ISO 27001 norm voor informatiebeveiliging

De ISO 27001 norm is een internationale standaard voor het organiseren en managen van informatiebeveiliging. De norm beschrijft eisen voor een Information Security Management System (ISMS) en geeft organisaties een gestructureerde manier om informatiebeveiliging onderdeel te maken van de dagelijkse bedrijfsvoering. ISO 27001 gaat daarbij niet alleen over ICT en technische beveiliging. Ook management, medewerkers, leveranciers, fysieke beveiliging, afspraken en werkwijzen spelen een belangrijke rol.

Wat betekent ISO 27001 voor uw organisatie?

Werken volgens ISO 27001 betekent dat informatiebeveiliging op een vaste en gestructureerde manier wordt georganiseerd. Het management stelt beleid en doelstellingen vast, verantwoordelijkheden worden toegewezen en medewerkers krijgen duidelijke afspraken over de manier waarop met bedrijfsinformatie wordt omgegaan.

In de dagelijkse praktijk kan dit bijvoorbeeld betekenen dat wordt vastgelegd wie toegang heeft tot bepaalde gegevens, hoe vertrouwelijke documenten worden gedeeld, hoe incidenten worden gemeld en hoe medewerkers worden geïnformeerd. Ook onderwerpen als leveranciers, thuiswerken, fysieke toegang, back-ups en continuïteit kunnen binnen het managementsysteem worden geregeld.

ISO 27001 helpt daarmee om losse beveiligingsmaatregelen samen te brengen in één samenhangend ISMS.

Wat is de ISO 27001 norm?

ISO 27001 is een internationaal gebruikte norm voor informatiebeveiliging. De standaard beschrijft aan welke eisen een managementsysteem moet voldoen om informatie op een beheerste manier te beveiligen. Hierbij staan de vertrouwelijkheid, integriteit en beschikbaarheid van informatie centraal.

De ISO 27001 norm geeft vooral aan wat een organisatie moet regelen, maar laat ruimte voor de manier waarop dat gebeurt. Hierdoor kan een klein bedrijf de normeisen anders invullen dan een grote internationale organisatie. De maatregelen moeten passen bij de werkzaamheden, informatie, risico's en omvang van de organisatie.

Wat doet de ISO 27001 norm?

De ISO 27001 norm biedt een kader waarmee een organisatie informatiebeveiliging kan opzetten, invoeren, onderhouden en continu verbeteren. Eerst wordt bepaald welke informatie belangrijk is en welke risico's daarbij horen. Vervolgens kiest de organisatie passende maatregelen en maakt zij afspraken over de uitvoering daarvan.

Daar blijft het niet bij. De organisatie controleert ook regelmatig of de afgesproken werkwijzen worden gevolgd en of maatregelen voldoende functioneren. Interne audits, het beoordelen van prestaties, het behandelen van afwijkingen en de managementreview maken daarom onderdeel uit van het systeem.

Zo ontstaat een terugkerende manier van werken: afspraken maken, uitvoeren, controleren en waar nodig verbeteren.

Wat is de relatie tussen ISO 27001 en ISO 27002?

ISO 27001 en ISO 27002 worden vaak samen gebruikt, maar hebben een verschillende functie. ISO 27001 bevat de eisen voor het managementsysteem en is de norm waarop een organisatie zich kan laten certificeren.

ISO 27002 geeft aanvullende richtlijnen voor beheersmaatregelen op het gebied van informatiebeveiliging. U kunt het praktisch zien als verdieping: ISO 27001 geeft het kader en de eisen, terwijl ISO 27002 meer uitleg geeft over maatregelen waarmee informatie kan worden beveiligd.

Geschiedenis en doel van ISO 27001

De achtergrond van ISO 27001 ligt onder andere bij de Britse standaard BS 7799, die in de jaren negentig werd ontwikkeld voor het managen van informatiebeveiliging. Vanuit deze ontwikkeling ontstond uiteindelijk de internationale ISO/IEC 27001. De eerste editie onder deze naam verscheen in 2005. Daarna volgden nieuwe versies in 2013 en 2022.

Hoewel technologie en bedreigingen in de loop der jaren sterk zijn veranderd, is het basisdoel herkenbaar gebleven: organisaties een algemeen geaccepteerde methode bieden om informatiebeveiliging systematisch te managen.

Daarbij gaat het niet alleen om het voorkomen van incidenten. Een organisatie moet ook kunnen beoordelen wat belangrijk is, maatregelen kiezen, verantwoordelijkheden vastleggen, controleren of de aanpak werkt en blijven verbeteren.

ISO 27001 en andere normen

De ISO 27001 norm is opgebouwd als een managementsysteemnorm en sluit daardoor aan bij andere bekende ISO-normen. Een organisatie die bijvoorbeeld al werkt met ISO 9001 voor kwaliteitsmanagement of ISO 14001 voor milieumanagement zal verschillende onderdelen herkennen.

Denk aan beleid, doelstellingen, verantwoordelijkheden, interne audits, managementreviews en continue verbetering. Hierdoor kunnen verschillende managementsystemen gedeeltelijk worden geïntegreerd. Voor organisaties die aan meerdere normen willen voldoen, kan dat onnodig dubbel werk voorkomen.

Voor organisaties in de Nederlandse zorg is daarnaast NEN 7510 belangrijk. Deze norm richt zich specifiek op informatiebeveiliging binnen de zorg en heeft een duidelijke relatie met ISO 27001.

veel gestelde vragen

De internationale basisnorm is ISO/IEC 27001:2022. Dit is de derde editie van ISO/IEC 27001 en deze verving ISO/IEC 27001:2013.

In Nederland wordt de norm uitgegeven door NEN. De Nederlandse versie is NEN-EN-ISO/IEC 27001:2023. Wie in Nederland met ISO 27001 werkt, komt daarom zowel het jaartal 2022 als 2023 tegen. Het gaat hierbij niet om twee verschillende inhoudelijke versies van de ISO 27001 eisen: 2022 verwijst naar de internationale ISO/IEC-uitgave en 2023 naar de Nederlandse en Europese overname daarvan.

Daarnaast is Amendment 1:2024 gepubliceerd. Dit amendement voegt aandacht voor klimaatverandering toe aan de beoordeling van de context van het managementsysteem.

ISO 27001 is meer dan ICT-beveiliging. Een veelvoorkomend misverstand is dat ISO 27001 voornamelijk een ICT-norm is. In werkelijkheid kijkt de norm veel breder naar informatiebeveiliging.

Een medewerker kan bijvoorbeeld vertrouwelijke informatie naar de verkeerde persoon sturen. Een onbevoegde kan toegang krijgen tot een bedrijfsruimte. Een leverancier kan onvoldoende beveiligingsmaatregelen hebben getroffen of een werknemer kan meer toegangsrechten hebben dan voor zijn functie nodig is.

Daarom besteedt ISO 27001 aandacht aan organisatorische, menselijke, fysieke en technologische maatregelen. Informatiebeveiliging wordt daarmee een verantwoordelijkheid van de gehele organisatie en niet alleen van de ICT-afdeling.

ISO 27001 invoeren met ISOMANAGEMENT

Een norm vertelt waaraan u moet voldoen, maar daarmee is nog niet automatisch duidelijk hoe u dat binnen uw eigen organisatie praktisch organiseert. ISOMANAGEMENT helpt bedrijven om de eisen van ISO 27001 te vertalen naar duidelijke afspraken, werkbare maatregelen en een managementsysteem dat aansluit bij de bestaande bedrijfsvoering.

We beginnen bij voorkeur met wat er al aanwezig is. Met een nulmeting of proefaudit brengen we in kaart welke onderdelen al aan de ISO 27001 norm voldoen en waar nog werkzaamheden nodig zijn. Vervolgens ondersteunen we bij het opzetten en invoeren van het ISMS, de risicobeoordeling, maatregelen, documentatie en interne audit.

Het uitgangspunt is daarbij niet om meer procedures te maken dan nodig is. Het doel is een praktisch werkend systeem waarmee uw organisatie informatiebeveiliging structureel kan managen én waarmee u goed voorbereid bent op ISO 27001 certificering.

Wilt u weten wat de ISO 27001 norm voor uw organisatie betekent? ISOMANAGEMENT kan eerst samen met u bepalen waar uw organisatie nu staat en welke stappen daadwerkelijk nodig zijn om aan de norm te voldoen.

"Ik kan niet genoeg zeggen over de uitstekende service die ik van uw bedrijf heb ontvangen. Het team deed haar uiterste best om aan onze behoeften te voldoen en overtrof onze verwachtingen."

Oliver Hartman