Vroeger was informatiebeveiliging goed te doen. Je had binnen, daar stonden je servers en daar zaten je gebruikers. En je had buiten, daar zaten je klanten. Dat waren subjecten in een informatiesysteem, waar alleen je eigen gebruikers bij konden. Beveiligen was zorgen dat er alleen mensen binnen konden die je vertrouwde. De erfenis hiervan zie je nog in de vorm van wachtposten aan de deur en screening van personeel. Nu zijn de wachtposten bij de deur er alleen nog om je tegen fysieke diefstal te beveiligen, vroeger was het een belangrijke (vaak zelfs de belangrijkste en ook de enige) voorziening van informatiebeveiliging. Dat noemen we het kokosnootmodel, hard van buiten en zonder structuur van binnen. Iedere organisatie wist zich veilig verschanst achter de fysieke muren.

Je mag het eigenlijk niet zeggen, maar vroeger was beveiliging dus echt slechter. Toen ik midden jaren ’90 in dit vak begon was de voornaamste taak van de beveiligingsafdeling van de bank het geheimhouden van het telefoonnummer van de modempool. En als dat nummer uitlekte, dan, eh, ja, wat dan eigenlijk? We zouden een inbraak waarschijnlijk pas gemerkt hebben als de telefoonrekening absurd hoog werd. Stel dat we naar de rekeningen hadden gekeken.

Dat was vroeger, en het inzicht dat dit achterhaald is, is gemeengoed; waarom zou je daar een column aan wijden? De case is immers toch duidelijk gemaakt met het Jericho project rond 2006. Een goed gevonden beeld; de fysieke muren zijn inderdaad omgevallen. Het punt is echter dat dit niet het einde van deze geschiedenis is. Wat komt er ná het vallen van de muren? In 2006 hadden we nog geen Bring Your Own Device (BYOD), de Cloud moest nog uitgevonden worden en over de Smartphone gingen alleen nog maar geruchten. Dit zijn allemaal zaken die ons sindsdien vanuit de business overvallen hebben, en die we niet kunnen negeren, hoe graag we dat ook willen. Moeten we nu het wiel met bloedspoed gaan uitvinden?

Ja, dat moet.

Gelukkig zijn er waardevolle bouwstenen beschikbaar, de meesten al jaren. De grootste schatten zitten verstopt in het Claims Based gebeuren, de WS-Security hoek en bij XRML. Deze laatste kennen de meesten van ons wellicht beter als WRM, het MS Office broertje van Digital Rights Management.

Helaas zijn deze middelen onder het hoogst irritante adagium ‘proven technology’ vrijwel overal buiten de deur gehouden. En nu kunnen we er niets mee omdat we de kennis er niet voor hebben. De grootste gotspe van de Security is wel dat proven technology hier óók als valide argument wordt beschouwd.

Voor de mensen die het niet kennen: proven technology wil zeggen dat we dingen pas inzetten als ze zich een paar jaar bewezen hebben bij anderen. In de praktijk is proven technology vooral een eufemisme voor ouwe troep. Een excuus voor conservatisme, van mensen die de veranderingen bijhouden blijkbaar te veel moeite vinden. Het principe is vooral populair bij IT-managers in grote organisaties, banken en ministeries voorop.

Met de eis voor proven technology zeg je dat het nieuwe nog niet bewezen is. Dat is natuurlijk ook zo. Maar je impliceert ook dat het oude zich wél bewezen heeft. Dat is in de ICT Security hoogst zelden het geval. Maar al te vaak is proven technology een excuus om iets niet te doen; immers als je iets doet, dan krijg je weer van die ICT projecten. En die mislukken. Vandaar deze reflex bij IT managers. Begrijpelijk, maar verkeerd.

De mens is van nature geneigd om te stellen dat het vroeger beter was. Dat hebben we allemaal; ook auditoren kijken minder kritisch naar proven technology dan naar onbekende zaken. Dat bleek overduidelijk bij het Deepwater Horizon olielek van BP. Deze tunnelvisie is zeer bepalend van onze waardering van beveiliging. Het begrip proven technology is dus het perfecte voorbeeld van hoe contraproductief een selectief geheugen werkt. Vroeger was het niet beter, we hadden alleen minder zicht op hoe slecht het allemaal was; dat is de prijs van meer kennis en inzicht.

Een kleine vertaling naar de dagelijkse IT-werkelijkheid. Wat is de levensduur van computersystemen? Vijf jaar. Wanneer is iets proven technology? Na drie jaar elders in gebruik. Hoe snel kunnen we iets nieuws invoeren? In ongeveer twee jaar, en omdat vrijwel iedereen eerst op iedereen zit te wachten beginnen de eerste implementaties na vier jaar, en is de grote massa na negen jaar in productie. Inderdaad: Windows XP.

En dan nog een kleine vertaling naar best practices. Waar ontstaan best practices? Bij grote organisaties. Hoe voorop lopen die? Niet bijster, meestal lopen ze een paar jaar achter op cutting edge. Zeg vijf jaar. Hoe lang duurt het voor een best practice vertaald is naar een bestaand normenkader? Drie jaar? Hoe lang doen we er over om een nieuwe versie van een normenkader in te voeren? Vijf jaar? Door de lengte van deze keten is de gemiddelde ‘best practice’ een oplossing van een 13 jaar oud vraagstuk. Inderdaad: ITIL v3.

Organisaties die kiezen voor proven technology, kiezen dus gewoon voor slechter.

Het concept proven technology komt uit de bouw. In die wereld is het een prima concept: zwaartekracht, torsie, baksteen en beton veranderen niet, en wat er verandert in materialen gaat meestal langzaam. Maar wat in het ene domein een wet van Meden en Perzen is, hoeft dat in een heel ander domein niet te zijn. Zo heeft IT beveiliging meer overeenkomsten met het militaire bedrijf (je wordt aangevallen) dan met de constructie van huizen (het regent).

In het militaire bedrijf is bewezen dat unproven technology soms onmisbaar is; onderzeeboten tot 1950 waren onbetrouwbare doodskisten, vliegtuigen tot 1940 ook – en toch bepaalden ze de uitkomst van de Tweede Wereldoorlog. Als slotakkoord van die oorlog had je dan nog de ultieme unproven technology: de atoombom.

Een goed beginpunt voor hoe militairen denken over proven technology zijn de Technology Readiness Levels waarmee de inzetbaarheid van technologie wordt geclassificeerd. Daar kunnen wij een boel van leren. Zelfs het hoogste niveau, 9, is veel eerder bereikt dan het ongrijpbare ‘proven technology’ zoals wij dat dagelijks gebruiken. Een dergelijke formalisering van wat ‘proven’ dan wel ‘unproven’ is had er in de IT Security al lang moeten zijn. Maar dit soort volwassenheid hebben we na ruim 25 jaar professionele beveiliging blijkbaar nog steeds niet bereikt.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Laatste 10 columns