Sunday, August 07, 2005

Opportunity Costs of Security Clearances

Recently a friend asked me if I knew of anyone with a security clearance who has also passed a polygraph. It seems some agency (unknown to me) requires individuals with digital security assessment experience and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 designated level of security clearances. I told my friend I did not know of anyone with that combination. He replied that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 agency in question was ready to simply find someone with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 necessary clearances, and teach cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m whatever skills were needed to perform cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security assessment.

Something about this bocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365red me. I realized that this unknown agency was more concerned with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 supposed trustworthiness of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 assessor than with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 skills he or she would apply to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 agency's digital security interests. In ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r words, this agency valued a cleared yet unskilled person over a skilled yet uncleared person. In my opinion, that calculation defeats cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 purpose of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security clearance. Let's examine why.

A security clearance is designed to be a preventative measure that guards against a specific threat: rogue insiders. One of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most dangerous adversaries is someone on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 inside, trusted with access to sensitive networks and data. It is important to ensure that people in such positions are worthy of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trust granted to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m.

A security assessment is designed as anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r preventative measure. A security assessment enumerates vulnerabilities so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y can be remediated or mitigated. These are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sorts of vulnerabilities one could expect an outsider, or more seriously, an insider, to try to exploit.

We have a situation where an unknown agency is willing to hire someone without cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 necessary skills to perform a very important task. That task is discovering vulnerabilities and recommending answers. This is not a job for a newbie, even if that newbie is "trusted." By putting itself in this situation, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 agency has calculated that it values employing supposedly trusted newbie assessors over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 act of discovering and fixing security holes.

Good vulnerability assessors or penetration testers are not born in boot camps. Discovering, validating, and remediating vulnerabilities requires more than knowing how to run Nessus or Metasploit. I doubt someone who has just learned to perform an assessment will deliver cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 report truly needed by this agency. The "work" by a brand-new "assessor" has just turned into a compliance item; cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 box has been checked, but who cares about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 result?

This brings me to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 broader question of clearances. What ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r trade-offs have been made in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interest of "trustworthiness," and at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 expense of "security"? I know of people who could have made significant contributions to various projects, but had to wait months or years waiting for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 appropriate security clearances. What damage was done, what missions were lost, what opportunies foresaken while cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 clearance process was followed? For ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r economics-trained readers, what is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 opportunity cost of security clearances?

I read articles about problems with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 clearance backlog, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 questions I do not see addressed.

7 comments:

Anonymous said...

Could one make cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same analogy as to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 cost oppurtunity of a promoting a non-Information Security saavy MBA, or ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r Sr. Executive to a CISO-esque position? Obviously at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of promotion, this MBA runs out and reads ISO17799 and embarks on his noble mission of scoping out and defining his incident handling, change management, business continuity, and disaster recovery policies.

It would seem to me that this process would be undertaken with a great deal of ignorance as to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 various severities, and probabilities associated with determining cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 liklihood that an assumed, or partially mitigated (Read: a deminished threat, that retains some impact potential), risk will actually manifest into asset loss, thus effectively (and possibly unknowingly!) creating misguided and substandard security policy.

I haven't discarded cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 idea that my argument here is based on faulty logic, so any and all comments are definitely welcomed.

Anonymous said...

Richard,

This is nothing new at all. I wish I could tell you cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 number of places that I've submitted resumes to, and followed up with, in which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 issue of a clearance was more important than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 skill sets. I say this, b/c I've spoken to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 people who're making cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 decisions to go in this direction. Much of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 federal government needs cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 skills to be available now, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 clearance process is slowing things down...it's much easier to find someone w/ a clearance and simply teach cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 skills.

And, as you've pointed out, this does raise cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 question of "what's missed?" What would someone with experience have seen and/or done, where someone with just cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 training but no experience missed? What's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 delta in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 quality of work?

H. Carvey
"Windows Forensics and Incident Recovery"
http://www.windows-ir.com
http://windowsir.blogspot.com

Anonymous said...

Amen!

Richard,
It makes me so happy to hear someone questioning cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 validity of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Security Clearance strategy used by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 various TLA agencies in Washington.
To me it seems that agencies might begin to suffer from serious (hate to use this word but seems appropriate) group-think if this practice continues. If all analysts are hired as unskilled, yet cleared, to-be-trained workers cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re might be a lack of diversity in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 skill-set acquired. Additionally I have also seen skilled workers sit around for months because of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 backlog, I'd hate to see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 total cost of this lost productivity. Higher levels of clearance also begin to affect personal freedoms, many highly skilled workers have been turned off by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security clearance process and thus we lose cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir expertise where we need it most!

Anonymous said...

I agree about people being turned off with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 process. I can easily see why someone would eventually count it as a negative when weighing whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r to accept a job that requires a higher level of clearance with even more investigation.

It is particularly odd when you consider that time working effectively at your job doesn't seem to mean much. I had one job that simply required a background investigation every three years. It didn't make much sense to me that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y had to have me fill out all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 paperwork and go through it again even though I had been working cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re for years and had been doing a good job.

And that wasn't even a job that required clearance!

Anonymous said...

A sad state.... In India, most of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 leading security solutions providers are recruiting fresh ( or <1 years' experience) computer science graduates with certifications like CEH, CCSP, CCNA, MCSE as Information Security Analysts !!! It is really disturbing to see that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are serving companies like Duestche Bank, AMD, NCR, Nike etc. As a network admin for a fortune 100, I was given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 task of evaluating some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se providers due to an audit requirement.I had interviewed a few of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 so called "consultants" from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se companies. It was a horrible experience ...... That raises a question in my mind... What counts ? Experience or just product certifications ?

Instrumental Surveillance Agency said...

One thing is for certain. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government plans to continue cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir argument in favor to how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y've been operating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir security clearances, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are by far, creating nothing but ignorance within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sector.

We see this same situation in effect within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Iranian regime. All of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 talented and bright Iranians are currently cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 individuals whom are fighting in this revolution against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir own government. It's hazardous to any 'National Security' to hire analysts and not properly analyze cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m. It's a very weak point which will in fact, be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 self-destruction of this nation over time. Tyranny and corruption play in part with ignorance. Those who risk cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir everyday approaches to create cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir own analyzed opinions based on facts, non-biased opinions, and those whom assume but to a certain degree, are not involved in our everyday government.

It's really frightening that our own government will put a credit score, something that was only created over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last century, to place a higher role over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact of your employees being tangible in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir everyday analysis.

The story of James Bond, may be a fictional story, however, it emphasizes a great look into how national security should be sought upon. James Bond has a great deal of containing a temperamental attitude towards individuals, and thus, is sometimes seen as a threat towards Mi6. However, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 plot of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 story is always coordinated around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365sis of James Bond looking out for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sole interest in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 solvency of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 United Kingdom. He has a record of consuming amphetamines while on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 job, gambling in large amounts of cash, sleeping with random women he picks up, what ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r violations does James Bond not break in order to prevail his missions?

The story conjoined with this argument is a little farfetched, but it proves to how our current policies are detrimental to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 health of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 American government. Theoretically, it’s cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same path like cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ancient Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns era & Sparta who began cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Great Peloponnesian War in 432 B.C.E. Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns whole strategy going into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 war was purely arrogant & wanted to show Sparta that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y were invulnerable in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 beginning, & cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n regain power by means of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir strong fleet furcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 war.

Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns were clearly too confident of its own ability & later proved vulnerable to Sparta's army. For if you think you are more cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n you are, you will never know who you really are. Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns were blind to its limited power & failed to foresee cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 results of its actions. Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns did not know cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves & suffered from this ignorance.

What follows not knowing yourself is destruction & in Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns’ case, downfall of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 city. In 404 B.C.E. Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns surrendered to Sparta, Sparta having starved Acá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ns into submission. This misguided belief only leads to thinking of yourself as someone you are not & destroying yourself in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 process.

History is one scenario, but repeating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same mistakes from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 past is ultimately cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 essence of ignorance, and self-indulging arrogance. I hope for analysts to embark on this knowledge, and realize, that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se policies are not more than 40 years old. And within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last 40 years, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 United States has lost every war it has come across. Not like cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wars that created American history where every man fought for his own cause within his ideology of America. Theoretically, a significant increase to our current deficit still results in a loss on our behalf. Oh Lady Liberty. Where have you gone to let moronic individuals to examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security of your land over feasible answers to protect this sovereign nation? It must have been when she took her smoke break.

http://www.funnythreat.com/images_funny/images/funny-ads-0.jpg

The struggle for power within this world is so complex, that only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 individuals who cannot pass a security clearance, would be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 individuals who could prolong cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lifespan of America, if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y were analyzed thoroughly and not judged based on ridiculous policies.

God bless cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 United States of America.

Instrumental Surveillance Agency said...

Our schools have entirely led you to believe that staying out of trouble, maintaining a high credit score, and being certified in a degree is your only chance in life. This is all bullshit. Non of this matters when it comes to survival skills when fighting wars, or conducting prolonged issues, that should be quickly pondered on. Only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 elite survive in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 struggle against power. People may contain cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 highest degree of macá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365matics, but as we've witnessed, Einstein even created cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 greatest threat to our nation. Yet, I'm a devils advocate, and it seems as if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most successful people within this world are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ones who decided to under mind cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 education system in order to manifest cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir own success. When will America wake up and smell cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 coffee? Because we all wake up every morning, and brew a fresh cup for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m. Hoping for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m to wake up, and to rid cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir continuous ignorance. The problem with ignorant individuals is that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir hard headed. And while cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y want to look at some of us, like were stupid ourselves, we would like to believe that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y aren't, however, deep inside we all know that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are.

The greatest threat known to mankind, is not arms. Or nuclear warfare. Corrupt governments, or money. It's solely and entirely ignorance...I'd like to see someone with a security clearance figure that one out. Much more than that, figure out a way to abolish American ignorance.