Door Anoniem: @16:53 Een beleid moet niet op een norm gebaseerd zijn. Normen zijn algemeen, een goed beleid is organisatie-specifiek. Het moet jouw doelstellingen voor informatiebeveiliging bevatten, wat jij eigenlijk in de term informatiebeveiliging ziet, hoe je de verantwoordelijkheden hebt ingericht om tot je doel te komen, etc. Een norm zoals 27001 en NEN 7510 beschrijft hoe je informatiebeveiliging (op basis van je beleid) zodanig inricht dat het blijvend, betrouwbaar en controleerbaar is. Het beschrijft een ISMS. Een ISMS is niet hetzelfde als een beleid. Je lijkt "is gebaseerd op" gelijk te stellen aan "is hetzelfde als". Dat is zoiets als zeggen dat een huis hetzelfde is als elk van de heilpalen waarop het steunt. "Gebaseerd op" wil zeggen dat iets ergens op steunt, niet dat het hetzelfde is als waar het op steunt en dat het meteen het enige is waarop het steunt. Beleid kan gebaseerd zijn op meerdere normen, wetten en doelen. Een doel van een organisatie kan zijn om de informatiebeveiliging goed op ...