Mijn vorige column ging over onjuiste uitgangspunten van de gangbare methodieken rond informatiebeveiliging. Naast de asset based benadering bestaat een aanpak vanuit, zeg maar, de business architectuur filosofie: je gaat uit van de doelstellingen van de organisatie, vertaalt dit naar het belang van veiligheid en dan heb je wel management support. Maar: wat is dan precies de relatie tussen een meetbare behoefte aan veiligheid en een specifieke maatregel, zoals de bestelling van een paar IDS-en? Juist. Da’s lastig. In de regel geeft deze benadering dan ook geen betere resultaten, behalve misschien in een paar uitzonderlijke gevallen waarbij de organisatie een vertrouwens- dan wel een veiligheidstaak heeft en een ongelimiteerd budget. Bovendien: dit is een mes dat snel bot wordt. De verwijzing naar de bedrijfsdoelen wordt al snel een mantra. Een beetje bestuurder krijgt jaarlijks tal van voorstellen ter goedkeuring onder ogen. De kans is reëel dat hij dat stuk over de beleidsdoelstellingen gapend overslaat.

Maar vergis je niet. De afwezige ondersteuning voor het beleidsdocument bij de top is iets volledig anders is dan weinig aandacht voor beveiliging. Het probleem is dat beleidsstukken gortdroog zijn. Met formaliteiten win je geen oorlog. Dat je wél budget krijgt, is dus ook geen zeker teken van management support. Iedereen met kinderen weet dat het toestoppen van een koekje of een paar euri's iets heel anders is dan het ergens mee eens zijn: je geeft toe om van het gezeur af te zijn. Gegeven dat iets doen aan beveiliging verplicht is, zal ook een matig voorstel ondersteuning kunnen krijgen. Immers, als je er niets van snapt, dan zullen de specialisten wel gelijk hebben. Als het niet té duur is, dan. Een afwijzing kan heel goed betekenen dat het voorstel aandachtig gelezen is. Maar daar willen de beveiligers dan weer niet aan. Managers zijn immers categorisch dom. “Als ze het niet eens zijn met onze aanpak, dan zien ze het belang van beveiliging niet in.” Terwijl het ook zou kunnen dat de aanpak gewoon niet goed genoeg is. Zou toch kunnen?

Het gebruik van een bedreigingencatalogus zoals CRAMM en BSI werkt in de praktijk ook niet echt goed. Zeker als de catalogus heel generiek is, en het te beveiligen object dat niet is. Een wijs man zei ooit: "A Fool With A Tool, Is Still A Fool". Als je vervolgens een kruiskopschroevendraaier als bandenwipper moet gebruiken .....

De catalogi beogen een zeer breed scala aan omgevingen te kunnen bedienen. Er staan dan ook tal van niet relevante zaken in. Vervelend is dat gebruikers van een methodiek vaak de neiging niet kunnen onderdrukken deze heilig te verklaren. Bedreigingen aan de catalogus toevoegen als geïnterviewde is in hun ogen een gotspe: alsof je je als simpele beheerder op hetzelfde niveau durft te plaatsen als de auteurs van De Schrift. Dat laat je dus de volgende keer maar. Met als gevolg dat je als systeembeheerder vragen moet beantwoorden over de waterbeheersing in de eigen regio en de kwaliteit van het justitiële
optreden tegen digitale criminaliteit. Meld je dat dat allemaal goed geregeld is, dan hoef je niets te doen. Dat de uitkomst een verzameling goedbedoelde onzin is, zal niet verrassen.

Ik zie nog een andere, essentiële, tactische zwakte in de gangbare benadering. Wat doen we in de praktijk: rond de te beschermen assets richten we een cordon op van gelaagde beveiligingsmaatregelen. Landmijntje hier, rolletje prikkeldraad daar, wachtposten her en der en een loopgraaf als de grond niet te hard is. Het resultaat is een statische beveiliging, die er vanuit gaat dat je alle aanvalsroutes kunt overzien. En dat de aanvaller via bekende paden komt.

Gegeven echter dat het initiatief bij de aanvaller ligt, voeren we eigenlijk een bewegingsoorlog, ofwel een blitzkrieg. De bewegingssnelheid van een aanvaller is extreem groot. De statische benadering is ongeveer even kansrijk als de Maginotlinie in 1940: binnen enkele seconden heb je de zwakke plek te pakken. In de jongste vakliteratuur zie daarom je een voorzichtige verschuiving optreden van een statische naar een dynamische aanpak van beveiliging. De nadruk ligt op het vermogen om op te treden. Hierbij hoort een grote mate van Intelligence: je moet weten hoe je omgeving in elkaar zit, welke mogelijkheden je hebt om te 'manoeuvreren' én je moet aanvallen vroegtijdig kunnen signaleren. Alles draait om het oplossend vermogen van de (beveiligings) organisatie. Deze benadering vereist een radicaal andere aanpak.

Inherent aan deze aanpak is het concept van de 'denkende soldaat', wat we in de burgermaatschappij wel kennen als empowerment: de ruimte om te handelen naar eigen inzicht. Wat NIET hetzelfde is als: we zijn in paniek en zoek het maar uit.

De huidige trend dicteert echter dat alle acties vaststaan in protocollen en procedures, waarbij beheerders als gedresseerde aapjes doen wat in het lijstje staat. Los van het gegeven dat de lijstjes in kwestie vaak weinig met het desbetreffende systeem van doen hebben en dus nogal eens genegeerd worden (we nemen immers hooggeschoolde mensen aan - HBO-ers - die we de bewegingruimte van een wasknijper geven), eist de dynamische aanpak een grote cultuuromslag. Het geïnstitutionaliseerde wantrouwen zal plaats moeten maken voor handelingsvrijheid, vertrouwen en mandaat voor de eigen mensen. Zoals alle veranderingen zal ook dit top-down moeten worden aangepakt. Vis rot immers aan de kop.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -