Get 4 FREE months of Conformio to implement ISO 27001
ISO 27001 is een internationale norm gepubliceerd door de Internationale Standaardisatie Organisatie (ISO) en het beschrijft hoe informatiebeveiliging in een bedrijf kan worden beheerst. De meest recente versie van deze norm werd gepubliceerd in 2013, en de volledige titel is nu ISO/IEC 27001:2013. De eerste herziening van de norm werd in 2005 gepubliceerd, en het was ontwikkeld op basis van de Britse norm BS 7799-2.
ISO 27001 kan in elke organisatie worden geïmplementeerd, profit of non-profit, privaat of in het bezit van de staat, klein of groot. Het is geschreven door ‘s werelds beste experts op het gebied van informatiebeveiliging en levert de methodologie voor de implementatie van informatiebeveiliging in een organisatie. Het stelt ook bedrijven in staat zich te certificeren, hetgeen betekent dat een onafhankelijke instantie dan bevestigt heeft dat de organisatie informatiebeveiliging heeft ingevoerd in lijn met de ISO 27001.
ISO 27001 is de meest populaire informatiebeveiligingsnorm wereldwijd en veel bedrijven hebben zich ertegen gecertificeerd – hier ziet u het aantal gecertificaten in de afgelopen jaren:
Bron: Het ISO-onderzoek van Management Systeem Standaard Certificaties
De focus van de ISO 27001 is om de vertrouwelijkheid, integriteit en de beschikbaarheid van de informatie in een bedrijf te beschermen. Dit wordt gedaan door potentiële problemen te achterhalen die kunnen gebeuren met de informatie (bijv. risicobeoordeling), en dan bepalen wat er gedaan dient te worden om dergelijke problemen te voorkomen (bijv. risicomitigatie of risico- behandeling).
Kortom, de basisfilosofie van de ISO 27001 is gebaseerd op het beheersen van risico’s: achterhalen waar de risico’s liggen, en ze dan systematisch behandelen:
De waarborgen (of maatregelen) die zijn ingevoerd komen meestal in de vorm van beleid, procedures en technische implementaties (bijv. software en apparatuur). Alhoewel, in de meeste gevallen hebben bedrijven alle hard- en software geregeld, maar gebruiken ze deze op een onveilige wijze – daarom gaat de grootste deel van de ISO 27001 implementatie over het stellen van organisatorische richtlijnen (bijv. geschreven documenten) die nodig zijn om beveiligingsinbreuken te voorkomen.
Omdat een dergelijke implementatie meerdere beleidsstukken, procedures, mensen, bedrijfsmiddelen, enz. vereist om te worden beheerst, ISO 27001 omschrijft hoe al deze elementen in te passen zijn in het informatiebeveiligings-managementsysteem (ISMS).
Dus informatiebeveiliging betreft niet alleen IT security (bijv. firewalls, anti-virus, enz.) – het gaat ook om het beheersen van processen, juridische bescherming, beheersing van human resources, fysieke bescherming, enz.
Zie ook De basis logica van ISO 27001: Hoe werkt informatiebeveiliging?
Er zijn 4 belangrijke zakelijke voordelen die een bedrijf kan behalen met de implementatie van deze informatiebeveiligingsnorm:
Voldoen aan juridische vereisten – Er zijn steeds meer wetten, regelgeving en contractuele vereisten in relatie tot informatiebeveiliging, en het goede nieuws is dat het meeste kan worden opgelost door het invoeren van de ISO 27001 – deze norm levert een perfecte methodologie om aan al deze te voldoen.
Marketingvoordeel bereiken – indien uw bedrijf gecertificeerd is en uw concurrenten niet, dan kunt u het voordeel hebben ten opzichte van hen in de ogen van de klanten die gevoelig zijn voor het veilig bewaren van hun informatie.
Lagere kosten – de basis filosofie van de ISO 27001 is het voorkomen van het optreden van beveiligingsincidenten; en elk incident, groot of klein, ze kosten geld – Kortom, door ze te voorkomen bespaart u uw bedrijf zo een hoop geld. En het beste van alles – de investering in de ISO 27001 is veel kleiner dan de kostenbesparing die u zult bereiken.
Betere organisatie – specifiek, snel groeiende bedrijven hebben niet de tijd om een pauze in te lassen en hun processen en procedures te bepalen – als een gevolg daarvan, weten werknemers niet wat er gedaan dient te worden, wanneer, en door wie. Implementatie van de ISO 27001 helpt een dergelijke situatie op te lossen omdat het bedrijven aanmoedigt hun eigen hoofdprocessen te beschrijven (zelfs als deze niet gerelateerd zijn aan informatiebeveiliging), hen in staat te stellen de verloren tijd van hun werknemers te verminderen.
Zie ook Gratis Return on Security Investment Calculator
Belangrijk, informatiebeveiliging is onderdeel van integraal risicomanagement in een bedrijf, met overlappende gebieden met cybersecurity, bedrijfscontinuïteits- en IT-management:
ISO/IEC 27001 is verdeeld in 11 secties en Bijlage A, waar secties 0 tot 3 de inleiding vormen (en niet verplicht zijn voor implementatie), terwijl sectie 4 tot 10 verplicht zijn – dit houdt in dat alle vereisten dienden te worden geïmplementeerd in een organisatie indien het wil voldoen aan de norm. Maatregelen uit Bijlage A dienen alleen te worden ingevoerd indien van toepassing verklaard in de Verklaring van Toepasselijkheid.
Volgens de Bijlage SL van de Internationale Organisatie van Standaardisering Richtlijnen, de sectietitels in ISO27001 zijn hetzelfde als in de ISO 22301:2012, in de nieuwe ISO 9001:2015, en andere managementnormen, om in staat te zijn deze normen te integreren.
Sectie 0: Introductie – verklaart het doel van de ISO 27001 en de comptabiliteit met andere managementnormen.
Sectie 1: Toepassingsgebied – verklaart dat deze norm van toepassing is op iedere organisatie.
Sectie 2: Normatieve verwijzingen – verwijst naar ISO/IEC 27000 als een norm waar termen en definities worden gegeven.
Sectie 3: Termen en definities – wederom, verwijst naar ISO/IEC 27000.
Sectie 4: Context van de organisatie – deze sectie is onderdeel van de Planfase in de PDCA-cyclus en bepaalt vereisten voor het begrijpen van externe en interne issues, belanghebbende partijen en hun vereisten, en definiëren het ISMS-toepassingsgebied.
Sectie 5: Leiderschap – deze sectie is onderdeel van de Planfase in de PDCA- cyclus en definieert de verantwoordelijkheden van de directie, het stellen van rollen en verantwoordelijkheden, en inhoud van het top-level Informatie-beveiligingsbeleid.
Sectie 6: Planning – deze sectie is onderdeel van de Planfase in de PDCA-cyclus en definieert vereisten voor risicobeoordeling, risicobehandeling, Verklaring van Toepasselijkheid, en het stellen van informatiebeveiligingsdoelstellingen.
Sectie 7: Ondersteuning – deze sectie is onderdeel van de Planfase in de PDCA- cyclus en definieert vereisten voor de beschikbaarheid van middelen, competenties en bewustzijn, communicatie, en het beheer van documenten en registraties.
Sectie 8: Operatie – deze sectie is onderdeel van de Do-fase in de PDCA-cyclus en definieert de implementatie van risicobeoordeling en -behandeling, als ook maatregelen en andere processen nodig om informatiebeveilingsdoelstellingen te behalen.
Sectie 9: Prestatie-evaluatie – deze sectie is onderdeel van de Check-fase van de PDCA-cyclus en definieert vereisten voor bewaking, metingen, analyses, evaluatie, interne audit en directiebeoordelingen.
Sectie 10: Verbetering – deze sectie is onderdeel van de Act-fase van de PDCA-cyclus en definieert vereisten voor afwijkingen, correcties, correctieve maatregelen en constant verbetering.
Bijlage A – deze bijlage levert een catalogus van 114 maatregelen (safeguards) in 14 secties geplaatst (secties A.5 tot A.18).
Zie ook: Is de PDCA-Cyclus verwijderd uit de nieuwe ISO-normen?
Om ISO 27001 te implementeren in een bedrijf, dient u de volgende 16 stappen te volgen:
Voor meer gedetailleerde uitleg van deze stappen zie ISO 27001 implementatie checklist.
ISO 27001 vereist dat de volgende documentatie wordt geschreven:
En deze zijn verplichte registraties:
Natuurlijk, een bedrijf kan beslissen additionele beveiligingsdocumenten te schrijven indien het dat noodzakelijk vindt.
Twee soorten van ISO 27001 certificaten bestaan: (a) voor organisatie, en (b) voor individuen. Organisaties kunnen worden gecertificeerd door te bewijzen dat zij in lijn zijn met alle verplichte clausules van de norm; individuen kunnen de opleiding volgen en slagen om te worden gecertificeerd.
Om als organisatie te worden gecertificeerd, dient het de norm te implementeren als is uitgelegd in de voorgaande secties, en dan de certificatie audit ondergaan die wordt uitgevoerd door een certificerende instantie. De certificatie audit wordt uitgevoerd in de volgende stappen:
Zie ook Word ISO 27001 gecertificeerd – Hoe voor te bereiden op de certificatieaudit.
Individuen kunnen ook verschillende opleidingen volgen om de certificaten te verkrijgen – de meest populaire zijn:
Zie ook: Hoe te leren over ISO 27001.
Als eerder genoemd, ISO 27001 werd voor het eerst gepubliceerd in 2005 en was herzien 2013 – Dus, de huidig geldige versie is ISO/IEC 27001:2013.
De meest belangrijke veranderingen in de herziene versie van 2013 hangen samen met de structuur van het hoofdgedeelte van de norm, belanghebbende partijen, doelstellingen, bewaking en metingen; ook, in de Bijlage A is het aantal beheersmaatregelen verminderd van 133 naar 114 en is het aantal secties verhoogd van 11 naar 14. Enkele vereisten zijn verwijderd uit de herziene versie van 2013, zoals preventieve maatregelen en de vereisten om bepaalde procedures te documenteren.
Zie ook Infographic: New ISO 27001 2013 revisie – Wat is veranderd?
Echter, al deze wijzigingen veranderde de norm eigenlijk niet veel over het geheel genomen – de basis filosofie is nog steeds gebaseerd op risicobeoordeling en -behandeling, en de zelfde fasen in de the Plan-Do-Check-Act fasen werden gehandhaafd. Deze nieuwe herziening van de norm is makkelijker te lezen en te begrijpen, en het is veel gemakkelijker te integreren met andere managementnormen zoals ISO 9001, ISO 22301, enz.
De bedrijven die gecertificeerd zijn tegen de ISO/IEC 27001:2005 dienen een overgang te maken naar de herziening van nieuwe 2013 tot september 2015 indien men het certificaat geldig wil houden. Zie hier hoe dat te doen: Hoe de transitie te maken van de ISO 27001 2005 revisie naar de 2013 versie.
ISO/IEC 27002 levert richtlijnen voor de implementatie van maatregelen aangegeven in ISO 27001. ISO 27001 onderscheidt 114 beheersmaatregelen die kunnen worden ingezet om beveiligingsrisico’s te verminderen, en ISO 27002 kan heel bruikbaar zijn omdat het details levert over hoe deze maatregen in te voeren. ISO 27002 stond eerder bekend als ISO/IEC 17799, en kwam voort uit de Britse norm BS 7799-1.
ISO/IEC 27004 levert richtlijnen voor het meten van de informatiebeveiliging – het past goed bij de ISO 27001 omdat het uitlegt hoe het ISMS de doelstellingen heeft behaald.
ISO/IEC 27005 levert richtlijnen voor informatiebeveiliging risicomanagement. Het is een erg goed supplement voor ISO 27001 omdat het geeft details over hoe een risicobeoordeling en risicobehandeling uit te voeren, waarschijnlijk de meest moeilijke fase van de implementatie. ISO 27005 komt voort uit de Britse norm BS 7799-3.
ISO 22301 definieert de vereisten voor bedrijfscontinuïteits-managementsystemen – het past goed bij de ISO 27001 omdat A.17 van de ISO 27001 bedrijfscontinuïteit vereist om te worden geïmplementeerd alhoewel het niet al teveel details geeft. Leer hier meer over de ISO 22301…
ISO 9001 definieert de vereisten voor kwaliteitsmanagementsystemen – alhoewel op het eerste gezicht hebben kwaliteitsmanagement en informatiebeveiliging niet zoveel gemeen, het feit is dat circa 25% van de ISO 27001 en ISO 9001 vereisten zijn hetzelfde: documentbeheer, interne audit, directiebeoordeling, corrigerende maatregelen, doelstellingen bepalen, en beheer van competenties. Dit betekent dat indien een bedrijf ISO 9001 heeft geïmplementeerd, het er een gemakkelijker klus aan heeft om de ISO 27001 te implementeren. Leer hier meer over de …
Om meer te weten te komen over ISO 27001 implementatie, bezoek onze ISO 27001 Gratis download pagina. U zult veel nuttige bronnen vinden.
