Controls bieden flexibiliteit in de implementatie en operationele groei en innovatie in de loop van de tijd. Helaas gebruiken sommige organisaties de flexibiliteit om gewoon een vinkje te zetten, maar hebben ze geen echte verdedigingen geïmplementeerd.

Een goed voorbeeld van dit probleem zijn inbraakdetectie/beschermingssystemen (IDS of IPS). Net zoals virusscanners, investeren de meeste organisaties in IDS/IPS als een standaard beveiligingspraktijk om zich te beschermen tegen kwaadaardig verkeer en data-exfiltratie. De industrie zit vol met leveranciers die verschillende vormen van IDS/IPS-systemen aanbieden. Echter, sommige organisaties bouwen systemen in plaats van ze te kopen.

Onlangs verliet ik zo'n organisatie die hun eigen inbraakdetectiesysteem "bouwde" uit open source tools. Aan auditors werd verteld dat het systeem een "fantastisch hulpmiddel" was en ze kregen zelfs voorbeelden van verkeer te zien. Toen ik dieper inging op de telemetrie die het hulpmiddel bood, realiseerde ik me dat het verkeer helemaal niet werd geanalyseerd. Het ging simpelweg door de sensor zonder enige configuratie om verkeer op te vangen of alert te geven. Bovendien, de inloggegevens die werden gebruikt om het hulpmiddel te beheren waren ingesteld door een vorige medewerker en werden nooit bijgewerkt na zijn vertrek. Dus in wezen zat het hulpmiddel maandenlang ongebruikt zonder menselijke interventie. Dit brengt niet alleen het bedrijf in gevaar, maar ook de beveiliging van de perimeter.

Een slimme auditor zou het probleem niet hebben opgemerkt omdat de verklaringen niet zoeken naar "operationele" informatie over alle systemen - de standaard is letterlijk één laag van vraag en antwoord. In feite meten de meeste verklaringen simpelweg of het hulpmiddel bestaat, niet de operationele levensvatbaarheid. Bovendien zijn de meeste auditors niet technisch genoeg om een functionele IDS/IPS van een niet-functionele te onderscheiden. De kern van de audit is afhankelijk van het bedrijf om hun beste kant te laten zien in plaats van moeilijke vragen te beantwoorden. Auditors moeten ook een breed scala aan controles dekken tijdens een audit, dus tijd is een grote factor in de kwaliteit van hun analyse.

Een verklaring alleen zal je vertellen dat een bedrijf een volwassen beveiligingsprogramma met controles heeft. Het vereisen dat een potentiële partner een leveranciersenquête voltooit, geeft je ook geen vertrouwen. Enquêtes schetsen slechts dezelfde informatie in een ander formaat. Dus hoe evalueer je een volwassen beveiligingsprogramma?