security is a process, not a product
expressãosegurança
O lembrete de Bruce Schneier de que segurança é um processo, não um produto - nada que você compre te deixa pronto.
Produtos ajudam, mas as ameaças se movem, as configurações derivam e as pessoas mudam; o que permanece é o ciclo de avaliar, corrigir, monitorar e responder. Quem vende segurança total numa caixa está vendendo o substantivo sem o verbo.
A formulação de Bruce Schneier é que segurança é um processo, não um produto, e ela mira a suposição de que uma compra resolve um problema de segurança. Produtos são componentes de um processo; não são a coisa em si, e tratar uma implantação como conclusão é como as organizações acabam bem equipadas e mal protegidas.
O raciocínio é que o ambiente se move continuamente. Novas vulnerabilidades são divulgadas, atacantes mudam de técnica, os sistemas defendidos mudam a cada sprint, pessoas entram e saem, e requisitos de negócio alteram o que é aceitável. Uma configuração correta em março é um conjunto de suposições que vem decaindo desde então. Nada disso é resolvível comprando uma versão melhor do mesmo appliance.
Aquilo em que o processo de fato consiste é sem glamour e contínuo: saber o que você tem, atualizar, monitorar, revisar acessos, ensaiar incidentes, e revisitar decisões quando as condições que as justificavam mudam. Nada disso produz um certificado para pendurar na parede, que é justamente por que compete mal por orçamento contra um produto que produz. As organizações que fazem bem tendem a ser as que pararam de perguntar o que comprar e começaram a perguntar o que operar.