Ot, hartelijk dank voor je antwoorden. Ik ben het overigens met je eens dat de genoemde maatregelen tot de basis moeten horen maar tot nu toe is het voor veel mensen al complexe materie om uit te vogelen waaraan ze precies moeten voldoen, hier is nog een boel winst te behalen. Het kan zelfs natuurlijk zo zijn dat door het CBP genoemde criteria uit een andere hoek afkomstig zijn; zoals bijv. een branchspecifieke wetten of richtlijnen. Natuurlijk geven meer concretere regels minder ruimte, maar ze scheppen wel helderheid en maken het makkelijker om aandacht binnen organisaties te krijgen. Audits op normen zoals NEN7510 of ISO27001 bekijken vooral de procesgang (management) rondom de informatiebeveiliging maar niet naar de daadwerkelijk beveiliging zelf. Een organisatie die keurig een ISMS heeft en volgt maar een kritiek lek op haar infrastructuur heeft kan zo een NEN7510 certificaat krijgen, een pentest is bijvoorbeeld geen onderdeel audit. iig bedankt voor je bijdrage @ security.nl en je werk voor BoF