Information security management wordt te grondig aangepakt
Een organisatie moet het managementsysteem bouwen op het gegeven dat in ieder proces voldoende kennis aanwezig is van de eisen die aan veiligheid gesteld worden. Te veel beveiliging maakt de uitvoering van het proces onmogelijk doordat het tot `work-arounds` leidt: medewerkers gaan een efficiëntere manier van werken zoeken. Dit geldt niet alleen voor fysieke beveiligingsmaatregelen, maar ook voor informatiebeveiliging.
Om dit te vermijden is het noodzakelijk te focussen op de essentie van het managementsysteem en dit als een cyclus in te richten die uit drie activiteiten bestaat: evaluatie van de tekortkomingen, verbetervoorstellen om die tekortkomingen op te heffen en ten slotte de door te voeren verbeteringen om de veiligheid naar een hoger of optimaal niveau te brengen. Voordat het systeem toegepast wordt, is het nodig dat de organisatie goed nagaat waar het echt behoefte aan heeft.
