I controlli consentono flessibilità nell'implementazione, nella crescita operativa e nell'innovazione nel tempo. Purtroppo alcune organizzazioni utilizzano la flessibilità per rispettare le formalità, ma non dispongono di difese reali.

Un esempio evidente di questo problema sono i sistemi di rilevazione/protezione dalle intrusioni (IDS o IPS). Come gli scanner antivirus, la maggior parte delle organizzazioni investe in IDS/IPS come parte delle pratiche standard di sicurezza per proteggersi dal traffico dannoso e dall'esfiltrazione dei dati. L'industria è piena di fornitori che realizzano varie forme di sistemi IDS/IPS. Tuttavia, alcune organizzazioni costruiscono sistemi piuttosto che acquistarli.

Di recente ho lasciato un'organizzazione che ha “costruito” il proprio sistema di rilevamento delle intrusioni utilizzando strumenti open source. Agli auditor è stato detto che il sistema era un “fantastico strumento”, e sono stati forniti esempi di traffico. Quando ho esaminato più a fondo la telemetria che lo strumento forniva, mi sono reso conto che il traffico non veniva analizzato affatto. Piuttosto, passava attraverso il sensore dato che non era configurato per catturare alcun traffico o inviare allarmi. Inoltre, le credenziali usate per amministrare lo strumento erano state impostate da un dipendente precedente e non erano mai state aggiornate dopo la sua partenza. Quindi, essenzialmente, lo strumento è rimasto inattivo per mesi senza alcun intervento umano. Questo non solo mette l'azienda a rischio, ma compromette anche il perimetro.

Un auditor esperto non avrebbe rilevato il problema perché le attestazioni non cercano informazioni “operative” su tutti i sistemi - lo standard è letteralmente uno strato di domande e risposte. Infatti, la maggior parte delle attestazioni misura semplicemente se lo strumento esiste, non la sua operatività. Inoltre, la maggior parte degli auditor non è sufficientemente tecnica per discernere un IDS/IPS funzionante da uno non funzionante. Il cuore dell'audit si basa sull'azienda che si presenta nel miglior modo anziché rispondere a domande difficili. Gli auditor devono anche coprire un vasto assortimento di controlli durante un audit, quindi il tempo è un fattore importante nella qualità della loro analisi.

Un'attestazione da sola vi dirà che un'azienda ha un programma di sicurezza maturo con controlli. Requisire che un potenziale partner compili un sondaggio sui fornitori non vi darà neanche una sicurezza. I sondaggi delineano semplicemente le stesse informazioni in un formato diverso. Quindi, come si valuta un programma di sicurezza maturo?