In drie stappen naar een nieuwe visie op security

Hinderlijk - zo kijken bedrijven vandaag de dag tegen security aan. Dat moet anders. Ik pleit voor een nieuwe visie op veiligheid: eenvoudig, meer in lijn met de business. En daarbij moet iedereen zijn of haar verantwoordelijkheid nemen: van developer tot en met gebruiker. Want veiligheid is niet langer alleen het domein van CIO’s - die zelf overigens vaak vinden dat problemen in de security niet bij hen behoren te liggen, maar bij anderen.

Ik zie de nieuwe visie op veiligheid op basis van drie richtlijnen.

1. Zorg altijd voor een Plan B

Plan A werkt zelden zoals gepland. Er gebeurt altijd wel iets onvoorziens, dus óók bij beveiliging. Als security-verantwoordelijke kun je dan blijven vasthouden aan je initiële plan, maar je kunt ook zorgen dat er een Plan B klaarligt. Je doel - een veilige omgeving - moet immers bereikt worden en dan maakt het niet zozeer uit via welke weg je dat doet.

2. Blijf innoveren

Doordat je dus nooit zeker weet wat er komen gaat, is het belangrijk te blijven innoveren. Je kunt op dit moment de beste zijn, maar op een dag verandert het systeem en behoor je niet meer tot de top. Pas je security aan om databeschadiging te voorkomen. Vergelijk het met je woning. De beveiliging van het gehele huis vraagt meer kosten en installaties dan die van één kamer. Dus kies maar, wat vind je belangrijker: ervoor zorgen dat niemand je tv steelt, of dat niemand de slaapkamer van je kinderen binnendringt? Een bedrijf staat voor dezelfde keuze. De ene soort data is gevoeliger dan de andere. Het bedrijf beschermt de kinderkamers, codeert die gevoelige data zodat je ze kunt delen. De kunst is dat op zo’n eenvoudige manier te doen, dat je niet het gevoel hebt met security bezig te zijn. Innovatie is daarvoor de basis.

3. ‘Nee’ veranderen in ‘ja, als’

Om een innovatieve omgeving te creëren, is eerst een gedragsverandering nodig. In het dagelijkse werk zie ik teveel mensen die als verlamd blijven stilstaan in plaats van gewoon ergens een begin te maken. Security-mensen zijn vaak mensen van ‘nee’. Succes behoort echter toe aan wie innoveert, daar ben ik van overtuigd. Veel bedrijven nemen dus geen genoegen meer met ‘nee’. Je moet ‘ja’ kunnen antwoorden op verzoeken, maar dan moet je wel zeker zijn dat dat op een veilige manier kan. Daarom zou je moeten zeggen: ‘ja, als’. Oftewel: voorwaarden scheppen in plaats van versperringen op te richten, een manier vinden om ‘ja’ te kunnen zeggen en niet blind te blijven.

Veiligheid moet altijd aansluiten op de bedrijfsstrategieën. Het bedrijf financiert de IT, de IT laat het bedrijf geld verdienen. Beide partijen moeten elkaar begrijpen en samen een middel vinden om tot een betrouwbare en aangepaste beveiliging te komen. Zodat je op zekere dag kunt zeggen: “Ja, en we kunnen nog méér doen.”

Tsion Gonen is CSO van SafeNet