Organisaties die op de één of andere manier ‘iets doen’ aan informatiebeveiliging, kiezen vaak voor de zogenaamde Best Practice benadering. Dit is ook een heel gangbaar advies van consultants. Een korte uitleg: in een Best Practice benadering haal je de maatregelen uit een boekje of een lijst van een gerenommeerde bron, en gaat ze vervolgens naar de letter uitvoeren. Het is een vorm van checklistmanagement, waarbij je de vinklijst van een externe instelling gebruikt. Een Best Practice impliceert dat de maatregel al ergens succesvol geïmplementeerd is, dus dat het gestelde doel bereikt is.

Vanuit management optiek is dit een valide methode. Je wilt immers niet maanden discussiëren over wat je allemaal moet doen. Het klinkt reuze handig. Het woord Practice benadrukt dat het praktisch is, en Best geeft het autoriteit. Daarom verdienen Best Practices navolging.

De mooiste truc die de salesafdeling van een IT-club kan bereiken, is het presenteren van haar producten en werkwijze als Best Practices. Tegenover elke kritische geest staan er tien angstige consultants en managers die in aanbidding op de knietjes zakken. Met onze quickscan ben je in een handomdraai SOX compliant!

Zo werkt het natuurlijk niet. Wondermiddelen bestaan niet. Kant en klare Best Practices evenmin. Het succes van een maatregel is altijd afhankelijk van de manier en de timing van de invoering. Bovendien is vrijwel iedere uitgevoerde maatregel een compromis tussen wat kan en wat moet. Dat compromis zal niet bij iedere organisatie hetzelfde uitvallen. Maatregelen en praktijken zijn nu eenmaal bedacht in een bepaalde context en zijn in die omgeving al of niet succesvol.

Een voorbeeld. In het Veluwse dorp Putten gold reizen per paard in de negentiende eeuw als Best Practice. Dit had tot gevolg dat het treinstation acht kilometer van het centrum werd aangelegd. Een actie die blijvend bijgedragen heeft aan de landelijkheid van het dorp. Maar de economische voordelen van de kazernes en de psychiatrische inrichtingen gingen naar het volgende dorp, Ermelo. Ermelo deed niet aan Best Practices.

Het geloof in Best Practices rukt ook op in het hoger onderwijs, waar ze door toonaangevende instituten als Inholland als leervoer voor studenten neergezet worden. Hoe dit zich verhoudt tot het streven naar een innovatieve kenniseconomie en het nieuwe leren? Zou er zoiets bestaan als onderwijsconsultants? Laten we hopen dat de nieuwe minister van Onderwijs in staat is dit geloof te ontmaskeren.

Terug naar IT Security. Ook de Code voor Informatiebeveiliging (CvIB) wordt vaak gepresenteerd als een verzameling Best Practices. In strikte zin is het dat echter niet. Het zijn maatregelen, in 1989 begonnen als goede gewoonten voor computergebruikers, met als doel de veiligheid te verbeteren. Specialisten van allerlei organisaties hebben er sindsdien nog een aantal goede gebruiken bijgejongd, maar wat er nog steeds niet in staat, is wát je nu precies moet doen om die goede bedoelingen te realiseren. De praktijk, dus. De practice. Nogal wiedes overigens dat dit er niet in staat, want het bestaat ook niet. Er is nooit een pasklaar recept.

De CvIB noemt bijvoorbeeld als Best Practice: geen ongecontroleerde modems in het netwerk. Dat is an sich een prima – hoewel een beetje verouderde – doelstelling. Maar een prima doelstelling is nog geen succesvol geïmplementeerde en in stand gehouden maatregel. De vraag is dus: hoe zorg je ervoor dat je die ongewenste modems vindt, en tegenhoudt, zónder de ongetwijfeld beste bedoelingen van de eigenaren te fnuiken? Dat zal niet in iedere organisatie op dezelfde manier kunnen. Ook het feit dat deze Best Practice niet spreekt van ingebouwde wireless access points, zal je even moeten ‘vertalen’ naar je eigen context.

Helemaal lastig wordt het als de Best Practice letterlijk uitgevoerd moet worden, wat nogal eens de opdracht is. Of als je te maken krijgt met nieuwe bedreigingen, waar nog geen enkele Best Practice voor bestaat. Doe je er dan maar niets aan tot de Best Practice een update krijgt? Of als een Best Practice voorschrijft dat je risicomanagement introduceert. Je moet dan toch echt zélf overal over nadenken en dat wilde je nu net voorkomen.

De CvIB is een lijst met 133 maatregelen die de moeite waard zijn om te bekijken. Wat het niet is, is een hufterproof en compleet recept voor checklistfetisjisten. Er is alleen gekozen om het positioneren als Best Practices, in een tijd dat dit nog niet de bijklank had die het nu heeft.

Nu is het bon ton om op allerlei gebieden werk als meetbare processen in te richten, en daarin past een hoge mate van standaardisatie. Hoe kun je anders benchmarken tegen de competitie? Zie hier de basis van het succes van de best practitioners. Stel je voor dat de auditoren niet uitkomen met hun checklistje – hel en verdoemenis. Dat je IT-club het helemaal anders doet met BSD servers en OSX werkstations – daar bestaan helemaal geen KPI’s voor! Hoe kun je dan aantonen dat je het goed doet?

Het fascinerende is dat het hele geloof in Best Practices neerkomt op de angst anders te zijn dan de concurrentie. Daarmee verdwijnt dus het onderscheidend vermogen van de organisatie. En daarmee verdwijnt ook iedere innovatie, ieder concurrentievoordeel en uiteindelijk het bestaansrecht van de organisatie. De neiging om kritiekloos een lijstje van elders te volgen is vooral een uiting van gestold wantrouwen in de eigen medewerkers en gemakzucht. Heren managers, als je je mensen niet vertrouwt of niet naar ze wil luisteren, knikker ze er dan gewoon uit.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter