Information security management is minder dan het lijkt

Information security management is het onderwerp van de standaard ISO 27001 en is beschreven in best practices als ITIL en COBIT. In de ISO-standaard staat letterlijk dat het systeem in omvang moet worden afgestemd op de behoeften van de organisatie, dat wil zeggen: een eenvoudige situatie vereist een eenvoudige oplossing. Naar onze mening gebeurt dat niet. Alle beschreven onderdelen van het systeem – het informatiebeveiligingsbeleid voorop – worden zonder meer ingericht, of ze nodig zijn of niet. Theoretische correctheid lijkt het te winnen van praktische noodzaak en dat werkt contraproductief. Organisaties moeten proberen de gulden middenweg te vinden. Wat moet er worden gedaan om verantwoord met information security management om te gaan?