Hoe hou je softwarebeveiliging op een hoog niveau in een groep die meer dan 180 organisaties telt? Via het Visma Security Program behoudt Visma het overzicht.
Visma groeide de afgelopen jaren via overnames uit tot een groep die inmiddels meer dan 180 softwarebedrijven in heel Europa telt, elk met eigen klanten, technologie en gewoontes. De Noorse moederorganisatie laat ieder bedrijf zijn eigen identiteit behouden. Toch moet elk product aan dezelfde minimumeisen voldoen voor beveiliging.
Het Visma Security Program bepaalt uniforme beveiligingstandaarden waaraan software binnen de groep moet voldoen. Aan de hand van een gegamificeerd traject houden Visma-bedrijven het stuur in handen. Als CISO voor alle Public Segment-activiteiten moet Cindy Wubben mee een oogje in het zeil houden. Zij geeft een inkijk in de unieke manier waarop Visma beveiliging aanpakt.
Een CISO voor vijftig bedrijven
De rol van Wubben verschilt sterk van wat een klassieke CISO doet. “Ik heb ongeveer vijftig bedrijven onder mijn scope. Ieder bedrijf onder de Visma-paraplu blijft autonoom en blijft zelf verantwoordelijk voor zijn beveiliging. Ze behouden hun producten en strategie, maar er moet wel aan de beveiligingstandaarden van Visma voldaan worden”.
Wubben vormt de verbindende schakel tussen de Visma-groep en de individuele bedrijven. “We bekijken samen met de bedrijven wat er nodig is om een hoger beveiligingsniveau te bereiken. Indien nodig kunnen problemen op groepsniveau worden opgelost, als we merken dat veel bedrijven tegen dezelfde problemen aanlopen”, vat ze samen.
Hoge standaarden
De Visma-groep blijft ieder jaar uitbreiden. Halverwege 2026 staat de teller op meer dan 180 bedrijven in Europa. Om structuur te brengen in die versnipperde realiteit stelde Visma het Security Program op. “We zitten met veel producten met verschillende risiconiveaus. Sommige producten verwerken meer persoonlijke en gevoelige gegevens dan andere. Maar het programma bepaalt minimumvereisten waaraan ieder product moet voldoen”, legt Wubben uit.
Het Visma Security Program zet in eerste instantie de bedrijven zelf aan het werk. Concreet vult elk Visma-bedrijf onder meer een uitgebreide zelfevaluatie in rond security en compliance. “Voldoet iets niet aan onze standaarden, dan wordt er automatisch een ticket aangemaakt en dat moet dan worden opgelost”, gaat ze verder.
Zorgzame moeder
Als een zorgzame moeder staat Visma zijn dochters bij met raad en daad. Wubben: “We bieden een pakket met beveiligingstools aan voor onder andere codescanning, beveiliging van softwarebibliotheken en pentesten. Omdat alles vanuit de groep wordt aangeboden, hoeven bedrijven die investeringen niet zelf te maken. Ze mogen hun eigen omgeving houden, maar de tools voor securitycontroles en monitoring zijn wel verplicht voor visibiliteit.”
De ondersteuning gaat verder dan tooling, legt Wubben uit. “Achter elke beveiligingstool zit een team van experten dat kan helpen bij de implementatie. Daarnaast is er een intern SOC-team dat 24/7 analyseert en ondersteunt bij security incidenten. Dit zijn zaken die je als klein bedrijf niet allemaal zelf kan doen, omdat het te groot en te duur is. Rond veel voorkomende kwetsbaarheden zetten we campagnes en trainingen op.”
Deel uitmaken van een grote groep kan een troef zijn voor beveiliging. “Visma laat zijn bedrijven vooral ook van elkaar leren. Zo creëren we een veilige groep van experten. En ze kunnen ook altijd bij de CISO’s terecht.”
Brons, zilver, goud en platinum
Beveiliging hoeft niet saai te zijn. Het Visma Security Program voegt er een competitief element aan toe waarbij bedrijven ‘punten’ kunnen verdienen voor het implementeren van tools of het oplossen van problemen. Zoals bij darts, is het de bedoeling om je puntenaantal zo snel mogelijk naar beneden te krijgen. Die aanpak brengt ook nieuwe bedrijven snel mee aan boord.
“Elk bedrijf start met een puntensaldo. Elke keer als je iets implementeert, gaan er punten af, bij issues komen er punten bij. We hechten evenveel belang aan implementatie als aan monitoring”, legt Wubben uit. Uiteindelijk kunnen vier niveaus bereikt worden: brons, zilver, goud en platinum.
AI verandert de regels
Visma is niet alleen streng maar rechtvaardig voor zijn dochterbedrijven, het neemt ook zijn eigen aanpak voortdurend onder de loep. “Het programma wordt continu aangepast aan nieuwe evoluties”, stelt Wubben. Zoals ieder technologiebedrijf kijkt Visma naar de impact die AI op beveiliging zal hebben. “Je hebt AI voor het dagelijkse werk, in productontwikkeling en in producten voor klanten. Dat zijn drie dimensies die een heel andere aanpak vereisen.”
Volgens Wubben is het op dit moment vooral bijbenen. “Toen AI op grote schaal doorbrak, was de beveiligingskant nog niet voldoende uitgedacht. Kleine bedrijven hebben vaak maar één expert aan boord die daarnaast ook andere taken heeft. We hebben experten binnen de groep die onderzoek doen en ‘playbooks’ uitwerken die de bedrijven zelf kunnen oppakken. Niet alleen voor AI-technologie, maar ook voor wetgeving zoals NIS2 en de AI Act”.
Je hebt AI voor het dagelijkse werk, in productontwikkeling en in producten voor klanten. Dat zijn drie dimensies die een heel andere aanpak vereisen.
Cindy Wubben, CISO Public Segment Visma
Keten onder druk
De snelle implementatie van AI op de werkvloer verhoogt de druk. “Je moet er als bedrijf op inspringen om efficiënter te werken maar wel veilig en conform de wetgeving, om geen datalekken te veroorzaken. De richtlijnen moeten worden bepaald terwijl de trein al aan het rijden is”, stelt Wubben vast.
Diezelfde technologie verhoogt ook de druk op softwarebeveiliging. “Kwetsbaarheden moeten sneller opgelost worden, dankzij en met AI, omdat ze sneller beschikbaar worden voor aanvalsgroepen. De hele keten zal sneller moeten, van monitoren tot deployment. Manuele processen dreigen bottlenecks te worden als je ze niet tot een minimum beperkt”.
Het Visma Security Program toont hoe een groep met bijna tweehonderd softwarebedrijven beveiliging kan sturen zonder de autonomie van die bedrijven op te heffen. Ieder bedrijf draagt dezelfde verantwoordelijkheid om zijn beveiliging op orde te krijgen, maar Visma helpt als zorgzame moeder de last mee te dragen. Met AI en nieuwe wetgeving in het spel blijft beveiliging een aspect waarop Visma niet kan verslappen.