ISO 27001

ISO 27001 begeleiding: structureel werken aan informatiebeveiliging

ISO 27001 is de internationale norm voor informatiebeveiligingsmanagement. De norm helpt organisaties om informatiebeveiliging niet alleen technisch, maar ook organisatorisch en procesmatig te borgen. Met ISO 27001 richt u een Information Security Management System (ISMS) in: een effectief geïmplementeerd managementsysteem waarmee risico’s rondom vertrouwelijkheid, integriteit en beschikbaarheid van informatie gestructureerd worden beheerst.

Wanneer is ISO 27001 relevant?

ISO 27001 is relevant voor organisaties die afhankelijk zijn van betrouwbare informatievoorziening of die aantoonbaar willen maken dat zij zorgvuldig omgaan met informatie. Dat geldt bijvoorbeeld voor organisaties die persoonsgegevens, financiële gegevens, intellectueel eigendom, klantdata of bedrijfsgevoelige informatie verwerken. Ook organisaties die werken met cloudoplossingen, uitbestede IT-diensten of een complex leveranciersnetwerk kunnen veel baat hebben bij een gestructureerd ISMS.

Daarnaast wordt ISO 27001 steeds vaker gevraagd in aanbestedingen, contracten en leveranciersbeoordelingen. Klanten en ketenpartners willen kunnen vertrouwen op een organisatie die informatiebeveiliging niet incidenteel, maar structureel heeft ingericht. Een ISO 27001-certificering kan dan helpen om dit aantoonbaar te maken. Voor sommige organisaties is certificering het einddoel, terwijl andere organisaties de norm vooral gebruiken als praktisch kader om hun informatiebeveiliging te professionaliseren.

Waarom kiezen voor ISO 27001?

Informatiebeveiliging raakt steeds meer onderdelen van de organisatie. Denk aan klantgegevens, bedrijfsinformatie, cloudomgevingen, leveranciers, continuïteit van processen en naleving van wet- en regelgeving. ISO 27001 biedt een gestructureerd kader om deze onderwerpen in samenhang te organiseren. ISO 27001 zorgt ervoor dat organisaties:

• inzicht hebben in hun belangrijkste informatiebeveiligingsrisico’s;
• passende organisatorische, menselijke, fysieke en technische maatregelen treffen;
• verantwoordelijkheden, processen en besluitvorming rondom informatiebeveiliging vastleggen;
• periodiek beoordelen of maatregelen effectief zijn;
• werken aan continue verbetering van het ISMS.

Een belangrijk voordeel van ISO 27001 is dat de norm organisaties helpt om keuzes te onderbouwen. Niet iedere maatregel is voor iedere organisatie even relevant. De norm vraagt daarom om een risicoanalyse, zodat maatregelen worden gekozen op basis van daadwerkelijke risico’s, wettelijke eisen, contractuele verplichtingen en verwachtingen van belanghebbenden. Daarmee voorkomt ISO 27001 dat informatiebeveiliging een losse verzameling maatregelen wordt zonder duidelijke samenhang.

Hoe is ISO 27001 opgebouwd? 

ISO 27001 bestaat uit eisen voor het managementsysteem en een set beheersmaatregelen die organisaties kunnen gebruiken om risico’s te behandelen. De managementsysteemeisen gaan onder meer over de context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, prestatie-evaluatie en verbetering. Deze onderdelen zorgen ervoor dat informatiebeveiliging niet een eenmalig project is, maar onderdeel wordt van de organisatie.

Daarnaast bevat ISO 27001 een overzicht van beheersmaatregelen in Annex A. In de versie van 2022 zijn deze maatregelen gegroepeerd rond organisatorische, mensgerichte, fysieke en technologische maatregelen. Hierbij kan worden gedacht aan onderwerpen zoals informatiebeveiligingsbeleid, toegangsbeheer, classificatie van informatie, leveranciersrelaties, bewustwording, fysieke beveiliging, logging, monitoring, back-ups, cloudgebruik en veilige ontwikkeling. De maatregelen worden niet simpelweg als checklist toegepast: de selectie en inrichting moeten passen bij de risico’s en context van de organisatie.

Begeleiding bij ISO 27001-certificering

Van Oers begeleidt organisaties bij het praktisch vertalen van de norm naar beleid, processen, risicoanalyses, maatregelen en aantoonbare werking. Hierbij hanteren we de volgende stappen

Gap-analyse en risicobeoordeling

We starten met een nulmeting: waar staat uw organisatie nu ten opzichte van de ISO 27001-norm? We brengen de risico’s in kaart en analyseren welke onderdelen van het ISMS al aanwezig zijn en waar nog werk nodig is.

1. Inzicht in de huidige situatie

Veel trajecten starten met een nulmeting of fit-gap analyse. Daarbij beoordelen we in hoeverre uw organisatie al voldoet aan de eisen van ISO 27001 en welke onderdelen van het ISMS nog moeten worden ingericht of verbeterd. Dit geeft inzicht in de benodigde acties, prioriteiten en verwachte inspanning.

Bij deze stap besteden we ook aandacht aan de scope van het ISMS. Een heldere scope is belangrijk, omdat deze bepaalt welke processen, locaties, systemen, diensten en organisatieonderdelen binnen het certificeringstraject vallen. Een te brede scope kan het traject onnodig complex maken, terwijl een te beperkte scope onvoldoende aansluit op de verwachtingen van klanten of ketenpartners.

2. Risicoanalyse en inrichting van het ISMS

Op basis van de uitkomsten richten we samen met u het ISMS verder in. Een belangrijk onderdeel daarvan is de informatiebeveiligingsrisicoanalyse. Die analyse vormt de basis voor het selecteren, onderbouwen en vastleggen van passende beheersmaatregelen.

Daarbij helpen we om de risicoanalyse praktisch toepasbaar te maken. Het doel is niet om een theoretisch risicodocument op te leveren, maar om inzicht te krijgen in de risico’s die echt relevant zijn voor uw organisatie. Denk aan risico’s rondom ongeautoriseerde toegang, uitval van kritieke systemen, datalekken, afhankelijkheid van leveranciers, menselijke fouten of onvoldoende monitoring.

Voor certificering is het bovendien belangrijk dat de werking van maatregelen aantoonbaar is. Dat betekent dat beleid en procedures niet alleen beschreven moeten zijn, maar ook zichtbaar moeten worden uitgevoerd. Voorbeelden daarvan zijn registraties van incidenten, uitgevoerde toegangsreviews, leveranciersbeoordelingen, managementreviews, interne audits, opleidingsactiviteiten en opvolging van verbetermaatregelen.

3. Interne audit en voorbereiding op certificering 

Voordat een externe certificeringsaudit plaatsvindt, is een interne audit een belangrijk onderdeel van het traject. Hiermee wordt beoordeeld of het ISMS voldoet aan de norm en of maatregelen aantoonbaar werken. Van Oers kan deze interne audit uitvoeren en ondersteunen bij het opvolgen van verbeterpunten. Wij zijn geen certificerende instantie, maar begeleiden u wel bij de voorbereiding op de audit door een onafhankelijke certificerende instelling. Daarnaast kunnen we uw organisatie begeleiden tijdens de externe audit.

ISO 27001 in relatie tot andere normen en wetgeving

In het kader van de AVG, NIS2, DORA, aanbestedingen en leveranciersbeoordelingen kan ISO 27001 helpen om informatiebeveiliging aantoonbaar te organiseren. De norm vormt daarmee vaak een stevige basis waarop aanvullende sectorspecifieke of wettelijke eisen kunnen worden aangesloten.

ISO 27001 vervangt deze wet- en regelgeving niet, maar kan wel helpen om de onderliggende beveiligingsmaatregelen, verantwoordelijkheden en verbeterprocessen aantoonbaar te maken. Daardoor ontstaat meer samenhang tussen compliance, risicomanagement en praktische informatiebeveiliging.

Meer weten over ISO 27001 begeleiding?

Wilt u weten wat ISO 27001 voor uw organisatie betekent of welke stappen nodig zijn richting certificering? Van Oers helpt u met een praktische en risicogestuurde aanpak, passend bij uw organisatie, bestaande processen en volwassenheidsniveau.