ICT-ers zijn recht in de leer. Gelijke monniken, gelijke kappen. Alle servers moeten bestaan uit dezelfde bouwstenen en iedereen moet dezelfde muis hebben. De hele organisatie moet draaien op identieke hardware met volledig gestandaardiseerde besturingssystemen en software. En waarom? Omdat dat goedkoper is, en veiliger. Laat je duizend bloemen bloeien, dan krijg je een onbestuurbare chaos.

Dit gelijkheidsideaal neemt grootschalige proporties aan. Alle pc's moeten op hetzelfde platform draaien. Wil je naar Windows 7? Driewerf Neen, dat mag pas als we de hele firma doen en dat kan misschien al in 2014. Wil je een Mac of, godbetert, een Linux: mag niet. Twee verschillende database engines? Taboe. Iedereen moet hetzelfde draaien, anders "kan de helpdesk het niet ondersteunen." Dat is natuurlijk een kulargument - zo lang je maar een voorziening hebt om de desktop remote over te nemen, lukt het prima. De meeste helpdeskmedewerkers zijn echt niet zo volslagen debiel als we graag geloven en kunnen daadwerkelijk overweg met twee verschillende Microsoft platformen. En wat dit met servers te maken heeft snap ik al helemaal niet - bij een serverstoring bel je toch niet de eerste lijn om te vragen of ze boel remote kunnen oplossen?

Veiliger is het ook al niet: door de 'rationalisatie' draaien servers en PC's 'bouwstenen' die niet nodig, maar wél aan te vallen zijn. Omdat ze niet gebruikt worden, valt het ook niet op als er iets stuk is door een aanval. In de praktijk blijkt vervolgens ook nog dat tóch ieder stuk ijzer anders ingericht is. Het netto resultaat is dat het beheer juist duurder wordt door 'consolidatie'; je onderhoudt een fictief standaardplatform bovenop de echte servers waar meer software opstaat dan nodig is, en die dus meer storingen hebben en ook nog meer beveiliging vragen. Immers, wat er in zit, kan stuk.

Vergeet niet dat monoculturen zoals die door consolidatie ontstaan een veel groter aanvalsoppervlak vormen - de reden dat er meer virussen zijn voor Windows dan voor andere besturingssystemen is een overtuigende demonstratie van dit mechanisme. Consolidatie leidt bovendien tot een onmogelijk regressietestvraagstuk: als je een update wil testen op de bouwsteen 'standaardserver-besturingsysteem' moet je alle varianten die je uit hebt staan, testen. Dat is heel veel werk en dus heel duur. En dus laat je dat op enig moment maar zitten. Met als gevolg dat je ongeteste changes in productie uitvoert, of de updates niet installeert. Beide gevallen leiden tot een sterke toename van de onveiligheid en afname van de beschikbaarheid.

Het meest kostbare is echter opbouw en onderhoud van de bureaucratie die de dubbele taak heeft iedereen naar de standaard te dwingen en bewijzen weg te moffelen dat de standaard niet bestaat. Daar heb je wel een paar hoogbetaalde productmanagers voor nodig, geholpen door een paar ingehuurde academische theoretici.

Ja, maar al die verschillende software maakt het beheer zo duur. Als het bedrijfseconomisch verantwoord is om 23 verschillende tekstverwerkers te gebruiken en de IT-afdeling betaald wordt, wat maakt het dan uit? Wie betaalt, bepaalt. Ja, maar dan wordt het te móeilijk voor de mensen die het moeten beheren. Gut, dat kan natuurlijk niet - we forceren de IT-ers aapjes te worden en vervolgens minimaliseren we het aantal trucjes dat ze kunnen doen. Als je het geld dat je bespaart door niet neurotisch te standaardiseren, gebruikt om je IT-ers meer te betalen, kun je veel slimmere mensen neerzetten.

Ja maar, hoe moet het dan met updates als je allemaal verschillende sofware draait? Nou - ieder besturingssysteem en grote applicatie sinds 1998 haalt zelf z'n updates van het Internet op en dat kun je ook binnen je netwerk toestaan. Ja maar, dan kun je geen volledige garanties geven dat het systeem stabiel is, omdat je niet alle patches zelf getest hebt. Dat argument is folklore: dat kun je evenmin van de systemen die je wel centraal patcht, omdat je voor je er erg in hebt een volledig service pack achterloopt, een minor patch gemist hebt en niet doet aan regressietesten. Ja maar, hoe kun je garanderen dat de updates niet van een onbetrouwbare server gehaald worden? Welnu, als je DNS zó onbetrouwbaar is, heb je ergere problemen dan waar je patches en updates vandaan komen. Ja maar, als je al die smaken systemen hebt, hoe moeilijk wordt het dan wel niet om door de audit te komen? Dat lijkt een sterk argument. Maar in mijn boekje zijn systemen er voor de gebruikers, niet voor het gemak van de auditor. De tijd die auditoren beschikbaar hebben, bepaalt de bevindingen, niet de mate van standaardisatie. Beschouw de opmerking dat ze meer tijd nodig hebben om tot een goed oordeel te komen als een zelfverlengingsverzoek van een inhuurkracht, en je hebt het binnen de juiste proporties gebracht.

Ik denk wel eens dat al het ge-jamaar komt omdat we het onmogelijke vragen. En da's handig, dan kunnen we ons niet bezig houden met het mogelijke.

Het gelijkheidsstreven is overigens al zo oud als de ICT. Iedere organisatie van enige leeftijd heeft om de zoveel tijd weer een consolidatieproject; We gaan de Wildgroei Terugsnoeien. Zo'n project krijgt dan een krachtige naam als GRiP (maakt niet uit waar de letters voor staan), Complexiteitsreductie of BiC (Business in Control). Een naam die duidelijk maakt dat je voor eens en voor altijd in control komt. Met een uitspraak als "Betere beheersing en sturing is noodzakelijk" laat je immers iedere professioneel bestuurder soppen in zijn bureaustoel. Kostenreductie en hogere veiligheid door vereenvoudiging klinkt heel overtuigend en je hebt wel heel stevig management nodig dat hier niet in meegaat. Sterker nog - een manager die zich kan onderscheiden door zo'n project mogelijk te maken, is al vrijwel verzekerd van een promotie zodra de kredietcrisis over is. Maak als beginnend manager alleen niet de fout dat project daadwerkelijk te leiden, want gegeven het te verwachten rendement - geen - heeft dat het tegenovergestelde effect op je carrière. Je meer ervaren collega's weten dat al járen.

ICT-Security is ook overtuigd aanhanger van het gelijkheidsideaal. En minstens even goed in ja-maren. Zo roepen we dat een netwerk met al die verschillende software niet te beveiligen is. Het is toch vreselijk als er drie Officeversies naast elkaar gebruikt worden; levensgevaarlijk! Drie verschillende webservers? Oh, gruwel!

Het is inderdaad onveilig. Zo lang we ons druk maken over beleid maar ons niet wagen aan handhaving, niet beter patchen dan nu, geen idee hebben welke software er draait in ons serverpark, niet zoneren, en alleen inbound verkeer een beetje filteren, om er maar een paar te noemen, blijft dat zo. Wie kan er ingrijpen op de perimeter om bepaalde gevaarlijke content tijdelijk buiten te sluiten, als een bepaald gat in onze systemen aanwezig is? En "kan" heeft hier de dubbele dimensie: het gaat om technisch kunnen en organisatorisch kunnen. Wie kan erdoorheen krijgen dat voor onbepaalde tijd alle bestanden in PDF, Word en Excel tegengehouden worden? Standaardisatie van hard- en software is écht niet ons grootste probleem - het probleem is dat wij struikelen over de eerste drempel.

Dit gelijkheidsideaal leidt tot taferelen die dolkomisch zijn, behalve als je beseft wat het kost en hoe weinig het oplevert. Andere organisaties houden zich natuurlijk niet aan onze interne standaarden en doen het dus verkeerd. Zo moest ik ooit twee ministeries aan elkaar knopen en de eerste indrukken waren dodelijk - wederzijds. Hoewel hetzelfde formele beveiligingsniveau gold, liepen de interpretaties ver uiteen. "IK ben méér Departementaal Vertrouwelijk dan JIJ!" Deze gordiaanse knoop werd door het hoger management hardhandig doorgehakt - we voldoen allebei aan dezelfde veiligheidseisen, dus ophouden met dat gezeur; het is veilig omdat wij dat zeggen. En strikt genomen is dat juist - niemand weet wat op dit moment veilig is, wat morgen veilig, of wat veiliger dan een ander is. Het is geen zinvolle discussie. Maar er wordt nog steeds nagesputterd. En het is inmiddels al heel wat jaren geleden.

Standaardisatie is voor beveiliging geen absolute must, maar het wordt wel zo gebracht. Dat geldt niet alleen het desktop OS, maar bijvoorbeeld ook RBAC: we stoppen gebruikersrechten in zo min mogelijk groepen en leggen iedereen op om dezelfde spullenboel op dezelfde manier (lees: "Business Roles") in te zetten. Maar je kunt best meer rollen dan gebruikers hebben - het is maar een administratieve container dus wat maakt het feitelijk nou uit? Inderdaad - het óógt minder overzichtelijk.

De valkuil is dat standaardisatie gevoelsmatig betekent dat het eenvoudiger is en dus goedkoper. Dat kan wellicht in een theoretisch geval zo zijn, maar een niet-passende standaard is niet eenvoudiger, dus ook niet goedkoper. En het is zeker geen panacee tegen alle kwalen.

Dezelfde merkwaardige toestanden zie je bij virusscanners: we willen maar één antivirusproduct voor alles. Dan moeten we dus 'de beste' scanner hebben. Tja, we zouden onderhand kunnen weten dat de één wat beter is in het vangen van virussen op de mailserver, terwijl de ander beter is in webbased trojans en de derde de meest gemiddelde mix bevat voor de desktop. Dat de Unix versie anders werkt dan de Windows variant. Een gemengde strategie is aantoonbaar beter. En ja, minder werk - bij minder infecties hoef je minder op te ruimen. Standaarden om de standaarden is kolder. Bedenk je heel goed dat consolidatie zeer gevoelig is voor de wet van de afnemende meeropbrengsten.

Het is frappant dat we nog steeds teleurgesteld zijn als onze plannetjes en normpjes door mensen buiten ons machtsbereik volkomen genegeerd worden. Dit zullen we in de toekomst nog veel meer gaan zien - we krijgen steeds meer te maken met mensen buiten onze eigen organisatie die zich niets aantrekken van onze interne standaarden. De genetwerkte economie en gesourcete ICT staan daarvoor garant.

Wat de praktijk van meer dan twintig jaar consolideren ruimschoots aantoont, is dat duizend bloemen snoeien mogelijk is, maar dat de kosten niet dalen en dat het niet veiliger wordt. Ook niet op de langere termijn. Nu kun je het nog wel harder proberen, maar als aspirine niet helpt tegen een gebroken been, moet je gaan nadenken over een ander medicijn.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter