Kontrollen ermöglichen Flexibilität bei der Implementierung sowie betrieblichem Wachstum und Innovation im Laufe der Zeit. Leider nutzen einige Organisationen die Flexibilität, um nur den Haken zu setzen, ohne dass echte Abwehrmaßnahmen vorhanden sind.

Ein herausragendes Beispiel für dieses Problem sind Intrusionsdetektions-/Schutzsysteme (IDS oder IPS). Wie Virenscanner investieren die meisten Organisationen in IDS/IPS im Rahmen standardmäßiger Sicherheitspraktiken zum Schutz vor bösartigem Datenverkehr und Datenexfiltration. Die Branche ist voll von Anbietern, die verschiedene Formen von IDS/IPS-Systemen herstellen. Einige Organisationen bauen jedoch Systeme statt zu kaufen.

Ich habe kürzlich eine Organisation verlassen, die ihr eigenes Intrusionsdetektionssystem aus Open-Source-Tools „gebaut“ hat. Den Prüfern wurde gesagt, das System sei ein „fantastisches Werkzeug“ und es wurden sogar Beispiele für den Datenverkehr gegeben. Als ich tiefer in die Telemetrie eindrang, die das Tool bereitstellte, stellte ich fest, dass der Datenverkehr überhaupt nicht analysiert wurde. Vielmehr passierte er den Sensor, da dieser nicht konfiguriert war, um Datenverkehr überhaupt zu erfassen oder zu alarmieren. Darüber hinaus wurden die Anmeldedaten zur Verwaltung des Tools von einem früheren Mitarbeiter eingerichtet und nach dessen Ausscheiden nie aktualisiert. Im Wesentlichen war das Tool also monatelang ohne menschliches Eingreifen untätig. Dies gefährdet nicht nur das Unternehmen, sondern beeinträchtigt auch den Schutzbereich.

Ein geschickter Prüfer hätte das Problem nicht erkannt, da die Bestätigungen nicht nach „betrieblichen“ Informationen aller Systeme suchen – der Standard ist buchstäblich eine Schicht von Frage und Antwort. Tatsächlich messen die meisten Bestätigungen einfach, ob das Tool existiert, nicht die betriebliche Funktionsfähigkeit. Zudem sind die meisten Prüfer nicht technisch genug, um ein funktionierendes IDS/IPS von einem nicht funktionierenden zu unterscheiden. Der Kernpunkt der Prüfung hängt davon ab, dass das Unternehmen sein Bestes gibt, anstatt schwierige Fragen zu beantworten. Die Prüfer müssen auch eine Vielzahl von Kontrollen während einer Prüfung abdecken, sodass die Zeit ein großer Faktor für die Qualität ihrer Analyse ist.

Eine Bestätigung allein wird Ihnen sagen, dass ein Unternehmen ein ausgereiftes Sicherheitsprogramm mit Kontrollen hat. Von einem potenziellen Partner zu verlangen, eine Lieferantenbefragung abzuschließen, wird Ihnen auch kein Vertrauen geben. Umfragen skizzieren lediglich dieselben Informationen in einem anderen Format. Wie bewertet man also ein ausgereiftes Sicherheitsprogramm?