Les contrôles permettent la flexibilité dans la mise en œuvre et la croissance opérationnelle et l'innovation au fil du temps. Malheureusement, certaines organisations utilisent cette flexibilité simplement pour se conformer, mais n'ont en place aucune défense réelle.

Un exemple typique de ce problème est les systèmes de détection/protection d'intrusion (IDS ou IPS). Comme les scanners antivirus, la plupart des organisations investissent dans l'IDS/IPS comme une pratique standard de sécurité pour se protéger contre le trafic malveillant et l'exfiltration de données. L'industrie regorge de fournisseurs proposant diverses formes de systèmes IDS/IPS. Cependant, certaines organisations construisent des systèmes plutôt que d'en acheter.

J'ai récemment quitté une organisation qui avait "construit" son propre système de détection d'intrusion à partir d'outils open source. Les auditeurs ont été informés que le système était un « fantastique outil », et même fournissement des exemples de trafic. En creusant plus profondément dans la télémétrie fournie par l'outil, j'ai réalisé que le trafic n'était pas du tout analysé. Au contraire, il passait à travers le capteur car il n'était pas configuré pour capturer ou alerter sur le trafic. De plus, les identifiants utilisés pour administrer l'outil avaient été créés par un employé précédent et n'ont jamais été mis à jour après son départ. Ainsi, l'outil restait essentiellement inactif pendant des mois sans intervention humaine. Non seulement cela met l'entreprise en danger, mais cela compromet également le périmètre.

Un auditeur avisé n'aurait pas détecté le problème car les attestations ne recherchent pas d'informations « opérationnelles » sur tous les systèmes - la norme consiste littéralement en une couche de question et réponse. En fait, la plupart des attestations mesurent simplement si l'outil existe, pas sa viabilité opérationnelle. De plus, la plupart des auditeurs ne sont pas suffisamment techniques pour discerner un IDS/IPS fonctionnel d'un non fonctionnel. L'essentiel de l'audit repose sur l'entreprise pour montrer sa meilleure performance plutôt que de répondre à des questions difficiles. Les auditeurs doivent également couvrir un vaste éventail de contrôles pendant un audit, donc le temps est un facteur important dans la qualité de leur analyse.

Une attestation à elle seule vous dira qu'une entreprise dispose d'un programme de sécurité mature avec des contrôles. Demander à un partenaire potentiel de compléter un sondage fournisseur ne vous apportera pas plus de confiance. Les sondages ne font que présenter les mêmes informations sous un format différent. Alors, comment évaluer un programme de sécurité mature ?