Van Plank misslaan naar Spijker op de kop

Transcriptie

1 Van Plank misslaan naar Spijker op de kop Jurgen van der Vlugt Agenda Intro ORM De Totalitaire Dictatuur van de Volmaakte Bureaucratie Was Nun? 2

2 Intro Jurgen = Ir.drs. J. van der Vlugt RE CISA CRISC Maverisk Consultancy, IT-Audit and Advisory services (KPMG, ABN AMRO, Noordbeek, Achmea, 322 (F16) sqn, RNLAF Vlb Leeuwarden-Noord) (IS) Audit, (Info)Security, Y2k, BCM, ERM/ORM NOREA, ISSA: Diverse committees 3 Jullie Eerder gepresenteerd: ISSA Global Conference, Baltimore Oct maar zeer verbeterd (??); 2¾ sheets hetzelfde Noot: Interrupties gewenst 4

3 Wakker worden 5 Agenda Intro ORM De Totalitaire Dictatuur van de Volmaakte Bureaucratie Was Nun? 6

4 Infosec; bottom-up 7 B2 8

5 5 / 95 pp. überhaupt O genoemd Guidance Hobson s choice Catch-22 (zie verderop) Loss db gedreven Amateuristische fouten: Event = 1 Cause, 1 Effect At best: ± n:1:m Niet-orthogonale categorieën, zwakke definities Geen tijdsaspect, geen feedback loops Modelling: Zoek het maar uit Verkeerde model 9 (Pauzeprogramma: landjepik) Many small errors; easily undone or insignificant Freq Ops Los ses Material (significant) damage; will occur frequently (but is not routine ) Break-the-business incidents; organization will not survive the hit Security Incidents Threats to continuity Impact 10

6 (Ook nog) 11 In control? 12

7 Risk Methodologie Risico = Kans x Impact (H/M/L, 3/5-schaal) Initiële auditissues Forecast ultimo Kans Kans Impact Impact 13 1 Kans 1 Impact H x H = 25 3 x M = H 16 > 12 Schande! Schande! Schande! Schande! Schande! Risk methodologie Wie schat H ; hoe en met welke onderbouwing? Niemand corrigeert dat? 14

8 n:m en feedback, en tijd, continuïteit 15 En dan ook nog 16

9 Wacht er is nog meer In particular, for any consistent, effectively generated formal theory that proves certain basic arithmetic truths, there is an arithmetical statement that is true, but not provable in the theory. Kurt Gödel No matter how perfect you try to protect, infosec incidents will happen Yours Truly 17 Turkey before Thanksgiving 18

10 Over kosten nog maar gezwegen What was it astronaut John Glenn said went through his mind as he awaited lift-off? "You're thinking you're sitting on top of the most complex machine ever built by man, with a million separate components, all supplied by the lowest bidder." 19 ( Kans Impact ) Poging tot functie ( Kosten van tegenmaatregelen ) Voor een reeks van functies en parameters, impactschattingbereiken ( ), variabele sets tegenmaatregelen Inclusief variabele mates van effectiviteit, met vage noties van risk appetites in sommigen hun achterhoofd Kom ik zo op terug 20

11 Ja maar : uw argumenten 1. Ja dat weten we nu wel. Niks is perfect. 2. De aannames zijn redelijk. 3. De aannames doen er niet zo toe. 4. De aannames zijn nog voorzichtig. 5. Je kan niet bewijzen dat de aannames fout zijn. 6. We doen alleen maar wat iedereen doet. 7. De beslisser is beter af met, dan zonder ons. 8. De modellen niet helemaal waardeloos. 9. Met de data die je hebt moet je er maar het beste van maken. 10. Je moet nu eenmaal aannames doen om vooruit te komen. 11. De modellen verdienen het voordeel van de twijfel. 12. Wat kan het nou voor kwaad? David Freedman (in Nassim Taleb s Black Swan) 21 22

12 Operational Risk (..?) Management Evaluate design & set-up Analysis Monitor & react ORAP Inherent risks R(S)A (+Audit) Process Operational Risk Management Designed, Selected for efficiency Controls (K)ORC (Mgt) Tuning, Mandatory Risk indicators KRI values KRI (Mgt) Near misses Corrective actions Problem Mgt Incidents for analysis (Problems) Incident Mgt CLD Incidents Insurance Mgt Indemnities Breach 23 Agenda Intro ORM De Totalitaire Dictatuur van de Volmaakte Bureaucratie Was Nun? 24

13 3LoD quod non Very, very basically Surprise! 25 26

14 27 (Defense in Depth)? 28

15 Not to mention ! 29 Resultaat 30

16 De illusie In Control te kúnnen zijn 31 (Pauzeprogramma: Verplicht leeswerk) 32

17 Ga zo door 33 Beter weten dan de Dakota 34

18 35 Agenda Intro ORM De Totalitaire Dictatuur van de Volmaakte Bureaucratie Was Nun? 36

19 Was nun...? (I) 37 Was nun? (II) In theorie werkt niks, en iedereen weet waarom. In de praktijk werkt alles, maar niemand weet waarom. Wij streven naar een ideale combinatie van theorie en praktijk. 38

20 Was Nun? (III) Alternatieve benadering vanuit risico s Véél beter modelleren Alternatieve benadering vanuit (info)sec Véél beter doen wat er moet gebeuren Alternatieve benaderingen vanuit vertrouwen Ieks! 39 WORK IN PROGRESS = Modelling 40

21 Aanzet; welke quant helpt ons? (F)actoren Threat -factoren, al of niet tevens Control -factoren, al of niet tevens Vulnerability -factoren Continu (! in de tijd) variabel qua Kans Ernst/omvang Impacts (mv.) op (variabel aantal) andere factoren Feedback (var. aantal, impact, vertraging) op andere factoren 41 Oftewel: Allerlei continue functies, continu variabel (tijd, parameters) gewone Markov-ketens niet mogelijk Parameterschattingen bootstrappen zeer veel data nodig Denk aan de unk unk s 42

22 Kost nog wel wat tijd Is al die data al beschikbaar? Zijn de modellen al ontwikkeld, en op robuustheid getest? Wat als blijkt dat de werkelijkheid niet beheersbaar is..? (Koot&Bie, 1977) Nog even niks doen en afwachten? En als we het niet rondkrijgen: Inzicht, doorzicht en op tijd een banaan. Management Beslissen onder onzekerheid! 43 In de tussentijd De gewone dingen goed doen Stress 44

23 De gewone dingen, goed doen 45 Dat is al ingewikkeld genoeg 46

24 De nieuwe wereld 47 En natuurlijk: Stress 48

25 (RNLAF 323sqn vlb Leeuwarden-Zuid) 49 Doen we dus al, vanuit infosec Data- en systeemgerichte CIA Requirements, tests Defence in Depth: ( ) Monitoren, pentesten, uitwijktesten, etc. 50

26 En voor de risk managers in de zaal 51 Bruce Schneier 52

27 Resultaat 53 Top-down én bottom-up En/of middle-out Niet koppelen maar all the way continuüm Herdenk trust-/control-modellen Do The Right Thing Reken op defectors Tegen diffusie van verantwoordelijkheid, Pas op Coase s plafond 54

28 Hoge eisen 55 Agenda Intro ORM De Totalitaire Dictatuur van de Volmaakte Bureaucratie Was Nun? 56

29 Samenvattend Onze (O)RM-methodes zijn fout Enthousiast op een doodlopende weg Vals beeld van de werkelijkheid Verkeerd risicobeheer. Ziende blind! Totalitaire dictatuur van de volmaakte bureaucratie helpt nergens tegen & geeft (ook) vals gevoel van In Control Doet u daaraan mee..? 57 Oplossing: minder, meer 58

30 De methodologie is in aanbouw 59 Dat was alles. Dank u. Hope you enjoy(ed) the ride 60

31 61 Contact details Jurgen van der Vlugt, Maverisk Consultancy, IT-Audit and Advisory services: Jvdvlugt åt maverisk døt nl LinkedIn: (etc.etc.) Tel +31-(0) / Motiveer uzelve! 62

32 The End, echt. Unintentionally left blank. Really, this was not the plan. The plan called for lots of stuff here. But noooo, it had to turn out blank. Darn. 63