Iedere zichzelf respecterende organisatie beschikt er al over of is op zijn minst bezig met het opstellen ervan: een IT-architectuur. Dit begrip, overgewaaid uit de Verenigde Staten, staat voor een set van documenten die de informatievoorzieningen van een grotere club beschrijven. De oorspronkelijke opzet, zoals vastgelegd door onder meer IEEE, stelt dat een architectuur beschrijvende documenten omvat op verschillende abstractieniveaus. Zo zijn er netwerkarchitecturen, die op laag 2 tot 4 uitleggen hoe de verkeersstromen komen waar ze horen, en niet komen waar ze niet horen. Onmisbaar voor het oplossen van storingen en voor het aanbrengen van wijzigingen. Vergelijkbaar heb je informatiearchitecturen, die uitleggen hoe applicaties de bedrijfsvoering ondersteunen. Er was niets logischer dan dat er ook een beveiligingsarchitectuur zou ontstaan, die beschrijft hoe een set van beveiligingstechnologieën en processen gezamenlijk zorgt voor een veilige werkomgeving.

Maar helaas, zo is het niet gegaan. Architectuur veranderde van beschrijvend in vóórschrijvend. In het begin was dit niet zo vreemd, immers: je wilde niet alleen een handzame beschrijving van wat er is (de "IST"), maar ook van wat er moet komen (de "SOLL"). Een vóórontwerp zeg maar, een blauwdruk voor de toekomst. Deze verandering kun je terugvoeren op Gartner, die stelt dat een architectuur prescriptief moet zijn, oftewel kaderstellend. Zo ziet een architectuur naar Gartner eruit als een reeks referentiemodellen, en omvat het tal van afspraken over hoe de techniek er uit moet gaan zien, over zeg vijf jaar.

En daar ging het heel erg mis. Deze tweede generatie architecturen is afhankelijk van wat de professionele toekomstvoorspellers aan oplossingen voorzien. Normale leveranciers weten niet wat ze over pak ’m beet zeven jaar verwachten te leveren. Maar Gartner cum suis weet dit natuurlijk wel. Waarmee een hele nieuwe klantenkring gecreëerd werd.

Het voorschrijven van hoe iets moet worden, raakt de essentie van de macht. Zeker als je het hebt over beveiliging. En zo schoven architecten op naar de contreien van de beleidsmakers. Een beveiligingsarchitectuur werd een soort zusterdocument voor het beveiligingsbeleid, waarin staat hoe beveiligingsdoelstellingen gerealiseerd moeten worden. Maar dan wel op de abstracte manier van de stip op de horizon. Met deze ontwikkelingen belandde architectuur in de buurt van de burelen van het beleid en in handen van mensen die wat verder afstaan van de operationele werkelijkheid. En dat verhoudt zich heel slecht met het ontwerpen van een doelmatige beveiliging.

Het is hiermee dus niet gezegd dat Security architectuur niet kan, of niet nodig is. Wat wel gezegd moet worden is dat er een hele berg kolder verkocht wordt. Architectuur verzorgt de juiste balans (de alignment) van noodzaak en middelen, dus een Security architectuur zorgt voor alignment (en daarmee de rightsizing) van Security middelen. Zodra het over verder in de toekomst gaat, ontbreken de parameters om de juiste maatvoering te bepalen, zoals de effectiviteit van de middelen en de realiteit van de bedreigingen. Vijf jaar geleden vonden we bijvoorbeeld spam en spyware onbelangrijke zaken. Zo hebben we nu hooguit een heel vaag idee van waartegen we in 2012 moeten optreden. Om dat nu te lijf te gaan met plannen die gaan over stippen op horizonnen?

Je herkent ontspoorde beveiligingsarchitecturen in de regel snel. Het eerste weggevertje is door het spelen van Bullshit Bingo met de architectuur als geheel: veel platitudes en een ver doorgetrokken beeldspraak. Bestemmingsplan. Modellentypologie. Richtinggevend en kaderstellend. Referentiekader voor projecten & auditoren. Landkaarten en positionering.

Een tweede weggever is het gebruik van oudere mantra’s uit beveiligingsland. De meest kenmerkende is Deming, modieus in de jaren negentig. Bedenk je dat veel architecten al een tijdje mee hobbelen en doorkneed zijn in oudere concepten – en wat verder afstaan van de alledaagse werkelijkheid. Als ze er al ooit mee te maken hebben gehad. Wat was dat ook al weer, Deming? In het kort: Plan, Do, Check, Act. Klinkt heel goed, van een tijdloze schoonheid. Je begint met Plan, waarin je bedenkt wat je allemaal moet gaan doen. Grappig, maar bij beveiliging begin je eigenlijk liever met kijken wat er aan de hand is.

Deming is geleend uit kwaliteitsbeheer en in het verleden kritiekloos overgenomen, toen informatiebeveiliging nog in de kinderschoenen stond. En zo vind je in nieuwste beveiligingsarchitecturen stapels oude koek: zaken uit het INK-model, inzichten uit Six Sigma, zelfsturende teams, balanced scorecards en andere begrippen die na het eerste deel van Dilbert afgevoerd leken. Maar goed, die voer je dus allemaal in, met een procesgeoriënteerde watervalmethode, en dan komt het helemaal goed.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter