security / Opinie
Architectuurprincipes versus projectmatig opportunisme
Een terugkerend thema in mijn werkzaamheden als beveiligingsexpert is dat ik geconfronteerd word met het spanningsveld tussen de principiële aanpak van architecten en de opportunistische insteek van projectmedewerkers. Architecten kunnen zich aardig ingraven achter hun principes die moeten worden gevolgd en projecten hebben beperkte tijd en middelen om een resultaat te bereiken. Het opvolgen van de architectuurprincipes heeft soms tot gevolg dat een project meer kosten moet maken.
Ik denk dat beveiligers vaker dan anderen hiermee te maken krijgen, doordat beveiliging vereist dat er met een andere insteek naar de materie wordt gekeken. Hoe moeten we omgaan met dit spanningsveld?
Bijvoorbeeld, stel dat bij de realisatie van een nieuwe applicatie ook een geheel nieuw multi-factor authenticatiesysteem gebouwd moet worden. Strategisch gezien is dit een keuze die zinvol is, het project zal dit graag opnemen binnen de scope van het project, zolang ze er de ruimte voor krijgen. Vervolgens komt er druk te staan op het project – het moet eerder klaar, of de selectie van het authenticatiesysteem duurt wat langer doordat de leverancier wat meer heeft beloofd dan kan worden waargemaakt, of bij invulling blijkt dat het kostenplaatje niet meer past.
Tegenstelling
Elke verstoring lijkt gelijk te leiden tot de discussie 'moet het project nu de last dragen van de implementatie van een dienst omdat het de eerste gebruiker van de dienst is?' Dit lijkt vaak een moeilijk te overbruggen tegenstelling: de principiële aanpak en de opportunistische weg zijn tegenpolen van elkaar die nooit tot elkaar kunnen komen. Of toch wel?
Wat als we het niet meer als een strijd zien, maar als een spel? Door uit de overlevingsmodus te komen en het geheel als spel te zien, kunnen we ook het speelveld en de spelregels tot ons laten doordringen. Uiteindelijk zijn we met zijn allen bezig om succes te brengen aan één organisatie, die ons daarvoor beloont. Wanneer het spel goed en eerlijk gespeeld wordt, hoeven er geen architectuurbeslissingen meer te worden doorgedrukt ten koste van projecten. Of omgekeerd, dat architectuur het onderspit delft ten koste van een zegevierend project.
Uiteindelijk wint dan de beveiliging.
Uiteindelijk horen we allen dankbaar te zijn voor de inbreng van de ander; door de dialoog aan te gaan met je tegenpool, word je beter bewust van jouw eigen opstelling. In plaats van de energie te steken in het expliciet maken van de tegenstelling kunnen we ons dan ineens richten op een samenwerking. De dialoog maakt uiteindelijk dat beide partijen in de discussie naar de argumenten van de ander moeten luisteren, ze begrijpen en op hun waarde schatten. Als gevolg kunnen beide partijen hun argumenten beter formuleren. Het is eigenlijk heel menselijk: Ga uit van het goede in ieders standpunt, weeg het op waarde en behandel het met respect.
Het is helemaal niet taboe om af te wijken van je principes, als je weet dat het principieel beoogde doel nog steeds bereikt wordt. Het dient wel een win-win situatie voor beide partijen. Drie belangrijke afwegingen die naar mijn mening bij iedere bijstelling gemaakt moeten worden zijn:
- Kan het eenvoudiger? Het kan zijn dat de vertaling van de architectuur in de context van een project nieuwe inzichten oplevert die in de architectuur verwerkt kunnen worden als aanpassingen in de architectuur.
- Zal het aangepaste systeem echt gebruikt worden? Vaak genoeg leveren de compromissen die bereikt worden bij een scopebijstelling van een project helemaal geen werkbare situatie meer op.
- Is er niet een geheel ander alternatief? Architectuur geeft ons de weg naar een visie. Soms zijn bepaalde wegen nog niet goed in kaart gebracht, soms blijken wegen anders te lopen dan verwacht.
- 16:49 Veiliger werken: bewaak uw continuïteit
- 10:30 Symantec Brightmail Gateway 9.0 en Data Insight
- 11:09 SaaS verhoogt noodzaak host-based intrusion...
- 18:21 Autorisatieregister voor Digipoort blijkt nog...
- 16:58 Nieuwe Storwize realtime data compressie...
- 09:27 RSA, EMC, Intel en VMware beveiligen cloud
- 14:15 Classificeer meer
- 10:56 Ruzie bij Kaspersky Lab lijkt bijgelegd
- 11:29 Online bankieren kwetsbaarder op smartphones
- 10:46 Computercriminaliteit komt vaker van personeel
Tijd om de Firewall te repareren
In de laatste decenia, het toegenomen volume aan internet content, bedreigingen en applicaties op het bedrijfsnetwerk......
Computable Events - Security
Computable organiseert verschillende events met praktijkgerichte informatie over actuele onderwerpen in de ICT:
Webcast Security | 10-04-08Symantec Brightmail Gateway 9.0 en Data Insight
12-03 10:30 Symantec introduceert de Brightmail Gateway 9.0 en Symantec Data Insight. Deze nieuwste messaging security platformen bieden volgens Symantec een verbeterde beveiliging door...
Security productenTransparante systeemtoegang voor 17.000 UWV-medewerkers
16-07 11:15 Het moet de nachtmerrie zijn van elke informatiebeveiliger: de toegang regelen van 17.000 medewerkers tot de systemen van een organisatie waarin ruim 22 miljard euro per jaar...
Security praktijkOp veilige manier kunnen anywhere-ken
15-02 17:44 Steeds meer bedrijven kijken naar het nieuwe werken. De opkomst ervan wordt dan ook veel vanuit leveranciers, maar ook vanuit overheden, gestimuleerd. Termen als 'efficiënter...
Security achtergrondSaaS verhoogt noodzaak host-based intrusion protection-systeem
11-03 11:09 Network-based intrusion prevention/detection-systemen op de perimeter van het netwerk zijn inmiddels voor vele organisaties gemeengoed geworden. Maar waar blijft de acceptatie van...
Security opinie


mbt tot onderstaande quote:
"Wat als we het niet meer als een strijd zien, maar als een spel? Door uit de overlevingsmodus te komen en het geheel als spel te zien, kunnen we ook het speelveld en de spelregels tot ons laten doordringen"
Juist op dit punt ben ik benieuwd naar hoe dit 'spelen volgens de spelregels' dan in zijn werk zou moeten gaan, hoe mensen in deze modus kunnen komen. Een verwijzing naar meer informatie hierover zou meer dan welkom zijn!