Security moet weer ambachtelijk worden.

Securityspecialisten worden vaak verweten dat zij beperkend werken door informatiebeveiligende dogmatiek. Hierdoor zouden zij de werkzaamheid van de functionele vraagbeantwoording frustreren. Een leek ziet niet direct de risicomanagementafweging van maatregelen, maar ik zie ze eerlijk gezegd ook niet altijd. Dit komt dikwijls door vakexperts, die naar de voor hen bekende weg grijpen, zonder daar over na te denken vanuit een organisatie context.

Securityspecialisten zitten vaak gevangen in hun eigen technische expertise credo. Met vakjargon uit hun ‘technische vakboeken’ (de standaard maatregelen, codes en practices) zitten zij als ‘vaklieden’ (security experts) de organisatie in de weg door flinke oogkleppen. Uiteindelijk snijden zij zich daarmee zelf in de vingers, omdat ze niet gehoord (niet begrepen), securitybeleid mislukt en doelstellingen niet gehaald worden. Volgens dezelfde vakexpert ligt het dan meestal aan de slechte ‘awareness’, waardoor de securityvakgebied er doorgaans weer mee weg komt.

Richard Sennett schrijft bevlogen over een oplossing in ‘The Craftsman’. De Amerikaanse hoogleraar aan de London School of Economics en New York University is een invloedrijk socioloog en beschrijft hoe technische specialisten hier mee om zouden kunnen gaan. Dit artikel wil ik wijden aan hoe daar een link gelegd kan worden met het securityvakgebied. De herkenbare situaties uit de inleiding wijt hij aan het ontbreken of vergeten van ‘ambachtelijk werk’ verrichten. Dit illustreert hij fascinerend door een historische lijn te schetsen van middeleeuwse leermeesters en gildenhuizen, tot aan dezelfde toegewijde werkzaamheden van de hedendaagse computerprogrammeurs en ingenieurs. De experts met oogkleppen wijdt hij aan de verleiding om steeds vaktechnischere uitdagingen en ‘oplossingen’ te maken. Deze komen echter los te staan van de context en kunnen zelfs leiden tot allesvernietigende zaken zoals de atoombom. In de security treffen we dikwijls beveiligde systemen, of langdradige processen aan die wel veilig zijn, maar praktisch niet meer de primaire processen vergemakkelijken.

In de middeleeuwen werd kennis overgedragen via de gildehuizen. Leermeesters gaven de fijne kneepjes van het vak door aan de leerlingen die kopieën produceerden en eigen twist doorontwikkelden. Tijdens de Renaissance kwam daar verandering in. Creativiteit en originaliteit werden meer gewaardeerd. Originaliteit en creativiteit kon moeilijker worden doorgegeven. Dit zorgde ervoor dat minder expertise van generatie op generatie werd doorgegeven. Sennett meent dat ambachtslieden met behulp van machines in de achttiende en negentiende eeuw probeerden om het oude vakwerk in ere te herstellen. Maar dit bleek ook niet de oplossing.

Ik vergelijk de verheerlijking van de vaardigheid, om een materiaal te leren kennen en te kunnen bewerken, met de vaktechnische kennis van de securityexpert. Sennet maakt daar onderscheid tussen werk en handelen. Door vakinhoudelijk specialistisch goed securitywerk te doen, wil het volgens hem nog niet zeggen dat de specialist uiteindelijk ook goed handelt, namelijk een eindproduct levert waar iedereen blij mee is. Technologische kunstjes worden dan slechts herhaald volgens het boekje en daarmee gaat uiteindelijk de beroepsethiek en kracht van het security-vakgebied verloren.
Werkmethodes die tot een universeel basisprincipe gemaakt worden, zonder hierover verder na te denken, leiden tot eenzaamheid van de expert. Een ambachtsman zou juist moeten participeren in de organisatie. Impliciet zou kunnen worden verondersteld dat de individuele security specialist op die manier ook weinig zinvol kan zijn.

Dan nog de mislukte oplossing van zijn hoofdstuk ‘Machines’. Sennett maakt duidelijk dat de verbinding tussen theorie en praktijk, maker en gebruiker dezelfde kan zijn tussen expert en vakmanschap. Hij beargumenteerd dat alleen pure vaktechniek en deadlinecompetitie een slechte kwaliteits-performance-indicator is. Het laatste maakt de vakman obsessief en de gebruikers gefrustreerd. Sennet verzet zich tegen de klakkeloze mechanisering en legt uit hoe technologie security dom kan maken, door puur repetitieve kunstjes. De ware vakman zou juist in staat moeten zijn om voor ieder probleem unieke oplossingen te vinden en slecht delen van de techniek te gebruiken die zinvol zijn. Dit leidt uiteindelijk wel tot kwaliteit van het vakmanschap.

Richard Sennett leert mij daarmee security als ambacht te herwaarderen. Niet als speeltje (gereedschapstool) van de vakexpert, maar als een zinvolle vaardigheid: een arbeidsethos. Hij laat ons in ‘The craftsman’ nadenken over onze verhouding tot ons werk. Het vakmanschap komt gelukkig toch nog regelmatig bovendrijven. Sennett noemt zelf de computerprogrammeurs die 'open software', zoals Linux, verbeteren. 'Linux draws on craftsmen in an electronic bazar.' Als security experts kunnen we de zegeningen tellen van onze Code en best practices. Anderzijds moeten we daar niet alleen als ‘domme’ blueprint op vertrouwen. Het bijzondere van de ambachtsman is het verlangen om zijn arbeid goed te doen. Niet het productief vermogen van een ambachtsman, maar het zelfbewustzijn door ervaring in steeds een nieuwe en andere context is het ware vakmanschap. Zo kan de security ambachtelijke beroepspraktijk weer maximaal bijdragen aan het signaleren en oplossen van security problemen.

Bron: Richard Sennett, 'The Craftsman', Yale University Press, 326p