Odpovědnost a řízení (governance)
Co to znamená pro firmu: Bez jasných odpovědností a jednoduchých pravidel se bezpečnost rozpadá do improvizace. Vedení musí vidět, kdo co dělá, jak se schvalují přístupy, jak se hlásí incidenty, jak se testují zálohy a kde jsou důkazy.
V praxi to znamená stručně popsané role a odpovědnosti (RACI) a několik praktických politik (přístupy, incidenty, zálohy/obnova, logování) v délce několika stran. Nad tím běží živý dokument Prohlášení shody, kde je ke každému požadavku uvedeno, jak je plněn a čím se prokazuje. Governance dává rytmus: třeba měsíční kontrolní schůzku a čtvrtletní shrnutí pro board.