Vakantie - een zware klus al die informatieverwerking

Fijn, we mogen weer aan de gang. De zinnen zijn verzet. 
De vakantie is achter de rug.

Waar vakantie voor velen betekent dat er platgelegen wordt heb ik zelf al menig jaar achter de rug met een dakkoffer vol boeken. De eega is namelijk professioneel boekenverslindster en vakantie heeft zo voor iedereen dus een andere betekenis.

Zelf neem ik twee spannende boeken mee en onderhoudende vakliteratuur. Die twee boeken lees ik uit, maar de vakliteratuur daar kom ik niet aan toe. Jammer toch, want de NSA zit ook niet stil. Blijkt nog eens dat ze veel meer kunnen zien dan wat we tot nu toe dachten! Als security professional moet je dus wel al je vrije tijd gebruiken om op de hoogte te blijven.

Die zomermaanden draaien dus eigenlijk maar om één ding - informatieverwerking.

De eega leest een dakkoffer leeg, de NSA kijkt door een typefout naar de elektronische berichtgeving van héél Egypte en ikzelf lees twee spannende boeken. Nu heb ik deze zomer een meevaller ervaren. De eega had nog wat kadobonnen over en heeft daar een e-reader voor gekocht. Tientallen boeken in één hand. Dat betekende echter niet dat de dakkoffer thuis kon blijven. De vrijgekomen ruimte hebben we gevuld met allerlei andere nuttige vakantiespullen.

Eenmaal thuisgekomen concludeerde ik dat, als ik de sleutel van de dakkoffer was kwijtgeraakt, er niemand naar zou kraaien. Voor zover was deze vakantie dus nog steeds een zware klus met de montage van het ding, het volladen van het ding, het onbenut weer uitpakken van het ding en het weer losmaken en opbergen van het ding.  

Maar goed, laten we even bij de informatieverwerking blijven.

De laatste vakantiedag heb je de werklaptop of werktablet weer aangeslingerd en de inbox ontploft alweer. De stress begint dus al voordat je klaar bent voor de eerste werkdag. Ook informatieverwerking!

Waar het me om gaat is de explosie aan informatie waaraan we als security professionals worden blootgesteld. Big data is de heilige graal bij het oplossen van alle ineffectieve securitymaatregelen. Continuous monitoring, reporting, SIEM, correlation, incident management, .. Allemaal informatieverwerking! Nu dachten we dat SIEM een schone dood gestorven was. Maar in werkelijkheid is SIEM een eerste stap in de goede richting geweest.

Alles verzamelen, normaliseren, correleren, analyseren en rapporteren.

Probleem is echter dat SIEM-projecten per definitie schuivende panelen kennen. Alles moet worden verzameld en iedereen voelt zich eigenaar van de data. Er is dus geen eindverantwoordelijke beheerder. Bijkomend nadeel is dat we al ons vertrouwen in de techniek hebben gelegd. We zijn als security professionals onvoldoende in staat om al die bergen informatie goed in te kaderen en de juiste informatie er uit te halen. Daarom lieten we dat over aan de machines.

Verzamelen zonder onze eigen informatiebehoefte te kennen. Hoeveel organisaties hebben netjes vastgesteld welke security informatie ze allemaal willen en kunnen verwerken? Hoeveel van die organisaties hebben de juiste middelen daarvoor vrijgemaakt?

En dan heb ik het niet over de technische infrastructuur, maar over mensen, kennis, ervaring, vaardigheden!

Er zijn onvoldoende security professionals die beschikken over de juiste kennis, ervaring en vaardigheden om de juiste informatieverwerking onder tijdsdruk goed uit te voeren.  Steeds meer nadruk komt te liggen op de juiste sociale vaardigheden van security managers om security onder de aandacht te brengen bij de directie. Dat is op zich een goede ontwikkeling. Maar de realiteit met Advanced Persistent Threats (APT) vraagt om een juiste voorbereiding op het eerstvolgende incident.  OK, daar heb je geld voor nodig van de witte boorden. Maar je moet nu al op zoek naar de juiste mensen.

APT’s hebben de neiging onder de radar te blijven. Dat betekent dat security professionals in staat moeten zijn om overal afwijkende zaken te kunnen waarnemen. Dat vraagt inderdaad om tooling. Maar ik maak me zorgen om de verwerking van al die informatie. Gedurende een incident zal dat onder tijdsdruk moeten.

Ik denk dan aan Sherlock Holmes die in staat is om alle details in zijn omgeving waar te nemen. Hij is zelfs in staat om die informatie op te slaan in de hersenpan. Hij filtert daar echter uit wat ter zake doet en weet iedereen te verbazen met de juiste conclusies.

Tegen Watson zei hij eens:

‘How often have I said to you that when you have eliminated the impossible, whatever remains, however improbable, must be the truth?’

Hij filterde al het onmogelijke uit zijn waarnemingen en wat overbleef moest dan wel de waarheid zijn (deductie).   

´Deductie´, ´abductie´ - allemaal terminologie die wijst op een wetenschappelijke aanpak. Analyses van zijn aanpak roemen zijn opmerkingsvermogen, maar spreken ook van een grote dosis geluk aan zijn zijde.  Zijn geestelijk vader, Sir Arthur Conan Doyle, wilde natuurlijk wel dat Sherlock de misdaden zou oplossen.   

Dat Sherlock Holmes gebruik maakte van diverse technieken is leuk om eens verder te bekijken (maar niet nu en niet hier).

Een voordeel voor Sherlock Holmes was het gebrek aan tijdsdruk. Dat is tijdens een security incident wel anders.

Hoe goed zijn de security professionals bij jou in de organisatie in staat om onder tijdsdruk de juiste waarnemingen te doen, filters toe te passen, analyses uit te voeren en conclusies te trekken? Roep dan niet dat SIEM dat juist allemaal doet. De bedenkers van SIEM hebben standaard correlatieregels toegepast die misschien net niet de juiste zaken aan het daglicht brengen in jouw specifieke situatie. Daarnaast hebben jouw security professionals eigen regels toegevoegd. Beschikken zij over de juiste vaardigheden om alle goede correlaties in te voeren?

Bijkomend feit is dat aanvullende monitoringtools in de praktijk nauwelijks zijn ingebed in SIEM (ondanks de mogelijkheden daartoe). Als de organisatie nu wordt aangevallen moeten de security professionals op meerdere schermen tegelijk hun informatie verzamelen.

Ik gun iedere organisatie een team met de analytische vermogens van Sherlock Holmes. De realiteit is dat die professionals nauwelijks op de arbeidsmarkt aanwezig zijn  en ze worden ook niet in grote getalen opgeleid op de hogescholen en de universiteiten.

Hou hierbij in gedachten dat Sherlock Holmes slechts op papier bestaat!

Wellicht zijn we als mens niet eens in staat om deze vermogens aan te spreken. Laat staan dat de evolutie ons in staat heeft gesteld die vermogen te ontwikkelen.

Intussen laad ik de digitale serie van Sherlock Holmes op de e-reader van de eega. Ik kijk nu al uit naar de volgende vakantie. Niks ‘zware klus’ die informatieverwerking tijdens de vakantie.

Succes met het volgende security incident. 

Securitybudget in gevaar!

Cyprus leent van Griekenland. Vul het ene gat met het andere gat!

Bizar, de EU loopt tegen de grenzen van het begrip begrotingsdiscipline aan. Noodfondsen, steunpakketten, Dijsselbloemen, spaarbelasting, ... Nu wil Rusland de Cyprioten niet helpen, dan gaan ze in zee met die andere amateurboekhouders. Inventief is het zeker!

Heb jij dit jaar ook te maken met krimpende securitybudgetten? Ik zou deze dagen even goed opletten wat er gebeurt in Cyprus. Hogeschool financiering lijkt me zo. 

Nu draait het bij begrotingsdiscipline veelal om het krijgen van garanties. Dat loopt voornamelijk bij anderen door de boeken. Jij hebt met je ambitieuze securitystrategie een serieus probleem want dat loopt direct bij jouw organisatie door de boeken. 

Ik ga het echter niet met je hebben over het regelen van je benodigde budget. Ik wil het met je hebben over de aantoonbare waarde van de securityinspanningen in jouw organisatie. De ROI van securityinvesteringen berekenen op basis van de kans dat er een inbraakpoging schade oplevert laat ik even links liggen. 

Veel meer geloof ik in de werkelijke effecten van de dagelijkse inspanningen. Goed, je wilt de verstrekker van het budget het vertrouwen geven dat de investering het waard is. De onderbouwing van jouw positieve beeldvorming (de business case) komt pas echt tot leven als je de dagelijkse effecten van de investeringen aantoont. 

De vraag is dan echter welke lineaal je gaat gebruiken om die dagelijkse effecten te meten? 

Ik heb veel informatie over security metrics onder ogen gehad. Mooie artikelen en bijzondere boeken. Een zeer goed boek is 'Security Metrics: Replacing Fear, Uncertainty, and Doubt' van Andrew Jaquith. Vooral het hoofdstuk waarin de Security Balanced Score Card wordt beschreven is erg goed. Je gaat bijna geloven dat security te besturen is, als was het een organisatie. Dat is denk ik toch de kracht van de principes achter de balanced score card. 

Een meer pragmatische aanpak vind je bij het Center for Internet Security. Met het Consensus Security Metrics programma hebben ze een praktische set security metrics opgezet.  

Er zijn verschillende metrics verdeeld over belangrijke processen: Incident Management, Vulnerability Management, Patch Management, Application Security, Configuration Management en Financial Metrics.

De onderstaande tabellen geven deze metrics weer. 

Wanneer doe je het goed?   

Ik ben van mening dat de koppeling tussen de metrics en de processen de waarde van security goed onderbouwt. Natuurlijk wil je ook technische metrics, maar die worden niet zo indringend beleefd bij de investeerders (het verantwoordelijke directielid die je had overtuigd om te investeren). 

Security is ook een terugkerende bezigheid. Je moet iedere dag zwaar aan de bak om er iets van te maken.Dat schreef ik al in een voorgaand blogartikel. Je wordt een topsporter op het gebied van security als je dagelijks lange saaie slagenwisselingen maakt. De processen moeten droog en zonder mokken uitgevoerd worden. 

Topmateriaal is zeer welkom, maar het is vaak duur en het maakt je nog geen professional. Training en uitvoering op het gebied van de security processen zijn de maat voor de echte kwaliteit van security binnen de organisatie. 

Vind jij dat uitvoeren van droge processtappen leuk? Ben jij overtuigd van de effectiviteit ervan? Blijf je enthousiast over je vakgebied?

Mooi, dan voldoe je aan een paar basisvoorwaarden om het securityniveau bij jou in de organisatie omhoog te stuwen. 

Mocht je onverhoopt uitgeblust raken van de droge dagelijkse proceshandelingen dan raad ik je een vakantie naar een Grieks eiland aan. Dat kan ook Cyprus zijn. Even de lokale economie spekken! Geniet van de zon. 

Succes trouwens met de volgende virusuitbraak!