ניהול אבטחת מידע - הבהרה

ציפיתי לקבל תגובות על הרשימות שחלקן עשויות להיות פרובוקטיביות (?) בנושא ניהול אבטחת המידע. לצערי לא כך הוא הדבר.
אשמח מאד לקבל הערות / הסכמות וכמובן אי הסכמות. זה דיון פורה ומפרה.
ניהול אבטחת מידע (שעסקתי בה בעבר כמנהל אבטחת המידע של משרד הבריאות בשנים 1993-2000) וגם ייעוץ (שאני מספק מעל עשור, כולל ייעוץ למנהלי אבטחת מידע) מחייבים יושרה ואמירת אמת. לעתים האמת לא נעימה ולעתים היא יותר נעימה. אבל יש לאומרה בנימוס ובפומבי. אני מאמין שכך אני נוהג. אני מצפה מקהיליית מנהלי ויועצי אבטחת מידע האחרים בישראל ובעולם אלא הקוראים את הבלוג וגם אלו שאינם מוצאים בו עניין לנהוג כך.
לעצם העניין, מעולם לא טענתי שאבטחת מידע איננה כוללת את שלושת המרכיבים: סודיות, אמינות ושלמות, זמינות ואמינות. ההיפך הוא הנכון
הדיון שאני מעלה עוסק בניהולה של אבטחת המידע.

בתאוריה: אבטחת מידע זה כל השלוש

במציאות: "אבטחת מידע" הכוללת את שלושת המרכיבים מחולקת ארגונית לנושאי תפקיד שונים. הנושא בתואר: "מנהל אבטחת המידע" מנהל בפועל בעיקר את מרכיב הסודיות ואיננו אחראי לזמינות, שרידות שלמות ואמינות. איננו אחראי איננו אומר שאיננו תומך בהשגת יעדי הארגון בתחום, אך איננו המנהל האחראי להם.

זו הכללה ואני מניח שיש יוצאים מן הכלל, אך לגבי הרוב, למיטב שיפוטי זה המצב.
זה טוב? זה רע? ככה נכון לעשות? ככה לא נכון לעשות? אלו שאלות אחרות לחלוטין. לפני שדנים בכל השאלות הללו, יש להכיר את עובדת היסוד.
איך בודקים?
קל ופשוט: לכו לתקן 27001/27002 תקחו את 12 הנושאים, תעברו על העשרות הרבות של הבקרות המצויות בתקן (133 ליתר דיוק), ושימו תפקיד למול כל בקרה, מיהו זה בארגון האחראי עליה? תגלו מהר מאד שקיימת חלוקה ברורה בין מרכיבי הסודיות ושני המרכיבים האחרים. לדוגמה: פרק 14 בתקן כותרתו:

IMFORMATION SECURITY ASPECTS OF BUSINESS CONTINUITY PLANNING

שימו לב לכותרת: הבטי אבטחת מידע בתוכנית להמשכיות עסקית. כיוון שהתוכנית להמשכיות עסקית ברוב המקרים איננה באחריות אבטחת מידע...
דוגמה נוספת:
סעיף 10.3.1 בתקן: ניהול קיבולת - CAPACITY MANAGEMENT
איזהוא מנהל אבטחת המידע שאחראי על ניהול קיבולת של מערך טכנולוגיית המידע בארגון? להזכיר, ניהול קיבולת הינו מרכיב של זמינות. זמינות אחד ממרכיבי אבטחת מידע.
אשמח לקרוא ולדעת...

ותקנו אותי אם אני טועה.