¿Por qué los “expertos en infosec” tienden a hablar tanto?

Hay dos dimensiones para eso. Uno tiene que ver con la naturaleza de cómo las personas de CyberSecurity comunican los resultados. El otro tiene que ver con la naturaleza del trabajo en sí.

Primero, gran parte del proceso de práctica de cómo se comunica la Seguridad Cibernética se deriva del mundo de la auditoría y la contabilidad, y los detalles y la documentación requerida a menudo son excesivos. Las personas de seguridad tienden a responder preguntas con lo que ya se les ha pedido que escriban. Ese lenguaje tiene que ser completo, preciso y soportar un escrutinio legal. Eso es lo que me gusta la gente que escribe cosas para la gente inteligente que hace el trabajo técnico. Eso también significa que soy el elegido a menudo para presentar los resultados, incluso si no entiendo cómo se realizó el análisis para obtener el resultado, entiendo la amenaza y lo que se hizo para solucionarlo. Pero hágame una pregunta y le diré la respuesta completa tal como la documenté en los resultados. Es como cuando era profesor, la gente a menudo me decía que parecía que les estaba dando una conferencia, y todo lo que podía decir era “lo siento, riesgos laborales, doy clases para ganarse la vida”.

En segundo lugar, estás hablando de personas que detienen las hazañas de seguridad. La respuesta será compleja porque las vulnerabilidades de seguridad aprovechan la complejidad de los sistemas de información. Un truco complejo de un sistema complejo significa una explicación compleja. Si simplifica demasiado una explicación, puede omitir información clave. La gente de seguridad tiene que responder a las personas que auditan su trabajo, eso es parte del proceso, por lo que la gente de seguridad no omite detalles cuya ausencia invitaría al escrutinio.

Imagínese si en su trabajo alguien le dijera “vaya a hacer este proyecto, entonces vamos a contratar a un grupo separado de personas para validar que usted hizo el proyecto de manera completa e integral. Si no comunicó uno de los resultados de su proyecto correctamente, ellos le asignará tareas para hacer eso y notará que no lo explicó correctamente en primer lugar. Luego lo supervisarán e informarán a todos sus gerentes para mantenerlos evaluados regularmente de que usted ha hecho su trabajo completamente y ha comunicado su resultados completamente. Falla en cualquiera de estas medidas y lo etiquetarán como ‘no conforme’ “. Eso puede darle una idea de por qué la gente de seguridad puede ser muy exigente en su estilo de comunicación.