Wat zegt een ISO 27001-certificaat?
Een ISO 27001-certificaat zegt dat een organisatie gestructureerd nadenkt over informatiebeveiliging, en dat een onafhankelijke certificerende instelling daar met een steekproef op toetst. Het zegt niet hoe veilig jouw gegevens bij die organisatie zijn.
Wil je een leverancier beoordelen, kijk dan eerst naar de scope op het certificaat, en vraag ook de verklaring van toepasselijkheid op. Ga vooral in gesprek over wat je van elkaar verwacht, en leg je eisen en wensen vast in de overeenkomst.
Met een steekproef: niet alles, wel de mate waarin het op orde is.
Wat mag je verwachten van een leverancier met een ISO 27001-certificaat?
Dat hij gestructureerd nadenkt over informatiebeveiliging. En dat de afspraken die je met hem maakt, worden opgenomen in zijn managementsysteem en worden omgezet naar procedures.
Daar wordt hij onafhankelijk op getoetst. De certificerende instelling neemt altijd een steekproef. Ze toetst dus niet alles, maar kijkt wel hoe goed een organisatie dat soort zaken op orde heeft. Worden klantspecifieke eisen vertaald naar processen? En is de leverancier in staat om het vervolgens zo te leveren?
Wat zegt een ISO 27001-certificaat niet over je leverancier?
Het zegt niet dat de leverancier standaard alles voor jou inricht. Een ISO-certificaat van een leverancier die werkplekbeheer doet, is mooi. Maar het betekent nog niet dat hij voor al zijn klanten altijd tweefactorauthenticatie inschakelt.
Of dat hij jouw omgeving zo veilig mogelijk afschermt, zodat mensen zonder werklaptop bijvoorbeeld geen informatie naar een privélaptop kunnen downloaden. Dat zijn allemaal zaken die je zelf met de leverancier moet afspreken. Ze worden niet standaard ingericht omdat de leverancier gecertificeerd is.
Waarom het certificaat niets zegt over hoe veilig een bedrijf is, lees je ook bij wat ISO 27001 is.
Waarom kijk je naar de scope op een ISO 27001-certificaat?
De scope staat altijd op het certificaat. Daarin staat waar het certificaat betrekking op heeft: het toepassingsgebied. Kijk of dat ook echt is wat jij bij die organisatie wilt gaan inkopen.
Waarom vraag je ook de verklaring van toepasselijkheid op?
In de verklaring van toepasselijkheid staat welke beheersmaatregelen de leverancier toepast, en welke hij heeft uitgesloten. Daarmee zie je de breedte van zijn beveiliging, niet de diepgang. Meer daarover lees je bij de eisen van ISO 27001.
Welke vragen stel je een ISO 27001-gecertificeerde leverancier?
Het is gewoon goed om het gesprek aan te gaan: wat doen jullie eigenlijk aan security als ik jullie klant word? Dan kun je veel meer de diepte in. Wat verwacht de leverancier van jou? Wat verwacht jij dat hij voor je doet? En klopt dat ook echt?
Leg die eisen en wensen vast in de overeenkomst. Daarna houd je er zelf toezicht op, als je besluit klant te worden.
Kun je met elke leverancier zulke afspraken maken?
Nee. Bij een SaaS- of cloudleverancier zijn de mogelijkheden veel beperkter. Die past zijn product niet voor jou aan. Bij een leverancier die je kantoorautomatisering doet, kun je juist veel afspreken. Daar loont het gesprek het meest.
De praktische aanpak hielp ons om snel vooruitgang te boeken zonder te verdwalen in ingewikkelde theoretische kaders.
Veelgestelde vragen
Waar staat de scope van een ISO 27001-certificering?
Altijd op het certificaat zelf. Kijk of het toepassingsgebied ook de dienst omvat die jij wilt inkopen.
Schakelt een ISO 27001-gecertificeerde IT-leverancier standaard tweefactorauthenticatie in?
Niet per se. Het certificaat zegt dat hij gestructureerd met informatiebeveiliging bezig is, niet wat hij standaard voor klanten inricht. Spreek het zelf af.
Toetst de certificerende instelling alles bij een ISO 27001-audit?
Nee. Ze neemt een steekproef en kijkt hoe goed de organisatie het op orde heeft, bijvoorbeeld of klantspecifieke eisen in processen terechtkomen.
Wat staat er in de verklaring van toepasselijkheid?
Welke beheersmaatregelen een organisatie toepast en welke ze uitsluit. Je ziet daarmee de breedte van de beveiliging, niet de diepgang.
Moet je afspraken over informatiebeveiliging vastleggen in het contract met je leverancier?
Ja. Leg je eisen en wensen vast in de overeenkomst. Een gecertificeerde leverancier neemt die op in zijn managementsysteem, en wordt daar ook op getoetst.
Een korte volwassenheidsscan laat zien op welk niveau je organisatie staat en wat een logische volgende stap is.