Adam Shostack azt a kérdést boncolgatja, hogy vajon véget ér-e egy információbiztonsági főnök karrierje, ha látványosan feltörik a rendszert, amit védett. Azt állítja, hogy nem (legalábbis nem törvényszerűen).

A ChoicePoint volt biztonsági főnökét hozza példának, akit épp egy nagy bank információbiztonsági vezetőjének neveztek ki (korábban pedig a Deloitte-nál vezetett egy biztonsággal foglalkozó csapatot). (A ChoicePoint 2005-ben egy hírhedt ügy közepébe került, több mint 100 ezer felhasználó személyes adatait lopták el tőlük. Akkor még új volt az a kaliforniai törvény, amely szerint a betörésekről értesíteni kell az érintett felhasználókat, akkor még nem voltak mindennaposak az ilyen hírek.)

Természetesen egy esetből nem lehet áltanános következtetéseket levonni, de lehet hallani még hasonló esetekről.

Mi lehet az oka a jelenségnek?

• Egy jó információbiztonsági főnök túl drága ahhoz, hogy egy hiba után a szemétdombon kössön ki?

• Attól még, hogy feltörtek egy rendszert, lehet hogy a védők gondosan jártak el, és jól végezték a munkájukat. Talán csak pechük volt, talán olyannal kerültek szembe, aki nem az ő súlycsoportjuk volt. Ugyanakkor az, hogy valakihez még soha nem törtek be, önmagában nem jelenti azt, hogy jól végzi a munkáját. Talán csak szerencséje volt, talán csak eltussolta az ügyet, vagy talán csak még mindig nem vette észre, hogy feltörték.

• Esetleg az is értékes, ha valaki már találkozott "rázós" helyzettel, és nem csak az élet napos oldalát látta. Megtapasztalta, mit kell/lehet ilyenkor csinálni, hogyan kell kommunikálni stb.

• ...?