Kontrol memungkinkan fleksibilitas dalam implementasi dan pertumbuhan operasional serta inovasi seiring waktu. Sayangnya, beberapa organisasi menggunakan fleksibilitas ini hanya untuk memenuhi persyaratan, tetapi tidak memiliki pertahanan nyata yang ditempatkan.

Contoh utama masalah ini adalah sistem deteksi/proteksi intrusi (IDS atau IPS). Seperti pemindai virus, sebagian besar organisasi berinvestasi dalam IDS/IPS sebagai praktik keamanan standar untuk melindungi dari lalu lintas berbahaya dan pencurian data. Industri ini penuh dengan vendor yang membuat berbagai bentuk sistem IDS/IPS. Namun, beberapa organisasi membangun sistem daripada membeli.

Saya baru-baru ini meninggalkan salah satu organisasi semacam itu yang "membangun" sistem deteksi intrusi mereka sendiri dari alat sumber terbuka. Auditor diberitahu bahwa sistem ini adalah "alat yang fantastis", dan bahkan diberi contoh lalu lintas. Ketika saya menggali lebih dalam ke telemetri yang diberikan oleh alat tersebut, saya menyadari bahwa lalu lintas tidak dianalisis sama sekali. Malah, hanya melewati sensor karena tidak dikonfigurasi untuk menangkap lalu lintas atau memberi peringatan. Selain itu, kredensial yang digunakan untuk mengelola alat tersebut diatur oleh karyawan sebelumnya dan tidak pernah diperbarui setelah dia pergi. Jadi pada dasarnya, alat tersebut diam tanpa intervensi manusia selama berbulan-bulan. Tidak hanya ini membuat perusahaan berisiko, tetapi juga membahayakan perimeter.

Auditor yang cerdik tidak akan menangkap masalah ini karena pernyataan tidak mencari informasi "operasional" pada semua sistem – standarnya secara harfiah adalah satu lapisan pertanyaan dan jawaban. Faktanya, sebagian besar pernyataan hanya mengukur apakah alat tersebut ada, bukan kelayakan operasional. Selain itu, sebagian besar auditor tidak cukup teknis untuk membedakan IDS/IPS yang fungsional dari yang tidak fungsional. Inti dari audit bergantung pada perusahaan yang menampilkan citra terbaik daripada menjawab pertanyaan sulit. Auditor juga harus mencakup berbagai kontrol selama audit sehingga waktu menjadi faktor besar dalam kualitas analisis mereka.

Sebuah pernyataan sendiri akan memberitahu Anda bahwa sebuah perusahaan memiliki program keamanan yang matang dengan kontrol. Meminta mitra potensial untuk menyelesaikan survei vendor juga tidak akan memberikan Anda kepercayaan. Survei hanya menguraikan informasi yang sama dalam format yang berbeda. Jadi bagaimana Anda mengevaluasi program keamanan yang matang?