Kontrol memungkinkan fleksibilitas dalam implementasi dan pertumbuhan operasional serta inovasi dari waktu ke waktu. Sayangnya, beberapa organisasi menggunakan fleksibilitas ini hanya untuk memenuhi syarat, tetapi tidak memiliki pertahanan nyata yang diterapkan.

Contoh utama dari masalah ini adalah sistem deteksi/prevention intrusi (IDS atau IPS). Seperti pemindai virus, sebagian besar organisasi berinvestasi dalam IDS/IPS sebagai bagian dari praktik keamanan standar untuk menjaga dari lalu lintas berbahaya dan eksfiltrasi data. Industri ini dipenuhi dengan pemasok yang membuat berbagai bentuk sistem IDS/IPS. Namun, beberapa organisasi membangun sistem daripada membelinya.

Saya baru saja meninggalkan salah satu organisasi yang “membangun” sistem deteksi intrusi mereka sendiri dari alat sumber terbuka. Auditor diberitahu bahwa sistem tersebut adalah “alat fantastis”, dan bahkan diberikan contoh lalu lintas. Ketika saya meneliti lebih dalam tentang telemetri yang disediakan alat tersebut, saya menyadari bahwa lalu lintas tidak dianalisis sama sekali. Malahan, melewati sensor karena tidak dikonfigurasi untuk menangkap atau mengingatkan lalu lintas sama sekali. Selain itu, kredensial yang digunakan untuk mengelola alat tersebut diatur oleh karyawan sebelumnya dan tidak pernah diperbarui setelah ia pergi. Jadi pada dasarnya, alat tersebut duduk diam selama berbulan-bulan tanpa intervensi manusia. Ini tidak hanya menempatkan perusahaan dalam risiko, tetapi juga mengompromikan perimeter.

Seorang auditor yang cerdas tidak menemukan masalahnya karena atestasi tidak mencari informasi “operasional” pada semua sistem – standarnya adalah satu lapis pertanyaan dan jawaban. Faktanya, sebagian besar atestasi hanya mengukur apakah alat tersebut ada, bukan kelayakan operasionalnya. Selain itu, sebagian besar auditor tidak cukup teknis untuk membedakan IDS/IPS yang berfungsi dari yang tidak berfungsi. Inti dari audit bergantung pada perusahaan untuk tampil sebaik mungkin daripada menjawab pertanyaan sulit. Auditor juga harus mencakup berbagai kontrol selama audit sehingga waktu menjadi faktor besar dalam kualitas analisis mereka.

Sebuah atestasi saja akan memberi tahu Anda bahwa sebuah perusahaan memiliki program keamanan yang matang dengan kontrol. Meminta mitra potensial untuk mengisi survei vendor juga tidak akan memberi Anda kepercayaan diri. Survei hanya menguraikan informasi yang sama dalam format yang berbeda. Jadi, bagaimana Anda mengevaluasi program keamanan yang matang?