"Vi går mod en tid, hvor it-sikkerhedsfolk ikke længere er rådgivere; de skal være beslutningstagere."
Ordene kommer fra Paul Dorey, en mangeårig veteran indenfor it-sikkerhed. Han har bestredet sikkerheds-poster i internationale virksomheder som Barclays og BP, og er aktiv i en række internationale it-sikkerhedsorganer.
På it-sikkerhedskonferencen Infosecurity Europe 2009 gav han sit bud på hvilke kvalifikationer og egenskaber gode it-sikkerhedsfolk besidder og hvor it-sikkerhedsprofessionen er på vej hen.
Fra rådgiver til beslutningstager
Hvor it-sikkerhedsfolk tidligere er blevet spurgt til råds om sikkerhed, så skal it-sikkerhedsfolkene fremover i langt højere grad træffe beslutninger.
"Vi kan sammenligne det lidt med ingeniører og brobygning. Her ønsker vi jo ikke, at ingeniørerne blot siger, at det vil være en god idé med en stålkonstruktion, der forhindrer at broen falder sammen. Stålkonstruktionen er et krav, der skal være opfyldt, ellers bliver broen ikke bygget," siger Paul Dorey.
I dag fungerer mange it-sikkerhedsfolk kun som rådgivere for projektledere eller andre ledere, der kan vælge om de vil følge rådene eller lade være.
Den position skal man væk fra og derfor skal it-sikkerhedsfolk lære at tale et sprog, som ledergruppen i en organisation forstår.
"Der var en nylig undersøgelse, der viste, at en ud af otte it-sikkerhedsfolk mener, at de ikke havde nogen indflydelse på beslutninger. Det er meget vigtigt, at vi bliver hørt. Lær sproget i bestyrelsesrummene at kende. Vi skal vise lederskab og være overbevisende i ledergruppen," foreslår Paul Dorey.
Kamæleonen med mindst fem farver
Arbejdet med it-sikkerhed kræver ifølge Paul Dorey, at man er lidt af en kamelæon.
"Det er vigtigt, at it-sikkerhedsfolk kan bevæge sig i forskellige miljøer og tilpassse sig som en kamæleon," siger Paul Dorey.
Han viser et venn-diagram med en sikkerhedscirkel i midten og fire andre overlappende cirkler med ordene: Risk, Engineering, Audit/Compliance og IT.
Diagrammet skal illustrere, at it-sikkerhedsfolk skal kunne tale med om risk management, auditing- og compliance, informationsteknologi, ingeniørmæssige standarder og procedurer.
For Paul Dorey giver det mening, at softwareudvikling tager flere af ingeniørdisciplinens værktøjer til sig.
Softwareudvikling som ingeniørdisciplin
Paul Dorey ser gerne, at softwareudvikling går i retning af en mere ingeniørmæssig tilgang til udvikling. En tilgang hvor det er naturligt at følge standarder og procedurer i udviklingen.
For ingeniører er det naturligt at indtænke sikkerhed i konstruktion af broer, huse og andre konstruktioner. Det er det ikke nødvendigvis for en softwareudvikler.
"Ingeniører beregner om den bærende konstruktion for en bro kan holde over tid," siger Paul Dorey, der dog samtidig understreger, at softwaresikkerhed er speciel, da man her skal forsøge at imødegå kriminelles.
"Sikkerhed i traditionel ingeniørdisciplin tager ikke højde for folk med ondsindede hensigter," siger Paul Dorey, der i sin tid som chef for digital sikkerhed hos BP samarbejdede med chefen for fysisk sikkerhed.
"Vi vidste ikke helt hvad den anden gik og lavede, men det var klart for os, at vi kunne lære noget af hinanden," siger Paul Dorey.
Spørgsmål om mennesker, ikke kun teknologi
Den første sikkerhedskonference som Paul Dorey deltog på var tilbage i 1985. Den havde titlen "System Security - the technical challenge".
Det var en meget teknisk orienteret konference, hvor man så på tekniske begrænsninger i systemerne: Var det muligt at indbygge sikkerhed uden at det ville påvirke systemernes ydeevne?
I dag ville det være utænkeligt at holde en sikkerhedskonference, der så ensidigt fokuserer på teknik, mener Paul Dorey
"I dag handler det mere om organisationer, sikkerhedspolitikker og mennesker, når der afholdes sikkerhedskonferencer," siger Paul Dorey, der bakkes op af titlen for Infosecurity Europe 2009: "Information Security - Combining effective technology and informed people".
Teknologisk udvikling driver
Det er dog den teknologiske udvikling, der i høj grad driver udviklingen inden for it-sikkerhed
"It er i dag et kritisk element i alle forretningsektorer. Samtidigt er der netværk overalt, ligesom mobiliteten og distributionen af teknologien betyder, at vi har brugere overalt," siger Paul Dorey.
