ISO 27001: een ISMS dat werkt

Wat is ISO 27001?

ISO/IEC 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging, een ISMS. Het is een gestructureerde manier om risico’s voor uw informatie te beheersen en voortdurend te verbeteren.

De huidige versie dateert van 2022. Bijlage A bevat 93 maatregelen in vier thema’s: organisatorisch, mensen, fysiek en technologisch. U kiest de maatregelen die passen bij uw risico’s, en verantwoordt die keuze.

Een certificaat van een geaccrediteerde certificatie-instelling toont klanten, partners en toezichthouders dat u informatiebeveiliging aantoonbaar beheerst.

Wat vraagt de norm?

• Context en scope: welke organisatie, processen en systemen het ISMS omvat, en wat belanghebbenden verwachten.
• Leiderschap: een beleid, duidelijke rollen en een directie die het ISMS draagt.
• Risico’s: een risicobeoordeling, een behandelplan en een Verklaring van Toepasselijkheid.
• Ondersteuning: middelen, competenties, bewustzijn en beheerste documentatie.
• Uitvoering en opvolging: de maatregelen in de praktijk, metingen, interne audits en een directiebeoordeling.
• Verbetering: afwijkingen opvolgen en het systeem blijven verbeteren.

Hoe verloopt een traject?

1. Scope en nulmeting: we bepalen de scope en brengen in een gap-analyse in kaart waar u staat.
2. Risicobeoordeling: we beoordelen de risico’s en stellen de Verklaring van Toepasselijkheid op.
3. Maatregelen: we zetten de nodige maatregelen en documenten op, gericht op wat in uw organisatie werkt en niet op papierwerk.
4. Werking aantonen: opvolging, bewustzijn, een interne audit en een directiebeoordeling tonen dat het systeem draait.
5. Certificatie: een onafhankelijke instelling voert de certificatie-audit uit in twee fasen. Daarna volgen jaarlijkse opvolgingsaudits en na drie jaar een hercertificering.

De doorlooptijd hangt af van de omvang en het vertrekpunt. Voor een middelgrote organisatie gaat het meestal om enkele maanden tot een jaar.

ISO 27001 en NIS2

ISO 27001 kan helpen om aan te tonen dat u aan NIS2 voldoet. De voorwaarden daarvoor vindt u bij het CCB: De NIS2-wet op Safeonweb@Work. Hoe we u daarbij begeleiden, leest u op onze pagina over NIS2.

Hoe SecurityAdvice helpt

• Een gap-analyse tegenover ISO 27001, met een concreet actieplan.
• Begeleiding bij het opzetten van het ISMS, van risicobeoordeling tot directiebeoordeling.
• Interne audits volgens ISO 27001.
• Voorbereiding op de certificatie-audit.

SecurityAdvice is geen certificatie-instelling. We bereiden u voor, de certificatie-audit gebeurt door een onafhankelijke, geaccrediteerde instelling.