Carte
The Process of Security
de Bruce Schneier · 2000 · 1 fișă de lectură
1 fișă
The Process of Security · 2000
Certificatul e o fotografie, iar securitatea e filmul din care a fost decupată.
Fraza lui Schneier are un sfert de secol și e încă cea mai bună obiecție la conformitatea tratată ca destinație. Un certificat spune că, în zilele auditului, un eșantion de dovezi a corespuns cerințelor. Sistemul care a produs acele dovezi poate fi abandonat a doua zi, iar certificatul rămâne valabil până la următoarea supraveghere. Certificatul e o fotografie; securitatea e filmul din care a fost decupată. De aici vine testul practic pentru orice program de conformitate: dacă un control funcționează doar când se apropie auditul, controlul nu există — există pregătirea pentru audit. Semnele se recunosc ușor: revizuiri de acces pe tot anul, făcute toate în aceeași săptămână; jurnale colectate retroactiv; instruire finalizată de toată lumea în trei zile. ISO/IEC 27001 e construit exact împotriva acestui tipar, fiindcă cere măsurare (9.1), audit intern (9.2), analiză de management (9.3) și acțiune corectivă (10.2). Adică ritm, nu eveniment.
“Securitatea este un proces, nu un produs. Produsele oferă o oarecare protecție, dar singura cale de a face afaceri eficient într-o lume nesigură este să pui la punct procese care recunosc nesiguranța inerentă a produselor.”