Waarom beveiligingsexperts falen
Gepubliceerd: Dinsdag 26 januari 2010
Auteur:
Als chief information security officer (CISO) heeft Dan Lohrmann een grote groep veiligheidsexperts onder zijn hoede gehad. Op basis van goede en slechte ervaringen met zijn medewerkers typeert hij de ideale securityprofessional.
Tijdens mijn lange carrière als CISO ben ik altijd geboeid geweest door de vraag waarom sommige beveiligssexperts mislukken en andere succes hebben. Als manager heb ik leiding gegeven aan IT'ers die er een geweldige hekel aan hadden als er collega's van de beveilings-afdeling langskwamen. Gaandeweg ontdekte ik wat de goede veiligheidsexperts onderscheidde van hun mislukte collega's. In deze reeks wil ik mijn bevindingen met jullie delen.
Grappende CSO's
Volgens sommigen is de oplossing simpel: uitgebreidere opleidingen en beter gekwalificeerd personeel moeten het niveau van de securitymedewerker opschroeven. Anderen menen dat Information Assurance (IA)-personeel beter betaald, geselecteerd en begeleid moet worden. Daarmee zal bijna niemand het oneens zijn, ook ik niet. Toch heb ik overal op de wereld falende medewerkers gezien die aan alle bovenstaande kwalificaties voldeden en omgekeerd. In werkelijkheid vallen veel van deze voorwaarden buiten de verantwoordelijkheid van de veiligheidsmedewerker. Die kan natuurlijk specifiek kiezen voor bedrijven die veel aandacht hebben voor opleiding, salaris en carrièremogelijkheden, maar op de huidige arbeidsmarkt is die keuzevrijheid beperkt.
CSO's (chief security officers) grappen weleens dat ze graag willen werken bij een bedrijf waar onlangs een groot veiligheidslek is geweest, liefst met een verlies van miljoenen dollars. Dat kostte hun voorganger zijn baan, maar betekent dat zij op het moment dat ze in dienst treden volledige medewerking en alle financiële middelen krijgen om de klus te klaren. Maar in de dagelijkse realiteit komt dit nauwelijks voor en moeten securitymedewerkers roeien met de riemen die zij hebben.
Hoe kunnen veiligheidsexperts dan het verschil maken? Welke eigenschappen moeten zij beslist hebben? De komende maanden zal ik een aantal oplossingen aandragen. Daarbij ben ik er wel van uit gegaan dat de lezers beschikken over basisvaardigheden en een professioneel cv. Iedereen kan zich een securityprofessional noemen, maar als je het verschil niet weet tussen een versleutelde laptop en SSL, dan kun je beter eerst terug naar de schoolbanken.
De rubriek Tips & Tools biedt praktische informatie die IT-professionals in hun dagelijkse werk kunnen toepassen.
