ISMS & ISO 27001 ist für mich dann interessant, wenn die Verbindung zwischen technischem Schutz, klaren Zuständigkeiten und einem Betrieb, der auch unter Zeitdruck funktioniert nicht nur behauptet, sondern nachvollziehbar gemacht wird.

Lösungen für ISMS & ISO 27001 dürfen anspruchsvoll sein; sie sollten nur nicht davon abhängen, dass niemand eine Rückfrage stellt.

Für eine belastbare Diskussion gehört für mich diese Frage dazu: Welche Annahme ist kritisch, und wie würde ein realistischer Test aussehen?