„Securitatea este un proces, nu un produs. Produsele oferă o oarecare protecție, dar singura cale de a face afaceri eficient într-o lume nesigură este să pui la punct procese care recunosc nesiguranța inerentă a produselor.”Bruce Schneier · The Process of Security · 2000 · Bruce Schneier, «The Process of Security», revista Information Security, aprilie 2000 — paragraful de deschidere
Certificatul e o fotografie, iar securitatea e filmul din care a fost decupată.
Fraza lui Schneier are un sfert de secol și e încă cea mai bună obiecție la conformitatea tratată ca destinație. Un certificat spune că, în zilele auditului, un eșantion de dovezi a corespuns cerințelor. Sistemul care a produs acele dovezi poate fi abandonat a doua zi, iar certificatul rămâne valabil până la următoarea supraveghere. Certificatul e o fotografie; securitatea e filmul din care a fost decupată. De aici vine testul practic pentru orice program de conformitate: dacă un control funcționează doar când se apropie auditul, controlul nu există — există pregătirea pentru audit. Semnele se recunosc ușor: revizuiri de acces pe tot anul, făcute toate în aceeași săptămână; jurnale colectate retroactiv; instruire finalizată de toată lumea în trei zile. ISO/IEC 27001 e construit exact împotriva acestui tipar, fiindcă cere măsurare (9.1), audit intern (9.2), analiză de management (9.3) și acțiune corectivă (10.2). Adică ritm, nu eveniment.
De ce contează Auditorul de supraveghere caută urmele de ritm, iar dovezile îngrămădite în ultima săptămână spun singure ce s-a întâmplat.