Valkuilen rond cloudcertifcering

Nog niet zo heel lang geleden was op ISPam en elders te lezen dat belangenorganisaties als Eurocloud en de DHPA druk in de weer waren met certificeren. Het idee was dat de dienstverlening zou profiteren van een kwaliteitsoordeel in de vorm van certificering of keurmerk. Het was een onderwerp dat ook terugkwam in onderzoeken dat ...

Source: ispam.nl

Certificering op de infrastructuur zou voldoende moeten zijn, op het gebied van Security is het vaak maar een wasse neus.

Waarom hebben Cyber-criminelen ondanks alle maatregelen, zeer zeker ook binnen cloud-omgevingen, regelmatig succes? Omdat beveiligen volgens de Nederlandse en Europese normeringen (NEN-CEN EN) in de midden- en hoge risicosegmenten absoluut niet volstaan. Cyber-Criminelen houden zich namelijk niet aan de genormeerde werkwijze. De feiten laten dit ook keer op keer zien. Toch blijven de normeringen standhouden. Waarom?

De zeer snelle ontwikkelingen (die niet met normen bijgehouden kunnen worden) en 'geldkwesties' (vaak is het simpelweg geldklopperij zo'n norm of keurmerk) maken het geheel compleet zinloos, met de onwetende klant als slachtoffer en cyber-criminelen als lachende derden.

Bij het lezen van belangenorganisaties die zich inzetten voor het algemene (een hoger-)doel door normeringen aan leden op te leggen krijg ik altijd wat kriebels... Partijen zullen er alles aan doen normeringen te halen om maar een stempeltje van een belangenorganisatie te kunnen krijgen. Dit houd automatisch in dat ze het minimale zullen doen (tegen minimale extra kosten) om het te behalen. Best Practice is vrijwel uitgesloten en wederom: uiteindelijk heeft de klant/eindgebruiker er niets aan (het zegt namelijk vaak helemaal niets). Papieren tijgers zonder meerwaarde.

Een correcte ISO9001 en evt een 27001/27002 zijn meer dan voldoende, ook voor Cloud-aanbieders.