Security Services Retainer: Service Units en catalogusaanbod

De Sophos Security Services Retainer biedt met Service Units (SU) een basis om geplande beveiligingsdiensten in te schatten. De catalogus bevat diensten voor incidentonderzoek en voorbereiding op incidenten, beveiligingstests en implementatie. Bij de inkoop zijn drie vragen doorslaggevend: welk Retainer-niveau is daadwerkelijk besteld, hoeveel SU zijn er in het betreffende abonnementsjaar nog beschikbaar en welke afgebakende opdracht moet de aanbieder daarvoor uitvoeren?

Catalogus gecontroleerd op: 11 oktober 2026. De onderstaande waarden zijn een hulpmiddel voor de planning, geen offerte en geen bewijs van een klantspecifiek recht op dienstverlening. Vóór een bestelling of opdrachtverlening worden de actuele catalogusversie, de rechten van de klant en de concrete omvang van de dienstverlening afzonderlijk bevestigd.

Niet afleiden uit de catalogus: Dit artikel doet geen toezeggingen over SLA’s, reactie- of aanvangstijden, beschikbaarheid, ondersteuning op locatie, Breach Warranty of een gegarandeerd onderzoeksresultaat. Een Retainer of een SU-tegoed betekent ook niet dat automatisch MDR-monitoring wordt geleverd. Dergelijke verwachtingen moeten vóór de inkoop worden getoetst aan de afspraken die voor de klant gelden.

Service Units en de vier Retainer-niveaus

SU zijn de eenheid waarmee de catalogus aangeeft hoeveel een dienst vergt. Ze zijn geen geldbedrag en staan niet voor een algemeen aantal werkuren. Alleen voor de hieronder toegelichte DFIR-regel wordt een omrekening naar uren vermeld; die geldt niet automatisch voor assessments of implementatie.

De toewijzing geldt per abonnementsjaar, niet eenmalig voor de gehele looptijd van een meerjarig contract. De tabel zegt echter niet welk saldo de eigen klant op dit moment kan gebruiken. Reeds verstrekte opdrachten, het specifieke abonnementsjaar en de bevestigde toewijzing moeten in de planning worden meegenomen. Dit artikel legt geen regels vast voor verval, overdracht, terugbetaling, verlenging of toewijzing over meerdere jaren.

Kies het niveau daarom niet alleen op basis van het hoogste aantal. Beschrijf eerst de behoefte en vergelijk vervolgens de cataloguswaarde en de bevestigde opdracht met het beschikbare tegoed. Een passende tabelwaarde is op zichzelf nog geen goedkeuring om de opdracht te verstrekken.

Geselecteerde diensten uit de drie catalogusgebieden

De volgende voorbeelden laten de verschillen tussen de gebieden zien. Ze vormen geen volledige lijst en beschrijven niet de gedetailleerde op te leveren resultaten van de afzonderlijke diensten.

Voor alle drie de gebieden geldt: De SU-waarden zijn minimumwaarden uit de catalogus. Aanvullend maatwerk of een verzoek om uitvoering op locatie kan meer SU vergen. Of uitvoering op locatie voor de specifieke opdracht wordt aangeboden, moet afzonderlijk worden bevestigd; de regel over minimumwaarden is geen toezegging van dienstverlening op locatie.

DFIR en voorbereiding op incidenten

Digital Forensics and Incident Response (DFIR) staat voor forensisch onderzoek en de respons op beveiligingsincidenten. Daarnaast bevat de catalogus readiness-diensten ter voorbereiding op incidenten.

De DFIR-regel vermeldt als alternatief facturering op uurbasis, maar geen prijs in een valuta. Hieruit wordt geen uurtarief afgeleid. Evenmin zijn drie DFIR-uren een reactietermijn of een toezegging dat een incident binnen die tijd volledig wordt afgehandeld.

Belangrijke voorwaarde voor Level 1: De tabel met niveaus vermeldt dat SU bij Level 1 alleen voor DFIR kunnen worden ingezet met een Standalone DFIR Retainer. Voor Level 2 tot en met 4 staat in deze catalogusregel “Yes”. Ook die vermeldingen vervangen niet de bevestiging van het klantspecifieke recht en de opdracht. Level 1 mag met name niet uitsluitend vanwege de 2 SU worden ingepland als algemeen beschikbare toegang tot DFIR.

Beveiligingstests en assessments

Een assessment is een beveiligingsbeoordeling die in opdracht wordt uitgevoerd. De catalogusnaam helpt bij de keuze, maar legt nog niet vast welke systemen worden onderzocht, welke testmethoden worden gebruikt of welke resultaten worden opgeleverd.

Bij het AI LLM Security Assessment telt elk aanvullend doel afzonderlijk mee. De standaardwaarde omvat geen onbeperkte extra dienstverlening. Wat binnen de specifieke opdracht als doel geldt, wordt vóór de opdrachtverlening met de aanbieder afgesproken. Ook bij het Entra ID-assessment mag uit 15 SU geen algemene dekking van een willekeurig aantal tenants of identiteiten worden afgeleid.

Implementatie

De ITDR-waarde legt geen universele implementatieomvang vast. Bij de MDR-vermelding is de eenheid per integratie doorslaggevend: een opdracht voor meerdere integraties wordt niet automatisch door één SU gedekt. De inrichtingstaak staat bovendien los van de rechten op het product en de dienst. Het artikel over MDR- en XDR-integraties behandelt de technische inrichting en controle, niet de goedkeuring voor de inkoop van deze Retainer.

De behoefte controleren vóór opdrachtverlening

De volgende werkwijze is een inkoopadvies van Avanet, geen gedocumenteerde procedure in een portaal. Zo wordt voorkomen dat een catalogusregel wordt verward met een uitgewerkte opdracht.

1. Dienst en doel benoemen. Leg de exacte catalogusnaam en het gewenste resultaat vast, bijvoorbeeld een Tabletop Exercise of de inrichting van een specifieke MDR-integratie. Behandel een lopend incident niet als een gewoon planningsproject; gebruik daarvoor het reeds afgesproken incidentcontact en de interne incidentprocedure.
2. Omvang afbakenen. Vermeld de betrokken tenants, apparaten, integraties of assessmentdoelen en de relevante aantallen. Gebruik een eenheid zoals “per integratie” alleen waar de catalogus die daadwerkelijk vermeldt; vraag bij een ontbrekende eenheid de aanbieder om een duidelijke afbakening.
3. Klantsituatie bevestigen. Leg het bestelde niveau, het specifieke abonnementsjaar, het beschikbare SU-saldo en de reeds geplande opdrachten vast. Verifieer voor DFIR bij Level 1 ook de Standalone DFIR Retainer en de daarmee bevestigde, bruikbare omvang van de dienstverlening.
4. Afwijkingen voorleggen. Benoem maatwerk, wensen voor uitvoering op locatie en andere bijzonderheden expliciet. Vraag om bevestiging van het SU-aantal voor precies deze opdracht en om een afzonderlijke offerte, in plaats van de minimumwaarde als vaste prijs te behandelen.
5. Controleren vóór goedkeuring. De afbakening van de dienstverlening, de rechten van de klant, het bevestigde SU-aantal en de offerte moeten op elkaar aansluiten. Bij een afwijking blijft de opdrachtverlening openstaan totdat de aanbieder die heeft opgehelderd en de bevoegde persoon de opdracht heeft goedgekeurd.

Voorbeeld: een passend SU-aantal is nog geen opdracht

Stel dat voor het huidige abonnementsjaar 15 SU als beschikbaar zijn bevestigd. Er staan een Tabletop Exercise van 12 SU en twee MDR-integraties van elk 1 SU gepland. De berekening op basis van de catalogus komt uit op 14 SU; er blijft op papier 1 SU over.

Deze berekening dient alleen als eerste indicatie. Ze past alleen bij de opdracht als de aanbieder de twee integraties overeenkomstig afbakent en het benodigde SU-aantal zonder aanvullend maatwerk bevestigt. Een verhoging vanwege bijzondere eisen kan de resterende ruimte opsouperen. De 14 SU houden geen MDR-licentie, monitoringomvang, opleverdatum of geslaagde technische acceptatie in.

Advies van Avanet: Documenteer het bevestigde SU-aantal samen met de opdracht en los openstaande vragen over de omvang op vóór de goedkeuring. Een hoger niveau maakt die afstemming niet overbodig.

Veelvoorkomende misverstanden rechtzetten

• “Mijn niveau heeft 15 SU, dus kan ik voor 15 SU opdrachten verstrekken.” Bevestig eerst het betreffende abonnementsjaar en het daadwerkelijk beschikbare saldo. De jaarlijkse catalogustoewijzing is niet automatisch het huidige resterende tegoed.
• “Een SU is altijd drie uur.” De omrekening wordt alleen vermeld voor de DFIR-regel in de catalogus. Voor andere diensten geldt de waarde van de betreffende dienst.
• “De tabelwaarde dekt elk project van dit type.” Controleer de minimumwaarde, de eenheid en de bevestigde omvang. Verduidelijk onduidelijke grenzen voor tenants, apparaten of doelen vóór een bestelling.
• “Met de Retainer is ook de MDR-dienstverlening ingericht.” Controleer inkoop en operationele dienstverlening afzonderlijk. Zo behandelt MDR Threat Feeds op Sophos Firewall een specifieke operationele functie met eigen voorwaarden, niet de rechten die de Retainer biedt.

Pas wanneer de klant, het abonnementsjaar, de dienst, de omvang ervan en het bevestigde SU-aantal eenduidig aan elkaar zijn gekoppeld, is de inkoopbeslissing voldoende voorbereid. De daadwerkelijke uitvoering en technische acceptatie volgen in het passende productrunbook en binnen de afzonderlijk goedgekeurde opdracht.