„Conducerea de vârf trebuie să demonstreze leadership și angajament în privința sistemului de management al securității informației prin: asigurarea faptului că politica de securitate a informației și obiectivele de securitate a informației sunt stabilite și sunt compatibile cu direcția strategică a organizației.”ISO/IEC · ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements · 2022 · ISO/IEC 27001:2022, clauza 5.1 «Leadership and commitment», paragraful introductiv și litera a)
Clauza 5 se auditează în biroul conducerii, nu în camera serverelor.
Clauza 5 are trei alineate și toate încep cu «conducerea de vârf», nu cu «organizația». Diferența nu e stilistică: la 5.1 auditorul cere probe că oamenii care hotărăsc bugetul și direcția au făcut ceva verificabil — au asigurat că politica și obiectivele există și se potrivesc cu direcția strategică, au integrat cerințele în procesele curente ale organizației, au pus la dispoziție resurse, au promovat îmbunătățirea continuă. La 5.2 politica trebuie să fie potrivită scopului organizației, să conțină obiective sau cadrul pentru stabilirea lor și două angajamente: satisfacerea cerințelor aplicabile și îmbunătățirea continuă. Ea există ca informație documentată, se comunică intern și se pune la dispoziția părților interesate, după caz. La 5.3 rolurile se atribuie și se comunică, iar două responsabilități sunt numite explicit: conformitatea sistemului cu cerințele standardului și raportarea performanței lui către conducerea de vârf. De aceea interviurile de la etapa 2 nu se țin doar cu echipa tehnică.
De ce contează O neconformitate de clauza 5 nu se repară cu o unealtă: cere o decizie a conducerii, deci se închide cel mai lent dintre toate.