Meten is verleidelijk. Vooral voor managers. KPI's, scorecards, benchmarking trajecten, noem maar op. Wat vooral interessant gevonden wordt, is 'hoe goed doe ik het ten opzichte van mijn gelijken'. Het is belangrijk deze vraag niet te verwarren met het 'wie heeft de grootste' wat je persoonlijk wellicht meer boeit. Goed management is meestal eerder bezig met 'doe ik net genoeg en niet te veel'. Immers, in bedrijven geldt dat te veel doen aan een cost driver, onverantwoord management is. Dit noemen ze alignment.

Een populaire manier van meten werkt met maturiteitsniveaus: hoe 'volwassen' ben je als organisatie. Op basis van oermoeder CMM definiëren we een hiërarchie van te bereiken resultaten, waaraan wij adviseurs een nummertje hangen van één tot vijf.

Het gerenommeerde NIST (de Amerikaanse pendant van ons normalisatie instituut), beoogt met Prisma het gehele beveiligingswerkveld te bestrijken in vier niveaus van maturiteit. Op level 1 staan policies, op level 2 zie je procedures, op level 3 voer je een en ander in, en op level 4 kijk je of het helpt door testen en auditing. Helemaal prachtig, op de onderste twee levels heb je alleen papier, bij de implementatie schaf je 'alle ad hoc' af en op het hoogste niveau ga je (laten) toetsen of de doelen bereikt zijn.

Laten we wel wezen. Policies kun je zo abstract maken dat je ongeveer alle situaties onder een kapstok artikel kan vangen. Level 1 gaat dus wel lukken. Maar procedures moeten concreet zijn, dus Prisma betekent dat je blijkbaar alle eventualiteiten en omstandigheden moet voorzien, inclusief wetswijzigingen en gaten in goedgekeurde apparatuur en software. In level 2 blijf je dus ergens hangen, tot je besluit wat er af is ‘alvast’ te implementeren, vrij naar level 3. Maar ja, je komt naar de methodiek nooit boven level 2. Los van deze zwaktes krijgt de klant op z'n vroegst resultaten op level 4, waarin je de effectiviteit gaat meten. Nu willen sommige mensen wel eerder weten of het hele traject ergens toe leidt - vreemd, nietwaar? - dus die willen eigenlijk al wat sneller resultaten zien. Maar dat kan niet. Of je moet gaan melden 'dat we ergens tussen level 2 en level 4 zitten'.

De premisse is dat je alles wat je doet meetbaar maakt. Dat maakt alle lagere niveaus dan het hoogste voor iedere organisatie onvoldoende. Of zijn er clubs waar er behoefte bestaat aan tal van kostbare maatregelen zonder enige zicht op resultaten? Wat is hier nu het nut van de verschillende niveaus? Immers, je hebt pas iets als je op niveau vier zit. Echter, een kostenbewuste manager wil niet op het hoogst mogelijke, maar op het laagst acceptabele niveau zitten. Hint voor de knutselaars van Prisma: definieer een niveau luchtkasteel, waar niemand op zit te wachten en plak dáár je natte dromen in. Omdat nummertje vijf nog ontbreekt, die de meeste anderen wel hebben, pak je die toch?

Het minstens even gezaghebbende ITGI heeft een 6 niveaus hoog maturity model voor information security assessment uitgebracht. Op niveau 0 kijk je niet naar de business impact van security zwaktes. Je kijkt überhaupt nergens naar, je doet gewoon niets. Op niveau 1 doe je van alles ad hoc, zonder policies, en alles zonder samenhang of beleid. Op level 2 wordt wat de club doet herhaalbaar, maar dat dan wel 'intuïtief'. Toch benieuwd hoe dat gaat, neem je dan alleen helderzienden in dienst? Op level 3 worden de 'processen gedefinieerd', rollen en verantwoordelijkheden 'toegekend', maar niet afgedwongen. Op level 4 is de vrijblijvendheid afgeschaft, en op niveau 5 wordt security geïntegreerd in de 'business'. Ook hier zie je dezelfde zwakte: alleen het hoogste niveau is goed genoeg - of ga je de 'business' vertellen dat het niveau waarop iemand anders de baas is, goed genoeg is?

Het Duitse Institut für Software- und Systemtechniek Frauenhoff, zo mogelijk nog gezaghebbender dan de beide voorgangers, heeft een eigen smaak in haar Security Maturity Model, SMM. Ook dit kent vier niveaus. Niveau 0 staat voor blind vertrouwen en helemaal niets doen. Niveau 1 staat voor ad hoc in de rondte bewegen. Op niveau 2 is er beleid dat de acties op elkaar afstemt en op niveau 3 (het hoogste) 'evolueert' alles vanzelf naar een hoger niveau, door permanente processen - zonder al te veel managementingrijpen. Onze Duitse collega's maken duidelijk dat ze beter begrijpen wat het moderne management wil dan NIST en het ITGI: dat alles vanzelf goed gaat. Dat ze hiervoor de 'permanente processen' als wondermiddel in stelling brengen, maakt duidelijk dat we hier een evidente winnaar hebben. Maar het maakt even duidelijk is dat de maturiteitsbenadering zelf nog niet volwassen is.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter