ISO 27001 en het ISMS

Het ISMS werkt volgens de PDCA-cyclus voor voortdurende verbetering:

• Plannen — het toepassingsgebied, beleid, de risicobeoordeling en risicobehandeling van het ISMS vaststellen.
• Uitvoeren — de gekozen beheersmaatregelen en processen implementeren.
• Controleren — prestaties bewaken, audits uitvoeren en prestaties meten.
• Handelen — afwijkingen corrigeren en verbeteren.

Deze cyclus verklaart waarom certificering geen eenmalige gebeurtenis is; auditors verwachten bewijs dat de cyclus daadwerkelijk draait.

ISO 27001 is fundamenteel risicogestuurd. Je brengt risico's voor vertrouwelijkheid, integriteit en beschikbaarheid in kaart en bepaalt vervolgens hoe je elk risico behandelt.

De vier standaardopties voor risicobehandeling:

Een kenmerkend ISO 27001-document is de Statement of Applicability (SoA). Het vermeldt elke beheersmaatregel uit de referentieset van de norm en legt vast:

• of de beheersmaatregel van toepassing is;
• of deze is geïmplementeerd;
• de reden voor opname of uitsluiting.

De SoA koppelt je risicobeoordeling aan je beheersmaatregelen en is een van de eerste documenten die een auditor onderzoekt. Een beheersmaatregel uitsluiten mag, maar je moet motiveren waarom.

ISO 27001 verwijst naar een catalogus met beheersmaatregelen in Annex A, die nader zijn uitgewerkt in de bijbehorende handleiding ISO 27002. De herziening uit 2022 heeft ze opnieuw ingedeeld in vier thema's:

• Organisatorische beheersmaatregelen (beleid, leveranciersbeheer).
• Personele beheersmaatregelen (screening, bewustwording).
• Fysieke beheersmaatregelen (beveiligde ruimten, apparatuur).
• Technologische beheersmaatregelen (toegang, cryptografie, logregistratie).

Je selecteert welke van toepassing zijn op basis van je risicobeoordeling en legt dit vast in de SoA.

Bij het opbouwen van een ISMS definieer je al vroeg het toepassingsgebied: welke delen van de organisatie, systemen en informatie het ISMS omvat.

Het toepassingsgebied is van groot belang. Een beperkt toepassingsgebied (één productlijn) is sneller te certificeren maar beperkt; een breed toepassingsgebied (het hele bedrijf) is geloofwaardiger maar vergt meer werk. Op het certificaat staat het toepassingsgebied, en klanten lezen dit zorgvuldig, dus stem het eerlijk af op wat je kunt volhouden.

ISO 27001 vereist betrokkenheid van het topmanagement. De leiding moet het beveiligingsbeleid vaststellen, rollen toewijzen, middelen beschikbaar stellen en het ISMS beoordelen.

De norm is ook bewust documentatie-intensief: beleid, de risicobeoordeling, de SoA, procedures en registraties van bewaking. Auditors leven volgens de stelregel als het niet is gedocumenteerd, is het niet gebeurd. Bewijs vormt de basis van certificering.

Naast de beheersmaatregelen uit Annex A vereist certificering dat je voldoet aan de verplichte clausules 4 tot en met 10, die het managementsysteem zelf beschrijven:

• 4 Context, 5 Leiderschap, 6 Planning, 7 Ondersteuning.
• 8 Uitvoering, 9 Prestatie-evaluatie, 10 Verbetering.

Deze zijn niet optioneel. Je kunt de beheersmaatregelen uit Annex A aanpassen, maar aan alle clausules voor het managementsysteem moet zijn voldaan om te worden gecertificeerd.

De twee vullen elkaar aan en concurreren niet:

• ISO 27001 is certificeerbaar, internationaal erkend en legt de nadruk op het managementsysteem en bestuur.
• NIST CSF is vrijwillig en flexibel en legt de nadruk op praktische risicoresultaten binnen functies.

Veel organisaties gebruiken het CSF om operationele mogelijkheden te structureren en ISO 27001 om het programma te formaliseren en te certificeren. Hun sets met beheersmaatregelen sluiten op veel punten op elkaar aan.

Het ISMS bevat twee terugkerende controles die de PDCA-cyclus betrouwbaar houden:

• Interne audit — periodieke, onafhankelijke beoordeling van het ISMS aan de hand van ISO 27001 en je eigen beleid, om afwijkingen te vinden voordat de certificatie-instelling dat doet.
• Managementbeoordeling — de leiding beoordeelt formeel de prestaties van het ISMS, auditresultaten, incidenten en veranderingen in risico's en beslist vervolgens over verbeteringen en middelen.

Beide zijn verplicht. Het zijn de mechanismen die aantonen dat het managementsysteem leeft en geen statische map is.

ISO 27001 en het ISMS:

• ISO 27001 is een certificeerbare internationale norm rond het ISMS, een beheerd systeem voor het omgaan met risico's voor informatiebeveiliging.
• Het ISMS werkt volgens de PDCA-cyclus (Plannen, Uitvoeren, Controleren, Handelen) voor voortdurende verbetering.
• Het is risicogestuurd: beoordeel risico's en beperk, draag, vermijd of accepteer ze vervolgens.
• De Statement of Applicability koppelt risico's aan beheersmaatregelen uit Annex A (organisatorisch, personeel, fysiek, technologisch) en bevat de motivering.
• Verplichte clausules 4-10 regelen het managementsysteem; betrokkenheid van de leiding en documentatie zijn vereist. ISO 27001 vult het NIST CSF aan.