Mein Zugang zu ISO 27001 & ISMS ist eher praktisch: Ich schaue zuerst auf die Verbindung zwischen technischem Schutz, klaren Zuständigkeiten und einem Betrieb, der auch unter Zeitdruck funktioniert. Bei Sicherheitskonzepten schaue ich zuerst darauf, ob sie im Alltag betreibbar sind und im Ernstfall wirklich tragen.

• wirksame Kontrollen
• realistische Tests
• klare Eskalationswege

Daran schließt sich für mich fast immer die Frage an: Welche Annahme ist kritisch, und wie würde ein realistischer Test aussehen?