Er zijn voldoende slechte IT'ers met een certificering en voldoende goede zonder eentje, maar wat zegt dit over certificeringen en de mensen die IT'ers moeten aannemen? Voor beveiligingsexpert Marcus Ranum zijn de door velen felbegeerde papiertje alleen maar handig voor domme en luie managers. "Certificeringen zijn fantastisch als je lui en dom bent en zo wilt blijven. Als je mensen huurt en te lui bent om de CV van de kandidaat te bekijken, de inhoud te begrijpen en de moeilijke taak te ondernemen om uit te zoeken of zijn kwalificaties wel aan je behoefte voldoen, huur dan gewoon de gast met de alfabetsoep achter zijn naam."

Volgens Ranum weten veel managers niet wat voor personeel ze nodig hebben. Zodoende weten ze ook niet welke vragen ze tijdens de sollicitatieprocedure moeten stellen en die zorgen neemt een certificering in één keer weg. "Het helpt je bij het kiezen van iemand die een taak moet uitvoeren die jij niet begrijpt."

Connecties

Een certificering zegt niets over ervaring en het daadwerkelijke vermogen van iemand. "Wie van jullie zou een aannemer inhuren om je huis te verbouwen alleen maar gebaseerd op de certificering die hij heeft? Of zou je net als ik vrienden om aanbevelingen en referenties vragen? en dan zijn werk controleren? Uiteindelijk komt het aan op betrouwbare referenties en het op tijd af krijgen van de klus. Er is een reden waarom mensen op het 'old boys network' vertrouwen, het werkt."

Een groot voordeel van het old boys network, is dat degene die iemand aanbeveelt, weet wat iemands kwalificaties zijn. "Moderne technologie ontwikkelt zich zo snel. Als iemand mij wil inhuren voor het beveiligen van een ULTRIX 3.1d systeem is dat geen probleem, ik ben gecertificeerd. Ik ben echter onbekend met alle verschillende Linux distributies, ik zou maanden nodig hebben voordat ik er mee kan werken. Als ik echter een certificering zou hebben, dan zou iemand me misschien per ongeluk inhuren, ervan uitgaande dat ik gekwalificeerd ben." Via het old boys network zou Ranum nooit door iemand worden aanbevolen voor Linux-werk.

Verandering

Ook beveiligingsgoeroe Bruce Schneier was lange tijd tegenstander van certificeringen, maar hij heeft zijn mening bijgeschaafd. "Certificeringen zijn niet perfect, ze zijn goed genoeg voor een security professional om de dingen te leren die hij nodig heeft, en voor een werkgever om te bepalen of een sollicitant de expertise beschikt die hij zoekt."

De nieuwe opvatting van Schneier is veroorzaakt doordat zowel de functie-eisen als certificeringsprogramma's zijn veranderd. "Iedereen kan een beveiligingssysteem verzinnen dat hij niet kan breken. Als iemand je een systeem geeft en zegt dat het veilig is, moet je je eerst afvragen wie deze persoon is. Kijk maar wat hij heeft gekraakt om te bepalen of zijn mening over de veiligheid van het systeem iets betekent."

Schneier's wet, zoals het bovenstaande voorbeeld ook wordt genoemd, is niet in een certificering te vinden. "Het is een combinatie van een gevoel voor security, kennis van academische security literatuur en uitgebreide ervaring en oefening. "Als ik mensen inhuur, kijk ik niet naar hun certificeringen. Ze zijn waardeloos, ik heb een andere verzameling vaardigheden en competenties nodig."

De meeste bedrijven hebben niet zulke beveiligers nodig, zeker niet aangezien netwerkbeveiliging behoorlijk gestandaardiseerd is. "Bedrijven hebben een uitvoerder nodig, geen onderzoeker. Certificeringsprogramma's zijn goed in het klaarstomen van uitvoerders. Volgens de beveiligingsgoeroe zijn certificeringsprogramma's veel beter geworden en bieden ze kennis die je in de praktijk gebruikt. "Certificeringen zijn prima voor de netwerk security taken binnen een grote onderneming."

"Uiteindelijk zijn certificeringen net als profielen. Ze werken, maar ze zijn slordig. Omdat iemand een bepaalde certificering heeft, wil dat nog niet zeggen dat hij de expertise heeft die je zoekt, in andere woorden een false positive. En als iemand geen certificering heeft, wil dat nog niet zeggen dat hij niet over de vereist expertise beschikt, oftewel een false negative. We gebruiken certificeringen voor dezelfde redenen waarom we profileren: We hebben niet de tijd, het geduld en de mogelijkheid om uitgebreid te testen wat we eigenlijk zoeken."