Het gebruik van een managed serviceprovider (MSP) voor het beheer van systemen is een security trade-off. Organisaties doen er dan ook verstandig aan om te controleren of hun MSP de eigen beveiliging wel op orde heeft, zo adviseert het National Cyber Security Centre (NCSC) van de Britse overheid.

Managed serviceproviders beheren systemen voor hun klanten. Dit heeft als voordeel dat organisaties over meer expertise en kennis kunnen beschikken dan ze zelf kunnen inhuren, aldus het NCSC. Het houdt echter ook in dat organisaties de MSP beheerderstoegang tot hun systemen en data moeten geven. Dit vergroot het aanvalsoppervlak. Zo zijn de afgelopen jaren meerdere MSP's het slachtoffer van aanvallers geworden.

Die weten het systeem van de managed serviceprovider te compromitteren waarmee het de systemen van klanten beheert. Zo krijgen de aanvallers ook toegang tot de systemen van de klanten van de MSP, en kunnen zo bijvoorbeeld ransomware uitrollen. "We hopen dat dergelijke infrastructuur goed is beveiligd en MSP's verschillende apparaten en accounts voor beheertaken gebruiken dan voor e-mail en online browsen", zo stelt het NCSC. "We hebben echter gehoord van bedrijven die dit niet doen."

Organisaties moeten dan ook zelf controleren en bevestigen dat hun MSP de beveiliging op orde heeft, in plaats van dit aan te nemen. Het NCSC geeft vijf zaken die organisaties zo snel mogelijk zouden moeten checken. Het gaat dan bijvoorbeeld of de MSP contractueel verplicht is om eventuele datalekken en inbraken te melden, of de serviceprovider zich aan de regels voor veilig systeembeheer houdt en of de aan de MSP toegekende rechten wel proportioneel zijn voor het uitvoeren van de werkzaamheden.