Написать правильную политику безопасности - это меньше половины дела. Механизм её выполнения несравненно важнее. Вот, припомнилась история, которая иллюстрирует отношение буквы и процедуры.
В советские времена на обыск, прослушивание телефонов и другие подобные действия санкцию давал прокурор. По этому поводу западные защитники
прав человека не уставали попрекать Советский Союз, настаивая на том, что необходима судебная санкция, как в лучших домах. Все оправдания по поводу того, что не важно, как именно называется государственный чиновник, важна его независимость, слышать не хотели. Потом случились Перестройка, Демократия и Ельцин. Законы привели в соответствие с "общечеловеческими" стандартами. Санкцию на оперативно-розыскные мероприятия (ОРМ), которые ограничивают права человека, с 1996 года даёт судья.
- Я прокурор, а не судья. Я умываю руки.
Но вот странность... Советские прокуроры отказывали в проведении прослушки примерно в 50% случаев. Я сейчас говорю о чистой уголовщине - грабителях, скупщиках краденого, продавцах дури, оставляя за скобками все гэбэшно-политические дела. В половине случаев советский партийный прокурор, изучив материалы дела, отодвигал от себя папку и заявлял операм: "Нет, ребята, не дам санкцию. Не убедительно." И ребята, понурив головы, шли собирать более убедительные материалы.
Современный беспартийный, несменяемый и независимый судья даёт санкцию на прослушку (и прочую перлюстрацию) примерно в 100% случаев. Почему? Открываем закон "Об ОРД" и читаем
ч.4 ст.9. Чтобы санкционировать ОРМ, судье надо расписаться там, где галочка. Чтобы отказать, ему нужно самому написать (!) мотивированное (!) постановление. Ну и какой нормальный судья человек выберет второе?
Вот вам и все права человека.
Вывод делаем такой. История ничему не учит. Не пишите правильную политику безопасности. Лучше вводите такие процедуры и взаимоотношения, чтобы работникам было выгоднее соблюдать правила ИБ, чем "соблюдать" их.