Schneier: IT'er begrijpt personeel niet
Security professionals, IT-managers en systeembeheerders klagen vaak dat personeel zich niet aan het beveiligingsbeleid houdt, wachtwoorden deelt en USB-sticks niet versleutelt, maar werknemers weten wat de echte risico's zijn, zegt beveiligingsgoeroe Bruce Schneier. Hij reageert op een presentator die tijdens een conferentie liet weten dat "we het personeel de risico's moeten laten begrijpen." Volgens Schneier heeft het personeel de risico's beter door de dan de spreker in kwestie. "Ze weten wat de echte risico's op de werkvloer zijn, en die draaien allemaal om het niet afkrijgen van het werk. Dat zijn echte en tastbare risico's en werknemers voelen die continu."
De risico's van het niet volgen van het beveiligingsbeleid zijn veel minder echt. "Misschien wordt de werknemer gepakt, maar zeer waarschijnlijk niet. En ook al wordt hij gepakt, dan zijn de straffen niet ernstig." Elke weldenkende werknemer zal daarom regelmatig de beveiliging omzeilen om zijn werk af te krijgen. "Dat is wat het bedrijf beloont en wat het bedrijf eigenlijk wil." Schneier stelde de presentator dan ook voor om iemand die de procedures niet volgt snel en publiekelijk te ontslaan. "Dat verhoogt het security bewustzijn sneller dan je posters, lezingen of nieuwsbrieven voor elkaar krijgen. Als de risico's echt zijn, zullen mensen die begrijpen."
Deerniswekkende opmerking. Het doel van he bedrijf is niet om zo goed mogelijk beveiligd te zijn, nee, het doel van het bedrijf is het halen van de bedrijfsdoelstellingen, waarvan winst een heel belangrijke is. Beveiliging is niet meer of minder dan een tamelijk onbelangrijk middel.
Schot voor de boeg om een ontslag 'juridisch houdbaar' te maken :-) Ik hou het erop dat er sprake moet zijn van voldoende communicatie tussen de top van een bedrijf en het bedrijfsonderdeel dat zich bezig houdt met security (beleid, vertaling naar uitvoering). Het draait om de vraag: wat is er nou eigenlijk nodig aan securitybeleid (wat is zinvol, wat is acceptabel, wat niet) . Dat kan net het verschil maken tussen security in een 'business context' en security in de zin van: dit mag wel/dit mag niet, omdat 'de security-afdeling het zo zegt'.
Verder is security een zo goed als niet bestaand iets voor IT bedrijven, want het kost geld en omdat er maar weinig echt mis gaat dekken de kosten de baten niet vinde ze.
Daar merk ik anders zelf weining van helaas. Ik ben wel benieuwd naar de onderbouwing van deze loze kreet.
Daar merk ik anders zelf weining van helaas. Ik ben wel benieuwd naar de onderbouwing van deze loze kreet.
Leuk om de discussie even op scherp te zetten. Allebei de argumenten hebben duidelijk meer aandacht nodig om een goed en werkbaar securitybeleid te krijgen. Zolang het werkbaar is en er is bewustwording bij de werknemers, zal er over het algemeen goed gevolg gegeven worden aan de instructies.
Ik zit op dit moment bij een klant waar een clean desktop-policy en het locken van je buro verplicht is. Dat geldt *ook* als je eventjes opstaat om met een collega mee te kijken op zijn/haar scherm of als je even koffie gaat halen. Dit wordt strict nageleefd, zonder dat er gezeurd wordt. Waarom? Je mag bij een collega die z'n aandacht even laat verslappen onmiddelijk een "taartmailtje" versturen, danwel de spulletjes die er niet horen van z'n buro gappen. Spulletjes teruggeven hoeft pas nadat de collega zelf een "taartmailtje" heeft verstuurd. We eten elke maand wel een keertje taart, maar veel vaker dan dat is het niet en de werksfeer is prima. Zo kan het dus ook, zonder dat er ontslagen moet worden.
Daar merk ik anders zelf weining van helaas. Ik ben wel benieuwd naar de onderbouwing van deze loze kreet.
Dat zou betekenen dat ik het personeel niet snap..../
Volgens de Secunia Software Inspector behoor ik maar tot 14% van de EU-bevolking die zijn security op juist niveau heeft. Als we de lijn van Schneier zouden doortrekken, dan zou dus 86% van de beroepsbevolking ontslagen moeten worden, omdat zij de aanwijzingen van de IT-afdeling inzake de beveiliging van een bedrijf niet zou volgen.
Een totale ineenstorting van de economie zou het gevolg ervan zijn.
Deze reactie is natuurlijk net zo niet houdbaar als die van heer Schneier.
Er gaat wel degelijk een erg sterk waarschuwende werking uit van het snel ontslaan van personeel op security gronden. Ik denk dat de methode Schneier (hoewel bijzonder verachtelijk) wel erg effectief is.
Bij ieder bedrijf waar security-beleid is vliegen er een paar mensen uit...and that's it.
Het zou nog niet een rimpeling zijn op de grafiek met aanvragen voor werkloosheidsuitkering.
Iedereen, (van boekhouder tot directeur, van koffiejuffrouw tot postbezorger) krijgt de info over wat op een bedrijfspc wel en niet mag.
In folderformaat en als pdf bij hun thuis.
Bij overtreding van die regels is er maar 1 straf:
Iedereen op de afdeling krijgt van die persoon die dag 1 kop koffie.
Ze doen het allemaal, maar ook allemaal maar 1 keer.
Publiek afstraffen in deze vorm werkt naar mijn mening het beste.
Ik voer dit beleid nu 8 jaar en nog nooit geen last van virussen op het netwerk gehad.
Wel wat mensen die niet bekwam met een pc om gaan, maar verder niks.
Verder is in mijn ervaring het meeste personeel helemaal niet security-aware; security vinden de meesten iets waar de baas (dus systeembeheer en, indien van toepassing, de beveiligingsmedewerkers) maar voor moeten zorgen.
Straffen werkt volgens mij net zo goed als bekeuren voor te hard rijden (nauwelijks dus).
In april is door het PvIB (Platform voor Informatie Beveiliging) een interactieve bijeenkomst over security awareness georganiseerd (zie https://www.pvib.nl/evenementen&localAction=details&id=8213286). Hoewel daar ook sprake was van het uitdelen van rode kaarten was er ook te horen dat professionals goede resultaten bereiken met belonen van met name afdelingen voor awareness (verminderen van het aantal incidenten, voorkomen van potentiële escalaties etc).
Hij is en blijft een leider imho.
Totdat de concurrentie er met je miljarden-idee vandoor gaat omdat je documenten e.d. gewoon op het internet staan.....
Het is dus gewoon een kwestie van tijd totdat eenieder gedupeerd is. Maar dan ligt de fout altijd ergens anders maar niet bij jezelf/ de eigen PC... wat is dat gemakkelijk.
De tijd moet er langzamerhand rijp voor worden. Zodra mensen geldbedragen missen en niet terugkrijgen, imagoschade oplopen of ID-codes worden misbruikt etc. dan moeten ze op de blaren zitten maar tot nu toe geburt dat nog niet zo vaak.
Het ligt dan altijd aan de provider, de PC software.... maar niet aan de gebruiker. Dus gewoon kwestie van tijd.
JH
Ten tweede: een produktie bedrijf maakt produkten en geen veiligheid, veiliegheid is een ondersteunend iets, niet iets primairs.
ten derde: werknemers hebben maar 1 belang, het produkt op tijd af hebben, velen zien een computer als iets wat opgelegd is om mee te werken.
Dat zijn mijn praktijk ervaringen, wat mij betreft zien produktie medewerkers dit goed. Als it-er moet ik ze ondersteunen en niet van alles opleggen, dit vraagt om een ander benadering.
Het wordt gewoon tijd dat veel it-ers van hun eiland komen (daarmee bedoel ik ook it-managers) en naar de klant toe gaan en bekijken hoe deze het best kan werken en vooral hoe deze WIL werken. Daar moeten de it-systemen dan op aangepast worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?