Wat zijn de eisen van ISO 27001?
De kern van ISO 27001 is risicomanagement: nadenken over welke risico's er zijn voor je informatiebeveiliging, en hoe je die beheerst. Je kijkt vanuit je processen en doelstellingen naar welke informatie van kritiek belang is, in welke systemen die zit, en wat ervoor kan zorgen dat ze gecompromitteerd raakt.
Voor die beheersing geeft de norm in bijlage A 93 beheersmaatregelen. Op basis van je risico's weeg je welke je nodig hebt, en hoe diep je ze invult.
Waarom draait ISO 27001 meer om risico's dan ISO 9001?
Bij kwaliteit zou je kunnen wachten tot je klachten krijgt. Los je die goed op, dan is een klant vaak nog erg tevreden. Bij beveiligingsincidenten werkt dat niet. Gebeurt er iets, dan is de geest al uit de fles en is de schade al geleden.
Daarom wil je bij informatiebeveiliging veel meer vooruitdenken: vanuit risico's, maar ook vanuit kansen, anticiperen op wat er komt.
Wat zijn de 93 beheersmaatregelen van ISO 27001?
Bijlage A van de norm bevat 93 beheersmaatregelen, verdeeld over vier thema's: organisatorisch, mensen, fysiek en technologisch. Op basis van je risico's weeg je per maatregel of hij voor jou nut heeft. Zo ja, dan pas je hem toe en voer je hem in, met een diepgang die past bij het risico.
Maatregelen die je niet nodig hebt, sluit je uit. Ontwikkel je zelf geen software, dan heb je bijvoorbeeld de maatregel voor veilige softwareontwikkeling niet nodig. Welke maatregelen je toepast en waarom, leg je vast in de verklaring van toepasselijkheid. Die laat de breedte van je beveiliging zien, niet de diepgang.
Hoe doet Pisotive de risicoanalyse voor ISO 27001?
De theorie zegt: begin met een wit vel en inventariseer de risico's op basis van je situatie. Wij lopen met de klant eerst een procesanalyse door. Wat doet de organisatie, welke stappen zijn er om tot het gewenste resultaat te komen, welke informatie is daarvoor nodig, en door welke systemen gaat die?
Daarop buigen we een set risico's die voor veel bedrijven gelden naar jouw bedrijf toe. Zo begin je met een vrij complete set. Daarna doen we altijd een controle op gezond verstand: wat zijn de hoge, middelgrote en lage risico's? En waar lig je af en toe wakker van, waarbij je denkt: zou dat wel goed zitten? Dat moet terugkomen in het risicoregister.
Welke eisen van ISO 27001 kosten een MKB-bedrijf de meeste moeite?
Dat wisselt per organisatie. Bij de ene organisatie gaat het opstellen van beleidsregels moeizaam, zeker bij wat grotere bedrijven. Dan moeten meerdere afdelingen meedoen, en soms moet ook de personeelsvertegenwoordiging of de ondernemingsraad meedenken. Dat kost tijd.
Bij een andere organisatie geven de technische maatregelen de meeste moeite, vooral als je afhankelijk bent van externe leveranciers. Dan ben je overgeleverd aan de kennis van die leverancier. En klanten wisselen niet snel van softwareleverancier alleen om redenen van beveiliging. Dat geeft nog wel eens vertraging.
Hoe ga je bij ISO 27001 om met Microsoft 365 en andere cloudleveranciers?
Bedrijven werken steeds meer in de cloud, met software as a service, zoals Microsoft 365. Microsoft is dan een leverancier, maar je hebt in de leveranciersbeoordeling weinig in te brengen: Microsoft past zijn product niet aan voor een MKB-bedrijf. Hetzelfde geldt voor andere grote SaaS-leveranciers.
Dan doen we een beknopte leveranciersbeoordeling, van wat relevant is. Je bekijkt steeds of je nog tevreden bent, of het nog aan je eisen voldoet, en of het pakket genoeg mogelijkheden biedt om veilig te werken. Feedback geven heeft in zo'n geval geen zin.
Waar lees je het stappenplan en de kosten van ISO 27001?
Het stappenplan lees je bij hoe je een ISO 27001-certificaat behaalt, de bedragen bij de kosten van ISO 27001. Wat ISO 27001 is, lees je bij wat is ISO 27001.
Wij hadden ISO-certificering nodig om mee te doen aan gemeentelijke tenders. We wisten alleen niet waar we moesten beginnen.
Veelgestelde vragen
Hoeveel beheersmaatregelen heeft ISO 27001?
93, in bijlage A van de versie van 2022, verdeeld over vier thema's: organisatorisch, mensen, fysiek en technologisch.
Moet je alle 93 maatregelen van ISO 27001 invoeren?
Nee. Je weegt ze op basis van je risico's. Wat je niet nodig hebt, sluit je uit, met een reden, in de verklaring van toepasselijkheid.
Moet de ondernemingsraad meedenken over ISO 27001?
Bij grotere organisaties soms, vooral bij beleidsregels die medewerkers raken. Reken daar tijd voor.
Moet je Microsoft beoordelen als leverancier voor ISO 27001?
Ja, maar beknopt. Je kijkt of het pakket nog aan je eisen voldoet en genoeg mogelijkheden biedt om veilig te werken.
Vijf vragen over je markt en ambitie. Je ziet de uitkomst direct.