Controles zorgen voor flexibiliteit in de implementatie en operationele groei en innovatie in de loop van de tijd. Helaas gebruiken sommige organisaties de flexibiliteit alleen om een vinkje te zetten, maar hebben ze geen echte verdedigingen ter plaatse.

Een goed voorbeeld van dit probleem zijn inbraakdetectie/-beschermingssystemen (IDS of IPS). Net als virusscanners investeren de meeste organisaties in IDS/IPS als een standaard beveiligingspraktijk om te beschermen tegen kwaadwillig verkeer en gegevensdiefstal. De industrie is rijk aan leveranciers die verschillende vormen van IDS/IPS-systemen maken. Sommige organisaties bouwen echter systemen in plaats van ze te kopen.

Onlangs verliet ik een organisatie die haar eigen inbraakdetectiesysteem 'bouwde' met open source tools. Aan auditors werd verteld dat het systeem een 'fantastisch hulpmiddel' was en ze kregen zelfs voorbeelden van verkeer. Toen ik dieper in de telemetrie dook die het hulpmiddel bood, realiseerde ik me dat het verkeer helemaal niet werd geanalyseerd. In plaats daarvan ging het door de sensor zonder dat deze was geconfigureerd om verkeer op te vangen of een alarm te geven. Bovendien waren de referenties die werden gebruikt om het hulpmiddel te beheren opgezet door een voormalige medewerker en nooit bijgewerkt na zijn vertrek. Het hulpmiddel stond dus maandenlang stil zonder menselijk ingrijpen. Dit brengt het bedrijf niet alleen in gevaar, maar het compromitteert ook de perimeter.

Een slimme auditor zou het probleem niet hebben opgemerkt omdat de verklaringen niet zoeken naar 'operationele' informatie over alle systemen - de standaard is letterlijk een laag van vraag en antwoord. In feite meten de meeste verklaringen eenvoudigweg of het hulpmiddel bestaat, niet operationele levensvatbaarheid. Daarnaast zijn de meeste auditors niet technisch genoeg om een functionerende IDS/IPS te onderscheiden van een niet-functionerende. De kern van de audit is afhankelijk van het bedrijf om zich van zijn beste kant te laten zien in plaats van moeilijke vragen te beantwoorden. Auditors moeten ook een breed scala aan controles dekken tijdens een audit, dus tijd is een belangrijke factor in de kwaliteit van hun analyse.

Een verklaring alleen zal u vertellen dat een bedrijf een volwassen beveiligingsprogramma met controles heeft. Het vereisen dat een potentiële partner een leveranciersenquête voltooit, zal u ook geen vertrouwen geven. Enquêtes schetsen slechts dezelfde informatie in een ander formaat. Dus hoe evalueert u een volwassen beveiligingsprogramma?