Helemaal mee eens, dat zou de theorie van het principe
moeten zijn aangezien het in de praktijk natuurlijk nooit
helemaal te verwezenlijken is.
Ik pleit dan ook al geruime tijd voor structurele
voorlichting, desnoods in de vorm van een Internet rijbewijs.

Zelfs in Star Trek deed men nog aan gegevens en systeem
audit's, dus mogen we aannemen dat het overbodig worden van
professionals niet zo een vaart zal lopen.

IT Security = Science Fictie, beveiliging gebaseerd op
fictieve aanvallen (de audit).

Het is afhankelijk wie dat doel heeft bepaald. Ik zou het
mezelf geen doel maken als ik een security professional zou
zijn. Je kunt het wel als ideaal gebruiken, want die zijn
meestal toch niet te bereiken.

Het is ook aan de gebruikers die je moet instrueren in
hoeverre ze jouw beleid en/of aanwijzingen ter harte nemen.
Een heleboel mensen denken namelijk bij zichzelf: "Waarom
zou ik al die dingen moeten onthouden? Daar heb ik helemaal
geen zin. En als het mis gaat, dan heb ik Sjaak Security
nog, die weet wel hoe ik dat en dat moet oplossen.". Ze
schuiven dus de verantwoordelijkheid van zich af.

En zolang dat gebeurd, blijf je security professionals
houden. Maar dat is niet alleen in de ICT. Zonder het
afschuiven van verantwoordelijkheden zouden we geen
criminaliteit kennen.

- Unomi -

Helemaal mee eens. Je bent een soort missionaris die het geloof
verkondigt zonder iedereen elke *dag naar je kerk te laten komen.

Je brengt mensen iets bij, helpt ze op weg, leert ze het in stand houden.

elke consultant dient zichzelf overbodig te maken
elke medewerker dient zichzelf voor 100% in te zetten voor
de rest van zijn leven/contract

Natuurlijk. Het geldt voor iedere verlener van diensten, en
ook voor heel veel leveranciers van producten. Maar
aangezien niemand zichzelf overbodig wil maken, wordt er
iedere keer iets nieuws verzonnen waarmee nieuwe
onmisbaarheid gecreëerd wordt. Heet dat niet economie?

Als een consultant een dominee is die een geloof uit moet dragen, kan
deze zich overbodig maken, als de boodschap overgekomen is tot zover
die ooit zal kunnen overkomen. Sterker, dit soort consultants is al
overbodig. Zo lang er nieuwe technologiën uitkomen, nieuwe
medewerkers in dienst komen en dergelijke, zal er werk zijn voor
consultants die geen oplossingen prediken of 'implementeren', maar
gewoon oplossen. Nieuwe problemen blijven immers.

Geef een man een wachtwoord en hij komt op een systeem.
Leer hem te hacken en hij komt op elk systeem.

Als je een consultant bent van een specifieke klant, bijv.
een bedrijf, is dit een goed streven, aangezien daar iets te
managen valt. Door het management bepaalde security
beginselen duidelijk te maken, en het duidelijk te maken dat
herhaling van de boodschap nodig is, moet het mogelijk te
zijn iets te bereiken binnen het bedrijf.

Echter, het grote publiek (thuis) kun je op deze manier niet
bereiken. Als mensen voor de basis beveiliging zelf moeten
zorgen, wordt het voor veel mensen al moeilijk. Als ze dan
ook nog moeten denken aan alle overige bedreigingen waar ze
zelf op moeten letten, wordt het alleen maar moeilijker.
Zeker bij mensen die niet dagelijks met IT te maken hebben,
kun je een aantal reacties verwachten die niet helemaal
positief zijn:

- Men neemt het heel serieus en probeert alle risico's voor
te zijn, en komt niet meer toe aan de leuke dingen, waarvoor
men eigenlijk Internet had.

- Men schiet in de stress, en durft eigenlijk het Internet
niet meer op (vooral oudere mensen waarschijnlijk)

- Men denkt "dat kan ik allemaal niet vatten" en gelooft het
verder wel. M.a.w. men doet niets meer aan beveiliging.

Welke reactie ook volgt, het is niet echt het beoogde effect.

Natuurlijk bestaan er ook andere reacties, maar het lijkt
onwaarschijnlijk dat al die miljoenen Internet gebruikers
bereikt kunnen worden met zo'n boodschap.
Dus ik zou zeggen dat het uiterst belangrijk zal zijn om
gewoon te voorkomen dat bedreigingen de gebruikers kunnen
bereiken.
Tsja, ook dan zijn we nog even bezig......

Laten we het erop houden dat we gebruikers moeten
opvoeden/opleiden, maar nooit moeten ophouden met het in
toom houden van de nieuwe bedreigingen... Misschien dat een
combinatie van beide hoop geeft op echte verbetering...

Beetje zinloos, als ik je een wetboek geef, zul jij dan
nooit meer te hard rijden? Of als ik je vertel dat roken
dodelijk is, stop je dan direct met roken?
Met iemand leren hoe met security om te gaan betekent niet
direct het einde van je vakn, nee, het zorgt juist voor zijn
bestaans recht. Die arme man heeft wel leren vissen, maar
hey, ik heb viskweek ontwikkeld met waar de vissen
automatisch worden gevoed. Denk dat hij dat ook kan? Het is
ene farce om te denken dat het stopt met het overdragen van
kennis. Zelf houd ik mij al 5 jaar met security bezig en nog
steeds moet ik de vis leren vangen :)

Informatiebeveiliging kun je als sec.prof alleen aan een bedrijf zelf
overlaten, wanneer de processen en verantwoordelijkheden daarvoor zijn
ingericht. Controle en zelfcontrole (al dan niet geautomatiseerd) zijn de key
woorden. Je zult het als bedrijf echter nooit zonder externe audit kunnen
stellen, wanneer je Informatiebeveiling op de agenda hebt staan.

Fishtech Sincerus

Oh Wauw. Auditors zijn onmisbaar. Onkreukbaar, onfeilbaar.
Verantwoordelijkheden toewijzen leidt er tevens toe dat mensen precies
weten wat ze moeten doen. Adequaat optreden alom. Schiphol bajes of
Enron anyone?

Oh Wauw. Auditors zijn onmisbaar. Onkreukbaar, onfeilbaar.
Verantwoordelijkheden toewijzen leidt er tevens toe dat mensen precies
weten wat ze moeten doen. Adequaat optreden alom. Schiphol bajes of
Enron anyone?

"Echte security professionals maken zichzelf overbodig"

Ja want als jij de (klant) omgeving goed heb ingericht en al je gebruikers
hebt geinstrueerd dan valt er nooit meer iemand aan en er wijzigt nooit
meer iets in het netwerk.

/sarcasme uit.

De titel zou moeten lezen "Echte security Consultants maken zichzelf
overbodig"

M.

Beter is:

DE BESTE SECURITY PROFS MAKEN DE MINDER GOEIE OVERBODIG ;)

Eigenlijk beweer je dan dat 100% security bestaat ... wat er
dus *niet* is ... en ik dus ook niet overbodig ben.

"Een echte security professional gaat er altijd van uit dat
de eindgebruiker een digibeet, computercrimineel of ander
gespuis is."

Een echte security professional gaat er vanuit dat die mogelijkheid
bestaat, zonder dat hij daarbij aan overmatige paranoia gaat lijden. Je gaat
er vanuit dat men te vertrouwen is, maar houdt rekening met de kans
dat het tegendeel waar blijkt te zijn ;)