Wat is ISO 27001?
ISO 27001 is de internationale standaard voor informatiebeveiliging. De norm beschrijft waarop je getoetst wordt: geef je informatiebeveiliging gestructureerd vorm, met een managementsysteem?
Zo'n managementsysteem is een samenhangend geheel van activiteiten, documenten, registraties, verantwoordelijkheden en afspraken. Samen zorgen ze dat de informatie die je zelf nodig hebt, en die je voor je klanten beheert, veilig is.
Wat betekenen beschikbaarheid, vertrouwelijkheid en integriteit bij ISO 27001?
Informatiebeveiliging heeft drie kanten:
| Aspect | Wat het betekent |
|---|---|
| Beschikbaarheid | wie toegang moet hebben, kan erbij op het moment dat het nodig is |
| Vertrouwelijkheid | wie geen toegang hoort te hebben, kan er niet bij |
| Integriteit | wie dat niet mag, kan informatie niet zomaar aanpassen |
Geldt ISO 27001 ook voor AI-software?
Ja. Hetzelfde principe geldt niet alleen voor mensen, maar ook voor bijvoorbeeld AI-software of -modellen. Ook daarvoor gelden eisen aan vertrouwelijkheid en integriteit: waar heeft het toegang toe, en wat mag het aanpassen?
Voor wie is ISO 27001 bedoeld?
De belangrijkste branche is de IT: hostingpartijen, bedrijven die kantoorautomatisering en werkplekbeheer verzorgen, softwareontwikkelaars, en in zekere mate producenten van hardware. Daar zien we de meeste certificeringen.
De laatste jaren wordt de groep breder. Het gaat dan om organisaties die voor klanten of zelf met veel vertrouwelijke gegevens of persoonsgegevens werken.
Hoe verhoudt ISO 27001 zich tot NEN 7510?
NEN 7510 is de norm voor de zorg. Hij gaat specifiek over de beveiliging van persoonlijke gezondheidsinformatie, zoals medische gegevens. NEN 7510 is gebaseerd op ISO 27001 en bouwt erop voort, met verduidelijking op de punten waar het om gezondheidsinformatie gaat. Lees meer bij NEN 7510.
Waarom halen bedrijven ISO 27001?
Vaak omdat potentiële of bestaande klanten erom vragen, vooral bij IT-leveranciers. Bij aanbestedingen is het vaak een standaardeis. De overheid moet zelf ook aan eisen voor informatiebeveiliging voldoen, via de Baseline Informatiebeveiliging Overheid (BIO), en vraagt dat dus ook van haar leveranciers.
Wat voegt ISO 27001 toe aan losse beveiligingsmaatregelen?
Bij de nulmeting zien we vaak dat er al losse maatregelen zijn die bij ISO 27001 passen, zoals meerfactorauthenticatie en bewustwordingssessies. Maar ISO 27001 maakt er een samenhangend geheel van. Vaak staat meerfactorauthenticatie bij het ene pakket wel aan en bij het andere niet, schijnbaar willekeurig.
ISO 27001 brengt daar structuur in. Je kijkt eerst samen: wat zijn onze kritieke systemen? Waar zit onze belangrijke informatie, wat moet echt vertrouwelijk blijven, en waar is integriteit heel belangrijk? Die systemen beveilig je extra, en daar zorg je dat de beheersmaatregelen kloppen. Systemen die je zijdelings gebruikt, of waar geen gevoelige informatie in zit, controleer je minder vaak en beveilig je lichter.
Wat zijn de grootste misverstanden over ISO 27001?
Er zijn er twee. Het eerste: dat ISO 27001 iets zegt over hoe veilig een bedrijf is. Er wordt niet getoetst hoe goed de beveiliging is, maar of er een managementsysteem is en of de maatregelen worden ingevuld. Hoe diep die maatregelen gaan, zie je niet terug in het certificaat, en ook niet in de verklaring van toepasselijkheid. Daar zie je de breedte, niet de diepgang.
Het tweede: dat een gecertificeerde leverancier ook jouw informatie beschermt. Vooral bij softwareleveranciers gaat dat mis. Een softwareleverancier wordt gecertificeerd op hoe hij zijn eigen informatie beveiligt, niet op hoe veilig de informatie is die klanten in zijn systemen zetten. Er is wel overlap, want er wordt gekeken of de software veilig wordt ontwikkeld. Maar het is geen garantie dat het systeem ook echt veilig is.
Hoe behaal je ISO 27001, en wat kost het?
Het stappenplan lees je bij hoe je een ISO 27001-certificaat behaalt. Bij 1 tot 25 medewerkers kost ISO 27001 bij Pisotive met samen doen € 7.600 – € 10.540, inclusief de nulmeting. Meer bij de kosten van ISO 27001.
De praktische aanpak hielp ons om snel vooruitgang te boeken zonder te verdwalen in ingewikkelde theoretische kaders.
Veelgestelde vragen
Is ISO 27001 wettelijk verplicht voor een MKB-bedrijf?
Meestal is het een eis van een klant of een aanbesteding. Bij IT-leveranciers en bij aanbestedingen is het vaak een standaardeis.
Is een ISO 27001-gecertificeerde softwareleverancier veilig voor jouw gegevens?
Niet automatisch. Het certificaat gaat over hoe de leverancier zijn eigen informatie beveiligt. Er wordt wel gekeken of software veilig wordt ontwikkeld, maar het is geen garantie dat jouw gegevens in dat systeem veilig zijn.
Wat is de BIO?
De Baseline Informatiebeveiliging Overheid: de norm waar de overheid zelf aan moet voldoen. Daardoor vraagt de overheid ook van leveranciers dat hun informatiebeveiliging op orde is.
Welke bedrijven halen ISO 27001?
Vooral IT-bedrijven: hosting, kantoorautomatisering en werkplekbeheer, softwareontwikkeling. Steeds vaker ook andere organisaties die veel vertrouwelijke gegevens of persoonsgegevens verwerken.
Heb je ISO 27001 nodig als je al meerfactorauthenticatie hebt?
Losse maatregelen zijn een goed begin, maar een klant die om ISO 27001 vraagt, wil zien dat je er een samenhangend, getoetst geheel van hebt gemaakt.