Je kent ze wel, de IT-cowboys. Ook in de Security zijn zij geen onbekend fenomeen, sinds er geld te verdienen is. Victor is er zo eentje. Ik ken hem nog uit de internetbubbeltijd en vorige week sprak ik hem op de rokersplek bij een securitycongres. Hij had een ideetje.

“Luister Peet, haal je hoofd eens uit de bits en bytes en denk eens met me mee. Ik heb namelijk een dingetje en daar wil ik snel mee van de wal, want mijn geldorgaan ruikt geld. Veel geld.

Het toverwoord is Flexicurity. Weet je wat dat is, Flexicurity? Nou, daar zul je achter komen – jij loopt immers ook al tegen de vijftig toch? Flexicurity is de uitkomst van de arbeidsmarkthervorming die er aankomt om de eurocrisis te verhelpen. De arbeidsmarkt moet soepeler om ons uit de crisis te concurreren. Met Flexicurity is het eenvoudiger om dure oude bokken zoals jij en ik eruit te kieperen. In plaats van een gouden handdruk krijg je een opleiding. Die helpt je dan weer aan een volgende baan. De maakbare arbeidsmarkt. Leuk hè?”

Ja, ik wist van flexicurity was en nee, dat vond ik niet zo heel erg leuk. “Het lijkt me een typisch voorbeeld van een oplossing dat het eigenlijke probleem helemaal niet verhelpt”, zei ik. “Die ontslagen oude bokken blijven te duur, dus die komen toch in de bijstand. En bovendien, waarom zou je de arbeidsmarkt willen aanpassen terwijl de eurocrisis is veroorzaakt door de geldmarkt en de vastgoedmarkt? If it ain’t broken, don’t fix it. Gips om je been helpt niet tegen een hersentumor. En kijk eens naar Duitsland, een sterke economie met hartstikke veel ontslagbescherming.”

“Nou”, hernam Victor. “Het kan in elk geval mijn eigen crisis oplossen. Het toverwoord, jongen, is concurrentie. We moeten concurreren. Want de Chinezen komen! Weet je wel hoeveel ingenieurs daar per jaar afstuderen? En die komen allemaal onze bedrijven wegconcurreren. Daar moeten we iets aan doen, nietwaar? Nou, dat tel je dan op bij dat andere toverwoord, kenniseconomie. Hoe kom je aan kennis? Leren! Waar leer je? Op school! Ook daar is niets tegen in te brengen, toch?”

Daar had hij een punt. Deze toverwoorden hebben zelfs de gestaalde kaders van GroenLinks omgekregen, dus het nieuwe kabinet zal dit heus wel overnemen. Nu kwam Victor met het toverwoord voor zijn persoonlijke crisis: omscholingsbudgetten. “Denk aan de omscholingsbudgetten die vrij gaan komen als het ontslagrecht wordt aangepast. Stel dat er per jaar 100.000 mensen een jaarsalaris aan omscholingsbudget meekrijgen. Ontslagen ouderen krijgen het meest, namelijk 75.000 euri per persoon. Honderdduizend keer vijfenzeventigduizend harde pegels per jaar – Peet, dat is een markt van zeven en een half miljard, give or take.”

Ik zag waar hij heen wilde. Zijn volgende toverwoord was waarschijnlijk security en daarom was hij bij mij terechtgekomen. Bijna goed. Victor: “Security Management! Dat is het toverwoord! Dáár ga ik die mensen dan voor opleiden. Laten we wel wezen, wie wil dat nu niet worden. Ben je 56, eruit geknikkerd bij een bank, kun je Security Manager worden. Dat is leuk!”

“Security Management?” zei ik. “Maar dat is eigenlijk geen vak. Dat is het aansturen van de beveiligingsmensen, maar niet van de beveiligingsinspanning. Want de beveiliging zelf wordt bestuurd door noodsprongen bij crises, toevallige bevindingen van audits en verder door checklistjes en architectuurprocessen. Structuur ho maar. Dus voor Security Management heb je geen bijzondere opleiding nodig.”

“Ho ho Peet, denk nou eens commercieel. Wat boeit het nou helemaal dat het geen vak is. On-der-ne-mer-schap, daar draait het om. En dat ben ik. Ondernemer in hart en nieren. En jij gaat meedoen. Samen stampen we zo een Security Management opleiding uit de grond. Een vrindje van mij heeft nog het perfecte stulpje aan de Vecht waar we de boel kunnen vestigen, leuk lapje grond erbij, en voor een vriendenprijsje maakt hij er aanbouwtje aan met een klaslokaal. Flatscreentje erin en je kunt aan de slag. Kun jij dan wat tekstjes voor de website en de subsidieaanvraag in elkaar knutselen?”

“Ja maar Victor”, probeerde ik nog. “Er is wel een levensgroot probleem om op te lossen. Security heeft de flexibiliteit van een granieten aanrecht, terwijl de aanvaller elke dag verandert. Over flexicurity gesproken. Niet de arbeidsmarkt, maar de Security kan wel wat flexibiliteit gebruiken. Bedrijven hebben een goalkeeper nodig die binnen enkele seconden optreedt, maar wat ze krijgen is een bureaucratisch proces dat na een paar jaar een mogelijke oplossing oplevert voor een probleem dat ooit acuut was maar tegen die tijd allang weer voorbij. Niemand weet wat Security Management eigenlijk is anno 2012. Dus die Security Managers van jou gaan zich rechtstreeks naar een burnout werken. Bij gebrek aan flexicurity, zeg maar. ”

“Jongen, Peet, doe je dat nou nog steeds, echte problemen oplossen? Dat is toch niet spannend. We hebben het hier wél over zeven en een half miljard per jaar. Daar pis je toch niet op? Enne, Security Management bestaat wel hoor. In mijn onderzoekje vond ik CISM opleidingen, gecertificeerd Information Security Management. Dit staat erbij: “highest paying and sought after IT certifications”. Leuk toch? Die banen zijn er echt dus je hoeft je calvinistische moraal om kwaliteit te willen leveren niet eens echt overboord te gooien. En als je wilt, betaal ik je weinig, oké?”

Nu werd ik Victor wel een beetje zat. “Luister Victor, CISM zegt op te leiden om alle beveiligingstechnologie en -maatregelen inhoudelijk samenhangend en werkend te ontwerpen. Dat is geen management, dat is supertechneutenwerk en dat leer je niet in een paar maanden. Wat je eigenlijk leert bij CISM is hoe je securitybudget binnen kan halen en dat is ook hartstikke fijn, maar voor het management van de maatregelen geeft CISM je niet meer dan een beetje blokjes-en-pijltjeskennis. Wat die blokjes en pijltjes betekenen gaat CISM je niet leren. Dat kan namelijk niet in dertig dagen en met één boek. Eigenlijk zijn ze gewoon een stelletje oplichters.”

“Jongen, Peter, kom eens van je hoge paard. Er is geld te verdienen. Serieus geld. Denk er nog eens goed over na.”

En weg was hij. Dit idiote gesprek zette me aan het denken. Niet over die flexicurity op de arbeidsmarkt, dat gaat gewoon gebeuren. Maar wel over Security Management. Want het is echt een probleem: hoe bestuur je al die beveiligingslagen die we sinds de invoering van ‘layered security’ hebben? Langzaam, als het al lukt. Flexibiliteit, of agility zoals IT-ers het tegenwoordig graag noemen eigenlijk: behendigheid, buiten onze wereld vooral bekend als paarden- en hondentraining is ver te zoeken. Wij security mensen zijn specialisten in betonnen zwembroeken.

Beveiliging is vooral een reactieve tak van sport; we lezen of merken dat er ergens iets heel erg mis gaat en plakken daar een noodverbandje op. De samenhang en effectiviteit van wat we doen wordt feitelijk niet bestuurd. Als we het al proberen te besturen hebben we middelen als het ISMS van ISO27002 en architectuurprocessen à la TOGAF. Het eerste is een exercitie in best practices met geautomatiseerde rapportages. Best practices zijn als het goed is bewezen oplossingen voor problemen die iemand ooit heeft gehad. Reken maar dat je daar niet vreselijk agile van wordt. Je voorstel moet immers eerst ergens anders bewezen effectief zijn geweest en in een boek beland zijn. Pas dan mag je die maatregel invoeren. Dat duurt wel een paar jaar. Het tweede, de architectuurbenadering, is een zeer grondige maar daardoor ook eindeloze en trage oefening in functionele behoeftes, waarin als het goed is ook plek is voor beveiliging. Schiet dus ook niet op. Nee, Security wordt niet flexibel op deze manier.

Laatste 10 columns