Labai geras sąrašas, kuriame aprašytos pagrindinės informacijos saugos politikos formavimo, proceso valdymo ir palaikymo klaidos ir klaidingos nuostatos.

Keletas dalykų, kurie man tikrai patiko:

"Sukuriamos saugumo politikos, kurių negalite įdiegti" – mano galva, dar blogiau, kai jos įdiegiamos, bet jų niekas nesilaiko.

"Saugumo politikos kuriamos tik tam, kad jas turėti" – ko gero labiausiai paplitęs dalykas.

"Įsivaizduoti, kad saugumo politikos negalioja vadovybei" – jei vadovybė jų nesilaiko, kas tada norės jų laikytis ir kam iš viso jų tada reikia?

"Slėpti nuo auditorių" – šiaip į saugumo auditą žiūriu teigiamai, nes tai padeda išsiaiškinti visas silpnąsias vietas. Jei pradedate slėpti informaciją arba pateikiate netikslią, reiškia viskas daroma dėl varnelės. Nors šiaip, auditas auditui nelygus.

"Leisti antivirusinei apsaugai ar kitoms saugumo priemonėms dirbti ant autopiloto" – kaip pastebėsite, kad tai jau nebeveikia?

"Paskirti ką nors atsakingu už rizikos valdymą ir nesuteikti jam sprendimo teisių" – paprastai tai dar tinka ir nemažai daliai žmonių, kurie, būdami atsakingi už informacijos saugą, tėra instrukcijų rašytojai, bet negali jų įgyvendinti ir kontroliuoti proceso, nes neturi jokių teisių priversti tai daryti.

"Įsivaizduoti, kad tau nėra ko jaudintis dėl saugumo, nes tavo kompanija per daug maža ar nereikšminga" – galima paklausti kitaip: ar tau tavo duomenys yra svarbūs? Jei atsakymas – ne, tai klausimas kam tu suki savo verslą?

Ko gero visi, kas su tuo yra susidūrę, galėtų ką nors pakomentuoti prie kiekvieno punkto.

SANS Internet Storm Center; Cooperative Network Security Community – Internet Security – isc