mijn huidige ervaring met de geimplementeerde security processen is dat het toch vooral pure papieren tijgers zijn die door het vaak niet technisch vaardige management gebruikt worden om schuldigen aan te kunnen wijzen waardoor hun eigen falen verhuld wordt. Deze papieren monsters doen over het algemeen niets behalve het beschrijven van een te volgen protocol, waarvan onder geen beding afgeweken mag worden. Deze protocollen worden ook nog eens opgesteld zonder dat de impact hiervan op de bedrijfsprocessen ook maar enigszins in kaart worden gebracht. Het gevolg laat zich eenvoudig raden, de procedure happy proces manager gaat zich volledig te buiten aan wollige niets zeggende maar wel vele pagina's dikke rapporten en krijgt vervolgens van de auditors te horen dat hij zeer goed bezig omdat er over iedere stap in het proces documentatie aanwezig is. Dat alle approvals in zaken als SOX via een mailtje met "I approve" worden afgedaan, is blijkbaar een feilloos systeem,de procedure schrijft immers deze e-mail ...