En als zo'n huisarts, als verantwoordelijke, niet weet of die gegevens redelijkerwijs beveiligd zijn, of een leverancier inhuurt wiens afgeleverde werk en/of producten hij niet zelf kan controleren, moet hij de betreffende ICT systemen laten controleren (auditten en/of pentesten) door een of meer onafhankelijke en deskundige partijen. Zo werkt de wereld natuurlijk niet. Misschien willen we dat, maar zo is het niet. De huisarts zal echt wel vragen aan de leverancier, middels een verwerkersovereenkomst, al het nodige te doen om het veilig te maken. Maar de huisarts heeft geen verstand van deze systemen, dat heeft de leverancier. Een arts wil gewoon zijn werk doen: mensen helpen. IT helpt hem, maar daar besteed hij het liefst zo min mogelijk tijd aan. Andersom werkt dat het zelfde: jij als IT-security-expert hebt geen verstand van het menselijk lichaam, toch maak je daar gebruik van :P. Dan roepen we ook niet foei foei. En bij problemen ga je naar die arts, die daar dan wel verstand van heeft. We zouden ...