Ook in deze blog een veranderend Security Paradigma uit een artikel van Roger G. Johnston van Argonne National Laboratory, USA (zie ook Paradigma 1).

Beveiliging: mens versus systemen

Het oude paradigma zegt dat uitgebreide procedures en geavanceerde technologie de aanvallers zullen afschrikken en tegenhouden. Goed opgeleide security professionals implementeren en bedienen de opmaatgemaakte security systemen. Medewerkers laten zich door de professionals de regels voorschrijven, voeren deze uit en gaan weer aan het werk. De organisatie vertrouwt erop dat de professionals en hun systemen de risico’s voldoende mitigeren.   

Het nieuwe paradigma legt de nadruk voor goed risicomanagement bij de ingewerkte medewerkers van de organisatie (op alle niveaus). Medewerkers worden ondersteund door procedures en technologie om de organisatie veilig te houden. Zij zijn zelf verantwoordelijk voor de goede toepassing van beveiligingsmaatregelen. Het management ziet daarop toe. Zo wordt security ‘in de lijn’ opgepakt. Het ‘lijnmanagement’ is zelf verantwoordelijk voor de  security van de eigen afdeling, processen en belangen. Ook de zogenaamde eerstelijnscontrole vindt binnen de eigen afdeling of directie plaats. Security professionals adviseren, begeleiden en controleren de implementatie en uitvoering van de maatregelen. De zogenaamde tweedelijns controle kan bij deze professionals worden neergelegd of bijvoorbeeld bij een auditafdeling.

In deze benadering van Security Risk Management denkt en doet de hele organisatie mee aan risicobeheersing.