Het is de nachtmerrie van iedere security manager: een norse, mottige beveiligingsspecialist geeft een directielid de wind van voren. In onbegrijpelijk jargon snauwt hij dat beveiligingsregels overtreden zijn, dat het echt niet zo kan en dat het oerstom is. Dan weet je wat er volgt: van ergens bovenaan wordt de security manager toegesproken over de specialist die ver buiten zijn boekje is gegaan. Oepsie!

De security manager, al dan niet CISO of CSO, is op bestuurlijk niveau erg kwetsbaar. Hij is de man van het slechte nieuws – dit mag niet, dat is fout gegaan, dit moet anders. Hij is nooit populair. De norse verongelijkte specialist maakt zijn positie er niet beter op. Zijn carrièrepad leidt dan ook meestal niet naar boven maar de deur uit. Security manager is een eindfunctie, je zit de tijd uit tot je pensioen.

Ben je security manager en niet suïcidaal, dan instrueer je je specialisten om belangrijke gebruikers nooit meer toe te spreken. Dat vinden ze jammer, want preken tegen overtreders is heel lekker, vooral als de overtreder flink hoog in de boom zit. Maar ze luisteren wel naar je, en klagen onderling gewoon iets harder over stupide gebruikers en het incompetente management. Dat schept dan weer een band in het team, dus dat is goed. Een ander gevolg van het verbod is dat uitsluitend overtreders op lagere posities op hun gedrag aangesproken worden. En na een tijdje niemand meer.

Wie spreekt de gebruikers dan wel aan? Beveiligingsbureaus en CERT’s delegeren deze hete aardappel naar het reguliere management, dat er evenmin zin in heeft. Of het wordt alleen op papier gedelegeerd: de mensen die je verantwoordelijk maakt weten het niet. Je gooit het over een muur waar niemand achter staat. Een creatievere oplossing: delegeer het naar HR of de afdeling communicatie - omdat het gaat over interne medewerkers. Waar het op neer komt is dat deze politionele taak vrijwel nergens goed wordt uitgevoerd. Het gevolg laat zich raden: een reeks ongelukkige beveiligingsincidenten waartegen niet adequaat opgetreden is, waarna de security manager op straat geknikkerd wordt.

De security manager kan proberen te vluchten in het bedenken van beleid. Hij trekt een rookgordijn op van ondoorgrondelijke bureaucratie en holt wat achter virussen aan. Maar feitelijk laat hij de situatie op z’n beloop. Dat is geen ramp als je organisatie de marktleider onder de mottenballengroothandels in Stroe is. Maar voor serieuze organisaties is het dansen op de vulkaan.

Wat kan de security manager wél doen? Nou, zelf weggaan en ergens senior security consultant worden bijvoorbeeld. Het betaalt beter en adviseren is risicoloos. Je moet alleen wél de files voor lief nemen. En het is jammer voor het bedrijf dat je verlaat.

Maar ja, weggaan kan altijd nog. Er zijn meer opties. Het gaat in dit probleem vooral om imago en communicatie. Les 1: zorg dat je af en toe goed nieuws hebt. Dat klinkt eenvoudiger dan het is. Koffiemokken uitdelen ís geen goed nieuws. Spreken op een congres ook niet. Je kunt ook niet succesvol systemen bouwen, want die moet je dan weer controleren. Bovendien zal ICT je van broodroof beschuldigen. Overtreders pakken en aan de schandpaal nagelen kan ook al niet, want daartoe heb je geen mandaat. Melden dat je een viruscrisis hebt overwonnen: ja, dat is goed nieuws. Maar doe het niet te vaak, dan wek je de indruk dat je de boel eigenlijk niet onder controle hebt. Uitleggen dat ICT de technische keuzes maakt en dat je alleen maar achteraf kunt signaleren is ook verkeerd, dan veeg je je eigen straatje schoon. Het gaat niet om gelijk hebben. En ook niet om gelijk krijgen. Het gaat helemáál niet om gelijk. Het gaat om geluk.

Kortom, je hebt vrijwel alleen maar slecht nieuws. Les 2: breng het anders. Laat met rapportages en post-mortems zien dat je van je fouten leert, goede afspraken maakt, goed samenwerkt en je processen onder controle hebt. Wijs iemand in het team aan als beveiligingsvoorlichter. Kies een gladde prater en goede schrijver die slim en technisch genoeg is om de boodschap te vertalen zonder hem te verminken. Hij is je filter. Laat alle externe communicatie via dit filter lopen. Stuur alleen hem en niemand anders naar de probleemgevallen. Er zijn mensen die dit een leuke klus vinden en hem ook aankunnen. Crisiscommunicatie is een hooggewaardeerd beroep en bovendien een uiterst interessant carrièrepad.

Met een beveiligingsvoorlichter kun je de technisch specialisten in hun hok laten; dat vinden ze zelf ook veel fijner. Maak echter niet de fout één van de specialisten uit te roepen tot voorlichter. Hij kan het misschien wel, maar zal het niet willen. Een specialist beschouwt iedere baanverandering waardoor hij minder achter het scherm zit (e-mail, boekhouding en PowerPoint tellen niet mee) als een achteruitgang. Minder beeldscherm = meer vergaderen, en dat vraagt nu eenmaal een ander slag mensen. Voormalige journalisten, salesmensen en recruiters zijn een betere keuze. Zij zijn bovendien veel minder schaars dan kundige techneuten.

Communicatie, daar gaat het om. Beter en verstandiger communiceren is de belangrijkste vooruitgang die je als security manager kunt maken. Het is natuurlijk niet zo dat een beveiligingsvoorlichter in één keer alles oplost. Bij een grote crisis zullen je mensen zelf op pad moeten; bereid ze daarop voor. Maar de samenwerking met een voorlichter als lid van het team is al mooi. Een beetje communicatietraining sorteert al gauw meer effect dan nog maar weer eens een productcertificaat voor beveiliging. Let daarbij overigens niet op uiterlijk. Een slobbertrui beschermt tegen boze geesten en scheren is slecht voor je aura, schijnt. Laat het gaan. Presenteer het maar als excentriek of Esprit de Corps. Als duidelijk is dat de specialisten onmisbaar zijn en niet alleen om mensen lastig te vallen, dan wordt dat wel geaccepteerd. Niet van harte wellicht, maar toch.

Les 3: gebruik het mediamedicijn met mate. En hype werkt tegen je: als je continu je eigen successen roeptoetert, graaf je voor jezelf een mooie kuil. Maar indien met mate gebruikt, kan een basale marketing- en communicatiestrategie je uit de negatieve spiraal helpen. Verrassend genoeg neemt de veiligheid dan ook toe. Hopelijk volgt er dan ook een intern carrièrepad voor de security manager. Want die files, die worden er niet minder op.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter

• Outsourcing: Horen, Zien, Zwijgen?
  
• Certificeringen: Bewijzen van onvermogen
  
• Leuke speledingetjes
  
• Security volgens WC-Eend
  
• Een triviaal bureautje in de periferie
  
• Koud onderzoek
  
• Wie Zwijgt Stemt Toe
  
• Een Lesje in Beveiliging
  
• Voortschrijdend Inzicht Mag Niet
  
• De Chinezen Komen Niet - Ze Zijn Er Al!
  
• Het anti-terrorismehoesje
  
• Niemand is de Baas
  
• Zin en Onzin
  
• This is Me
  
• Wat niet meet, wat niet deert
  
• De Chinezen komen, of niet natuurlijk (deel 2)
  
• Afscheid van het netwerk
  
• De Chinezen komen! Of niet, natuurlijk.
  
• Een kwakkelend dossier
  
• "Nederland is goed voorbereid"
  
• Headhunter incident
  
• Ethiek en Security
  
• De kleren van de keizer zijn dood, leve de nieuwe kleren van de keizer
  
• Over Security Architectuur
  
• Best Practices bestaan niet
  
• Unified Threat Management: dure mensen, goeie spullen?
  
• Security maturity
  
• Komt het nog wel goed
  
• Geen nieuws is goed nieuws
  
• Awareness best belangrijk
  
• Een papieren tijger in een zilveren lijstje
  
• Een goed idee is niet goed genoeg
  
• Uit de loopgraven
  
• Waarom beveiligingsbeleid faalt
  
• Groot slaat dood