Picking The Right Security Consultant?

[Background: see issues with low quality RFPs / security consultant deliverables.]

An end user asked today for advice on a picking a security consultant. While there's some obvious ones (ask peers, check references, etc.), I wanted to highlight some factors that are less commonly cited. All of these presume the end...

** ****** *** **********:
  • ****'* *** **********'***********? ******** ******** / ******** ********** *** **** ***** ****** - ******* *** ** ** ****** ** *** **** *** be *** ***** ******* ** ******* ****. **'* **** ******* ** ************ ** *********** ** ******** ***** ****** ********, *****'* **** too **** ** ****. ** ** *******'* ******** ***** ******* in ***** ************, ** ******* ***** ******** **** **, *** example, ****** *******.
  • ****products *** */** ********* in their last 10 projects? A lot of consultants simply default to a few favored manufacturers.
  • ****** ****NOT *** *** ***** **************: At the very least, this will weed out obviously crappy consultants, who pick a few favorite products and **** ** *** ************'* ** **************. ****: **** ** * **** ****** *** *** ********.
  • ***************** **** ***********************? * *** ********* *** **** *** **** *********** ******** do *********** **** *** *************. ** ******, ****'** ****** *** there ** ** ********* *** **** *** *** ****** **** of ********* **** * ************, ** ***** ** ********* ***, even ** **'* **** **** **** *** * *** **** familiar *** *********** **** ****.
  • Experience ** ******* **********: Ideally, you want someone with a lot of experience ****** ** ** ** **** ** *** ****** ************. *******, some '********' *** * ****** ****** *** ***** *** **** continue ** **** ********** ********** (*.*.,*** ***, ** ***** *** ** ****). ***** **'* **** ** ** ******** ***** ******** **** technology (*** **** *********** *** - **** ****, *** ******), specifying ********** **** * *** ***** *** ** **** ****** reduces *********** *************.
  • ** **** ** **Manufacturer '***-**********' ******? Manufacturers entice consultants with **** ****** ********** *** **** ********* *** * *** ** ********, ****** and *************. *** **** ********** ***** ***** **** ****** **** go ** *** ** **** **** *********** ** **** ******.
  • ** **'* * ***** ************ *******, ** **** **** ****? :) *********, ******, ** **** *** *** ******** **** **** at **** *****, ** *** **** **** *** ****** *** times ** ******* * *** ** ******** ***********.
  • ***** ** ***** ** ******** *********** ** *** *****. ***** * ********* ****** ***** *** ***, ** ** know **** *** *** ***** ************* *** ***********.

*****, *** ***** ******* ** *** **** ** ****** * consultant *** ** **** ************* ***** ******** ******* **** **** are. ** *** **** ******** ****** ** ************, **** *** consultant ***** **** (*.*. *** ***** *** **** ********,**** *******, *** ***** *********** ***** ** ***** ** *** *********, and ******* ***** ******* ** ****).

Login to read this IPVM discussion.
Why do I need to log in?
IPVM conducts unique testing and research funded by member's payments enabling us to offer the most independent, accurate and in-depth information.

**********: ********* ** **** ******** *'* * ******** **********. ** happy ** ******* ********** ** ******* *'** ******* *** ** their *********** ******, ***** * ** ****** ******* *** ******* are ******** ** ************* *********** *** ***** ******.

**** **** **** "**********" ***'* ** **** * "************'* **************" who **** ********** *** *** ** ******.

***** **** *** **-*****-****** *******. * *** **** * ***.

*'* ** *** **** ******* ***** **** ************ ********* *** integrators *** ********** ** **** **** ****** **** *** *************. Consultants **** *** **** ******* ** ******** *** *** ******** while ********* ** *** ************ *******'* *****.

******, *********** ***** ***** ************* **** ************ ********* *** ***********. I ** ******* *** ***** **** *******. ** ******** ** me, **** ********** ************, **** **** *********** ***** *** **** less ***** ***********. **** ****, * *** *** *** ****.

******? * **** **** ***********, ***********, *** ********* *** *** "independent ***********" *** **** ********** ** ***********. *** ********** ***** the ********** ** ** * ****, ********* **** ** ** a **** ******, *** ***'* **% *** *** ***. **** is **** ****** ** *** ****** ******, ***** *********** *** doing ********** **** *** ** ***** *** ******* ***. *** city *****'* ****, ******* **** **** ** ***** *** *** as ****. ** *** *** *** ******** ******* *****/***** ** police/CIO/City ******* ****** ******* * ******* ********, *** *** *** that ****'** * "**********" ** ****. *'* **** ***** *** exceptions, *** * ***'* ***** ** ***.

**'* ****** ******* *****' ***** ** **.

* ** **** * **** ** ********** ******** ********** **********. I ***'* *** ******** ***** **** ******** ** **** ******* brands ** ***** ****** **** *** *********** *** ***** ** no ********* ************ (** ******) ******* *** ********** *** ************. In ****** **** ** ** ******** ** ** ********** ********* all ********* ****** ****** **** ********** ****** ** ****** *** are ********* **** ****** **** *** **** ********** **** ***** within ***** ******.

* **** ***** ************* *** ************ ******* ******** * **** starting ***** *** ******* *** **********, **** *** ********* *** the **** *** **** **** **** **** ** ** ** Australia. **** ** ** ********* ** ***** ** ***** ***** of *** **********, **** * **** ** ********* ******* (** possible) *** ***** ** *** *********** ** ********* ******* *** new ***** *** ** ********** ***********. ** ** *** ***** providing *** **** ******** *** **** ****** ****** ***** ****** and ******* *** **** ****** ** **** ******** *** ***** business ***.

* ***** **** *** *** ***** ************** *** **** *** there *** **** *** ***** ** ****. ** ** *** of *** ******* * *** *** ** *** ********** **** of *** ******** ********.

** ******, **** ********. * ** *******. *** ****** ***** you *** *** **********? *********, ** *** *** ** ****** in ***** **** *** *****'* **** **** ** ****'*** ********* one *** ** ********** **. ** *** ***** ****, ****** one ********* ***** **** * ******, *, *, *? *** if * ********** ** **** ************ * ** * ****** regularly, ***'* **** ********* **** ** **********? ;)

****,

* **** **** ** *** *********** ***** *** *** **** to ******* * ************ **** *** ** *** ********* *** will **** ********* **** *** ************ ******* *** * ****** level ** *******. ** **** ********* *** *** ** ****** into * ************ **** * ******* ******** *** ** **** employers ********** ************. **** ***** ** ******* **** ***** ** what ** ********* ** ***** **** ******. ** * ********** you *** **** ** ************ *** ***** ** **** ** it ***** **** *** *********** *** ******* ******** ** *** project. ** ****** *** **** ********* * ***** *** *****, one **** ****** ***** ******* *** ****** *** *** **** it ***** ****** *** ******. **** ** *** * ********* stick **** * ** * ********* ****** *** ** ** way **** **** **** ** **** ******* ** ***** ******* as **** ** **** *** ****** *** **** ********* *******.

******, ******, **** ******.

**** **** ***** ********* *****. * ***** ****** **'* **** illegal ** **** *****, **?

***** *** *** *** ******* ** “******* * ******** **********.” As *** ********* ** *** ************* *********** ** ************ ******** Consultants, * *********** **** ************ ** *** ***********’* *******. ***** are **** **** ****** ** **** ******* *** **** * feel ***** ** ******** **** **** *************:

  • ** ******** ** *********** **** ******** * ********** *** *********, it ** **** ********* ** ********** *** *** ********** ***** up ** **** ** ******** ************. ** ********* ******* *** read *** ************** ** ******* ******** (*.*. *** *** ***) products ** ********** *** ******** *** ************ ** *** ******** we *** *******. ** *** ******* ** ***** ** **** important ** ****** **** *** ********** ** ************* ** ***** the ******** **** *** ************ ****** **** ************* **** *** consultant **** *** ****** ******* *** **** ******** *** ** and *** ***. ** ***** ** ** *** *** ******** an ***** ****** ** “** **” ******** ** *****. ***** are ** ***** ******* ****** ******* ************* *** ***** *** each *** * ***** *********** *** *************** **** **** ** be ***** **** ******* ** *** ***** ********** ** ***** the ***** ******* (*) **** *** ***** **********. ***** ********* are ********* ** ***** *******. *** *******, ** *** *** simply *********** ****** ** *** ********* ******* * ****** **** no ******* ************; **** ***** *** *** ****** ** ******** that **** ***** *** *******. **** *** ************ *** **** specific (*.*. ** *** ********* ***********, *********, **** *** ********** auditing, ******** ********** ***** ** ***********); *** **** ** ********* products ***** **** *******.
  • * ** *** **** **** *** **** ** **** *********** are **** **** – *** ******
  • **** ***** ***** ********* *************’ ******** ******** ** * **** one; *** ** ***** **** ** ********** ****** ****** ** conduct **** **** ******* *** ********** ** ***********, ** ** essential *** *** ********** ** **** ******* ** ************ ** major ******* *** ******** *********. *** *** ** *** ****** are **** *** ****** *** ********** *********** **** ***** **** and **** ****** *** ********* ** *********; ************ ** *** consultants *** ********* ******** ************* ******** ******** **** ****. *******, lunch *** ******, *********** *** ***** *&* ******* ********* *** critical ***** ** *********** *** ** ******* ******* **** *** developments.
  • *** **** *********** ******* *** ***** ** *********** ******** ************* with ************* *** ***********. ** ***** **** ***** ******* *** somehow **** ************* ** ************* ** * **** ******* *** can ****** ** *********** ************* **** **** **** *** ****** of *** ******** **** ** *** *****.
  • *** *** **** ******** **** *** *********** ***** ** ******* the ********** ** ***** ***********. *** ***** ******* ** *** security ******** ** *** ******** ** ********* *** ******** ** versed ** *********** ***** ************ *** **% ** *** ****** sales ********* **** * ******** ** ******** ** ***** ***** work (***** ** ***** ************ ******** ** ** **********). ***** are **** *** **** ** ***** ******* ******** ** *** business ***** ******* ***********, *************’ ****, ************* *** *********** ***** and *********** ***********. ***** *** *********** *** ************ **** ***** their ******** *** “****”; “**** ***’* ****** **** *** *** consumer ** ******* ** * ******** *** ***** ** ** that *******’* ***** **** **** *** *** ***** ********* **** are ********. ** *** *** * ***** ******* *** * solution, *** *** ****** ** *** **** ******. *&* ***** often **** *** ********* ********* *** ****** ******** ** **** another *** ******* ****** ** ** **** ******** *** ** an ********** ********.

***** *** **** *** ************* *** *** ****** ** **** their *** **-***** ******* **** ** ******** ** ******** ** motivation ** ******** * ******. *** ****** *** **** ** navigate *** ******* ******** ********** ****** ** ** ******* ***** you *** ***** ** *** *** **** ** *** “******* budgeting” ***** ***** **** ** *** ***** *** ** ** more **** **** ********* ** *** ** ***** *** ***** time.

***** *********, ***

*********, *****

*****, ****** *** *** ********. * *** *** **** *** were *** ********* ** *** *****!

* *** ****** ** *************:

  • ** ***** ** **** ****, *** ******, ** ***** *** that **** *********** *** **** ****** *** *** ******** **** technologies ** '**** ****, *** ******'. ** ********, ** ** experience, *********** **** ** ** **** ****** ** ******** *** technologies ** ** *** **** **** *** *** ***** **** lots ** ******* ***** (*** *** ***********, *** ********* * greater ********** **** ***********).
  • ** ***** ** ***** ** **** ** * ********** ** knowledgeable ** **** ********. *******, ** ** ********** **** *** an *** **** ** ** **. ****'* *** * ********* checking **** **** *******. ** * *** ** ***** **** 10 ***** ******** ********* ********* (** ********), * ***** ****'* a ****** **** *** ******** *** **** ******* *** ** to '*****' *** ********* ******** ******* ***** ** ****** ********.
  • ** *** *********** * '********' ************, * *****. *******, *** can **** * '********' ************ ************ ***** ******* *********** **** undue *********.
  • * ***** ***** * ******, ***********, ********, ***. *** *** more *********** **** *******, ******* ****, *** ****, ***. **** events.

***** **********. * ***** **** ** *** * ****** ** points.

*****, **** ******* ** *** ****/****** ********, * ***** **** this ** * ********** **** ****** ************ ******* *********** *** is * ******** **** * ****** ****** *** **** ********* a **********. * ********** ** **** ************ **** ********** ******** and ****** ** ** "***** *******" ** *** **** ** technology. * ***'* **** ** **** ** ******** **** *&* labs.

** *** ***** ****, ***** ** * **** ****-***** ********** in ** ****** **** (******* ***) **** ***** ** ******* new *** ******* ********, ************ **** ********** ****** **** ***'* exist ***, ****** **** * ************ **** **** ** *** challenge. **** ** ** *** *** *** *********; ***** **** want ******** **** ****** ***, *** ***** **** **** ****** and ******** ****** **. ******* ** ** ** ***** ** wrong, **** *********, *** ******* *** ****** ***** ** ** is *** **** ***** *** ****.

******, ** ** ********, * ****** ** *** **** ******** maker ** ******* *********, ************ **** ******** ***** ******* **** as *** *** ** ***. * ********* **** * ********* that ******* *************** **** ***** *********** (********, **, **********, ***.) within *** ******'* ************. ** ******* ********* ****** ******** *** then ******** * ******** ***** ** ************* **** *** **** this ********. **** ******* ******** **-**** ***** *** ********** **** the *************. ** *** *** ** **** *******, ** ********* which ******** ** **** ******** **** ** ******** ** *** specification. * ****** ***** ** *******, *** ** **** *********, a ****** ********* *** ******** * ******* ***** **** *** one **** * ***** **** ***********. ** **** *****, *** features *** ****** ********* ******* ******** *** ** **** ***** down ** ***** **** ********* *** ****** *******.