Door Erik van Straten: Normen zoals NEN7510 en ISO27001 zijn geen checklists waarbij geldt dat een gegevensverwerker geen risico's meer loopt als alle vinkjes gezet zijn. Checklists helpen, ware het niet dat deze enorm afhankelijk zijn van de context. Het omzetten van generieke normen naar zinvolle checklists is een gigantische klus - die alleen goed kan worden uitgevoerd door mensen die de organisatie plus alle gebruikte systemen goed kennen, en die zich voortdurend verdiepen in dreigingen en tegenmaatregelen. Het is altijd zóveel werk dat je moet prioriteren. Maar in de praktijk is dat hartstikke lastig voordat je überhaupt alle dreigingen hebt geïnventariseerd. Zo'n klus wordt meestal bemoeilijkt doordat er, in organisaties, voortdurend vanalles verandert - en heel vaak doordat (lagere) leidinggevenden "die lui van security" als een blok aan hun been beschouwen en stilletjes veranderingen doorvoeren. Als het hogere management "security" als een noodzakelijk kwaad beschouwt dat "zo min mogelijk" ...