绝大多数人认为信息安全是一个纯粹的有关技术的话题,只有那些技术人员,尤其是
计算机安全技术人员,才能够处理任何保障数据和计算机安全的相关事宜。这固然有一定道理。不过,实际上,恰恰是计算机用户本身需要考虑这样的问题:避免哪些威胁?在信息安全和信息通畅中如何平衡取舍?的确如此,一旦用户给出答案,计算机安全专家就可以设计并执行一个技术方案以达成用户需求。
在组织内部,管理层应当负责决策,而不是IT部门。一个规范的信息安全管理体系必须明确指出,组织机构董事会和管理层应当负责相关信息安全管理体系的决策,同时,这个体系也应当能够反映这种决策,并且在运行过程中能够提供证据证明其有效性。
所以机构组织内部的信息安全管理体系的建立项目不必由一个技术专家来领导。事实上,技术专家在很多情况下起到相反的作用,可能会阻碍项目进程。因此,这个项目应该由
质量管理经理、总经理或者其他负责机构内部重大职能的执行主管负责主持。