Kontrole umożliwiają elastyczność w implementacji oraz operacyjny rozwój i innowacje z biegiem czasu. Niestety niektóre organizacje wykorzystują tę elastyczność, aby zaznaczyć pole wyboru, ale nie mają żadnych realnych zabezpieczeń.

Przykładem tego problemu są systemy wykrywania/ochrony przed włamaniami (IDS lub IPS). Podobnie jak skanery wirusów, większość organizacji inwestuje w IDS/IPS jako standardową praktykę bezpieczeństwa, aby chronić się przed złośliwym ruchem i wyciekiem danych. Branża jest pełna dostawców oferujących różne formy systemów IDS/IPS. Jednak niektóre organizacje budują systemy zamiast je kupować.

Ostatnio opuściłem jedną z takich organizacji, która „zbudowała” swój własny system wykrywania włamań z narzędzi open source. Audytorzy zostali poinformowani, że system jest „fantastycznym narzędziem” i nawet otrzymali przykłady ruchu. Kiedy zgłębiłem temat telemetrii, którą dostarczało to narzędzie, zdałem sobie sprawę, że ruch nie był w ogóle analizowany. Po prostu przechodził przez sensor, ponieważ nie był skonfigurowany do przechwytywania ani alarmowania o żadnym ruchu. Ponadto, dane logowania używane do zarządzania tym narzędziem zostały założone przez poprzedniego pracownika i nigdy nie zostały zaktualizowane po jego odejściu. W związku z tym, narzędzie pozostawało w bezczynności przez miesiące bez jakiejkolwiek interwencji człowieka. To nie tylko naraża firmę na ryzyko, ale także kompromituje obwód.

Przebiegły audytor nie wykryłby tego problemu, ponieważ zaświadczenia nie szukają „operacyjnych” informacji na wszystkich systemach – standard to dosłownie jedna warstwa pytań i odpowiedzi. W rzeczywistości, większość zaświadczeń ocenia jedynie, czy narzędzie istnieje, a nie jego operacyjną zdolność. Ponadto, większość audytorów nie jest wystarczająco techniczna, aby odróżnić funkcjonalne IDS/IPS od niefunkcjonalnego. Sedno audytu polega na tym, że firma ma się dobrze prezentować, zamiast odpowiadać na trudne pytania. Audytorzy muszą również pokrywać szeroki zakres kontroli podczas audytu, więc czas jest dużym czynnikiem wpływającym na jakość ich analizy.

Samo zaświadczenie powie Ci, że firma ma dojrzały program bezpieczeństwa z kontrolami. Wymóg ukończenia ankiety dla dostawcy przez potencjalnego partnera również nie zapewni Ci zaufania. Ankiety po prostu przedstawiają te same informacje w inny sposób. Jak więc ocenić dojrzały program bezpieczeństwa?