Term-licentie voor gebruik binnen de eigen organisatie of met een servicepartner en een maandelijkse subscription via MSP Flex. De openbare GA-aankondiging beschrijft deze modellen. Het platform alleen omvat het product of persoonlijke adviesuren niet.

De modellen gebruiken verschillende teleenheden. In de openbare MSP Summit licht Sophos Term op gebruikersbasis en MSP Flex per beheerde klant toe, maandelijks met één licentie ongeacht de omvang van diens organisatie. De algemene licentierichtlijn met stand 16 oktober 2026 vermeldt CISO Advantage als subscription per gebruiker, zonder dit Flex-onderscheid uit te werken. Leg daarom het concrete model vast in de offerte en het License Schedule. Een Term-offerte wordt niet op basis van het aantal klanttenants berekend; bij Flex mogen het aantal gebruikers en de maandelijkse klanteenheid niet worden vermengd. Beschrijf aanvullende overeengekomen advisering afzonderlijk. De algemene licentiecontrole in Sophos Fusion vervangt deze productspecifieke controle niet.

Wat handmatig wordt vastgelegd en waarbij AI helpt

De huidige werkwijze begint met een organisatieprofiel en een vragenlijst. Verantwoordelijken beschrijven de toestand van beveiligingsmaatregelen, beoordelen die en voegen bewijs toe. CISO Advantage verzamelt het bewijs momenteel niet automatisch uit Sophos- of externe producten. Een bestaand Fusion-product en de bijbehorende telemetrie vervangen daarom geen antwoorden of bewijsstukken. Het bedieningsoverzicht van Sophos noemt profiel, beantwoord assessment, bewijs en doelen uitdrukkelijk als werkstappen.

AI kan de inhoud van een controle toelichten en formuleringen of beoordelingen voorbereiden. Onder Analyze conversation kan een goedgekeurd VTT-transcript van een gesprek worden geanalyseerd ten opzichte van een assessment. Selecteer het volledige framework, bepaalde onderdelen of afzonderlijke vragen, bevestig de vereiste toestemming van de deelnemers en start Analyze. Onder Review changes worden voorstellen gecontroleerd; scores, notities of beide kunnen gericht worden overgenomen en vooraf worden bewerkt. Dit is een ondersteunde analyse van aangeleverde informatie, geen autonoom uitgevoerde beveiligingsaudit. De gedocumenteerde werkwijze vereist uitdrukkelijk menselijke controle.

CISO Advantage Plus met doorlopende assurance, governance-uitbreidingen en geautomatiseerde compliance staat in de GA-aankondiging beschreven voor 2027. Daaruit volgt geen bindende leverdatum of vandaag beschikbare automatische validatie van controles. Voor acceptatie tellen de daadwerkelijk beschikbare functies en gecontroleerde resultaten.

Van profiel naar gepubliceerd assessment

Een assessment is een gestructureerde beoordeling aan de hand van een gekozen raamwerk. Leg vóór de start de inhoudelijke verantwoordelijkheid, onderzochte organisatie en beoordelingsperiode vast. Een goedgekeurd framework met enkele goed bekende controles is geschikt als overzichtelijke pilot. Daarvoor hoeft geen productieconfiguratie bewust te worden verzwakt.

Profiel en beoordelingsmodel bepalen

Onder My Products > CISO Advantage begeleidt de wizard het invullen van het organisatieprofiel. Organizational context beschrijft bijvoorbeeld sector, aantal medewerkers en omzet. Additional context voegt bedrijfsdoelen, risicohistorie en IT-afhankelijkheid toe. Leg onbekende waarden als zodanig vast; verzonnen nauwkeurigheid zou ook de gemodelleerde gevolgen vertekenen. Voor latere rapporten moeten beide profieldelen compleet zijn. Een bestaand profiel kan onder Assessments > Update profile worden bijgewerkt.

Het framework volgt uit het daadwerkelijke beoordelingsdoel. De frameworkhelp onderscheidt drie modellen:

Controleer vóór de start de precieze versie en selectie in de tenant, bijvoorbeeld bij CIS v8, NIST CSF 2.0 of NIS2. Is een bepaald raamwerk zoals AIUC-1 een contractvoorwaarde, laat de beschikbaarheid dan vooraf bevestigen. ISO-Aligned Assessment is geen ISO-certificering; Cyber Essentials houdt geen toezegging van Cyber Essentials Plus-certificering in. Scores uit verschillende modellen kunnen niet als identieke percentages worden vergeleken.

Controles beantwoorden en doelen stellen

De assessmentprocedure is als volgt gedocumenteerd:

1. Assessments > Create Assessment openen. Framework, een eenduidige Label-aanduiding en Period start vastleggen, bijvoorbeeld Basisbeoordeling oktober 2026 met het daadwerkelijke begin van de beoordelingsperiode. De naam is vrij te kiezen. Aanmaken met Create Assessment.
2. Een onderdeel uitklappen en een controle openen. Onder Overview de daadwerkelijke Deployment status en waar nodig Remediation vastleggen. Bij frameworks met volwassenheidsniveaus het aantoonbare niveau kiezen.
3. Onder Overview met Owner en Target Date bepalen wie de verbetering wanneer moet uitvoeren. Onder Additional information de implementatie en bekende leemten toelichten. Antwoorden worden automatisch opgeslagen.
4. Doelwaarden onder CISO Advantage > Targets per Framework vastleggen, met Apply toepassen en met Save opslaan. Voor een afzonderlijk assessment kunnen onder het bijbehorende tabblad Targets afwijkende waarden worden ingesteld.

Een doel moet aansluiten op risico, budget en planning. Niet elke controle vereist onmiddellijk het hoogste volwassenheidsniveau. De Targets-help beschrijft ook afwijkingen per onderdeel en prioriteiten volgens Implementation Groups. N/A verwijdert een controle uit de scoreberekening; de selectie vereist daarom een inhoudelijke scopeonderbouwing en dient niet om de waarde optisch te verbeteren.

Bewijs koppelen en resultaat vastleggen

Een bewijsstuk moet het concrete antwoord onderbouwen, bijvoorbeeld een configuratiebewijs waaruit gevoelige gegevens zijn verwijderd of een verslag van een daadwerkelijk uitgevoerde hersteltest. Controleer vóór upload toegang, vertrouwelijkheid en toegestane inhoud. Wachtwoorden, tokens en onnodige persoonsgegevens horen niet in het bestand.

Via My Products > CISO Advantage > Evidence > Add evidence krijgt het bewijsstuk een naam en beschrijving; het bestand wordt onder Attachments toegevoegd. Met Add controls worden het assessment en de bijbehorende controles geselecteerd, gevolgd door Submit evidence. Via Actions > Assign to controls kan bestaand bewijs later aan meer controles worden gekoppeld. Het kan ook in het assessment of direct op het tabblad Evidence van een controle worden toegevoegd. De bewijshelp legt deze routes uit.

Open na het koppelen dezelfde controle opnieuw: sluiten bestand, beschrijving, datum en daadwerkelijke implementatie aan op het antwoord? Een oude schermafbeelding of alleen geplande test volstaat niet als actueel bewijs van werking. Controleer onder Findings van het assessment openstaande antwoorden, doelrealisatie en beschikbare vergelijkingen. Publiceer het assessment pas nadat antwoorden, bewijs en doelen zijn gecontroleerd. Per framework kan slechts één concept tegelijk bestaan; stem een nieuwe beoordeling daarom af op de bestaande werkzaamheden.

Een rapport opstellen en inhoudelijk controleren

De rapporthelp vereist beide profieldelen en minimaal één gepubliceerd assessment. Ontbreekt een daarvan, dan vraagt CISO Advantage om aanvulling.

1. CISO Advantage > Reporting > Create report openen.
2. Het gewenste assessment selecteren, de naam van de verantwoordelijke voor het assessment invullen en de wizard afronden.
3. In de aanpassingsweergave ongeschikte onderdelen verbergen en door AI gegenereerde teksten controleren of bewerken. Voor de directie zijn gevolgen en prioriteiten belangrijk; IT heeft ook concrete leemten en implementatiestappen nodig.
4. Opslaan met Save report en het bestand genereren via Render PDF. Vóór verspreiding ontvangers, periode, scope en opgenomen beveiligingsinformatie controleren.

Gemodelleerde financiële gevolgen zijn schattingen op basis van de invoer, geen gegarandeerde schadebedragen. Een sectorvergelijking is alleen zinvol als passende vergelijkingsgegevens beschikbaar zijn. Beoordeel het voorgestelde verbeterplan op risico, afhankelijkheden, inspanning en beschikbare verantwoordelijken; automatisch geformuleerde tekst vervangt die beslissing niet.

Beoordeel later voor de voortgangscontrole opnieuw met vergelijkbare scope en hetzelfde framework. Vergelijk verschillen in het rapport en onder Findings met de daadwerkelijk uitgevoerde maatregelen. Een hogere score zonder nieuw bewijs toont geen technische verbetering aan. Ontbreekt het rapport, controleer dan eerst of het profiel compleet is en het assessment is gepubliceerd. Blijft de verwachte voortgang uit, vergelijk dan periode, framework, doelwaarden en nieuwe bewijsstukken voordat antwoorden alleen worden aangepast om de score te verbeteren.

Een bruikbare start voorbereiden

De volgende voorbereiding is een aanbeveling van Avanet, geen gedocumenteerd klikpad:

1. De beslisvraag bepalen. Bijvoorbeeld: de volgende begrotingsronde moet de drie belangrijkste beveiligingsverbeteringen voor een kritisch bedrijfsproces onderbouwen. Benoem de periode en verantwoordelijke leiding.
2. De uitgangssituatie vastleggen. Verzamel kritieke diensten, bestaande beveiligingsproducten, bekende risico’s, verantwoordelijken en geplande maatregelen. Markeer ontbrekende of verouderde gegevens expliciet.
3. De opdracht afbakenen. Bevestig landbeschikbaarheid, licentieaantal, looptijd, intern of partnergeleid gebruik, verwachte rapporten en eventuele advisering. Leg ook gegevenstoegang, ontvangers en bewaartermijnen van rapporten vast.
4. Resultaten toetsbaar maken. Spreek per prioriteitsmaatregel het risico, betrokken proces, de eigenaar, termijn, inspanning en waarneembare doeltoestand af. Een AI-samenvatting alleen is geen bewijs.
5. Hercontrole plannen. Beoordeel op het afgesproken moment dezelfde scope met dezelfde criteria. Technische wijzigingen worden via het betreffende productrunbook goedgekeurd en gecontroleerd.

Ontbreken landbeschikbaarheid, een gegevensbasis of duidelijke leveringsomvang, dan blijft de opdracht open. Gebruik bij een lopende aanval het afgesproken incidentproces; een strategische beoordeling is geen spoedhulproute.