Na een afwezigheid van vijf jaar is Security.NL columnist Peter Rietveld weer terug van weggeweest. Regelmatig zal hij columns over informatiebeveiliging en security gerelateerde onderwerpen schrijven.

Een korte introductie: Ik ben Peter Rietveld, werkzaam als specialist in de IT beveiliging sinds medio jaren '90, in de IT sinds de boom eind jaren 80. Ik werk bij Traxion, een onafhankelijk bedrijf gespecialiseerd in Identity Management. Sinds begin 2005 doe ik heel boeiend werk gedetacheerd bij defensie (DTO), als security architect.

Ik heb hiervoor projecten uitgevoerd voor onder meer Fortis, ABN/AMRO, Fokker, Debis, Interbank, het Radboud Ziekenhuis, CMG, NCRV, Justitie, Belastingdienst, het ABP en nog zo wat. Dit in zo afwisselend mogelijke rollen als ontwikkelaar, netwerkbeheerder, 3e lijner, pentester, consultant, architect, forensisch onderzoeker, project manager en lijnmanager.

Naast mijn werk ben ik al enkele jaren moderator op de security list van Kurt Seifried.
______________________________________________________________

Waarom beveiligingsbeleid faalt

Kenmerkend voor de meeste vormen van beleid is dat het de doelstellingen bepaald. Daar zit altijd een stuk gevoel in, zo van: we gaan die kant op, doen dat en dat en daarmee worden/bereiken we dat en dat. Nu kennen de meeste organisaties ook een beveiligingsbeleid. Hierin staan zinnen als: "Er zijn passende technische maatregelen genomen ter ondersteuning en aanvulling van de procedurele en organisatorische maatregelen." Nou, daar kun je wat mee. Dit soort zinnen staat garant voor eindeloze discussies, meestal met het volgende patroon: techneuten vragen apparatuur aan die ze toch al wilden hebben, en als ze er echt zin hebben, richten ze een database in. De staf bedenkt een nieuwe managementlaag, claimt resources, stemt af en treedt krachtig op, procesboeren gaan de spelers in kaart brengen en processen beschrijven. En zo ontvouwt zich het vertrouwde landschap van regels, methodieken, systemen en processen waar de IT al jaren in grossiert en waarin verdacht weinig verandert. Alleen dit keer moet het 'vanwege de beveiliging'. Is beveiliging familie van Rupsje Nooitgenoeg?

De gemiddelde organisatie beperkt het beveiligingsbeleid tot een kantje of 12. Kort en helder, raden de specialisten aan, anders zou niemand het lezen, laat staan ernaar handelen. In de regel meldt het dat we de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie borgen en als het wat nieuwer is wordt het woord processen genoemd.
Bestaande functionarissen krijgen extra doelstellingen en rollen opgelegd. Zo ontstaat een virtuele beveiligingsorganisatie die “ingebed is in de staande processen.” Klinkt prachtig, maar het betekent niet meer dan dat een boel mensen worden opgezadeld met vage doelstellingen waarvan ze geen idee hebben wat ze er mee moeten. Ondanks dat het beleid kort is, is het helemaal niet helder, wordt het niet gelezen en wordt er al helemaal niet naar gehandeld.

Voor de gemiddelde bestuurder is aan dit alles weinig eer te behalen. Met een beleid dat nauwgezet voorgeschreven is (zoals door VIR en ISO), dat in de praktijk leidt tot nog meer kansarme discussies en projecten zonder aantoonbaar nut dan je normaal al hebt, kun je je niet profileren. Het is een verplicht nummer: inwisselbaar, ongeïnspireerd en zonder draagvlak. Dat zijn de symptomen van de échte ziekte: het beleid is niet geïntegreerd met de rest van het beleid, waarmee het alleen in naam beleid is. Het is dan ook verbazingwekkend als je een manager tegenkomt die zich er bij betrokken voelt: in tien jaar informatiebeveiliging moet ík de eerste nog tegenkomen.

Maar zodra er een groot incident is, stort het kaartenhuis in elkaar. Verbazing en verwarring bij de top, want alle nodige stappen zijn toch gezet? Het kan toch niet zo zijn dat we - vul maar in - niet geregeld hebben? We hebben zoveel jaren álles gedaan en niet op geld gekeken!

Arme bestuurder. Het beleid werkt niet. Wordt het onvoldoende nauwgezet of hardnekkig uitgevoerd? Of zou het kunnen dat er iets ánders, iets veel fundamentelers, mis is? Jawel, dat zou best kunnen. Dat er iets fundamenteel mis is in de aanpak van informatiebeveiliging.

De gangbare aanpak is al in 1989 beschreven door Fites en via RFC2196 in alle handboeken beland. Het uitgangspunt is dat je assets (data, systemen, applicaties) classificeert en dan bepaalt wat er mee mis kan gaan. Je kiest vervolgens de meest waarschijnlijke scenario’s. Daar baseer je je maatregelen en beleid op.

Dit klinkt als een goed uitgangspunt, maar dat is het niet. Want: hoe weet je als schrijver van een document of als beheerder van een systeem wat een ander daarmee kan? Voor veel beheerders is een systeem veilig omdat het achter een firewall staat en er voor een hacker niets belangrijks op staat. Dus hoeven ze alleen spyware en virussen tegen te houden. Maar is dat zo? Hetzelfde geldt voor bestanden: wat voor een normale gebruiker slechts data is, kan voor een aanvaller informatie zijn. Wie zegt dat een aanvaller uit is op wat je zélf belangrijk vindt? Hoe goed kun je denken als een hacker, spion of spammer? Nooit goed genoeg. Dat maakt het uitgangspunt onbruikbaar.

Ook stap twee is niet goed: de gemiddelde beheerder of IT manager weet immers niet welke rottigheid anderen met je spullen kunnen uithalen. En zeker niet hóe ze dat zouden doen. Dus de bedreigingen waar je maatregelen tegen wilt nemen, hoe relevant zijn deze nu eigenlijk? Werken de maatregelen die je voorstelt wel? Kun je de waarschijnlijkheid van misbruik bepalen? De fout in de aanpak is dus heel fundamenteel: Garbage In, Garbage Out.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -