Informatiebeveiliging is voor vrijwel iedere organisatie een belangrijk thema. Klantgegevens, financiële informatie, technische documentatie en interne bestanden moeten goed worden beschermd tegen verlies, misbruik en ongeautoriseerde toegang.
ISO 27001 helpt organisaties om informatiebeveiliging structureel te organiseren. Maar wat moet je precies regelen om aan de norm te voldoen? Met deze praktische ISO 27001-checklist krijg je inzicht in de belangrijkste stappen richting een goed ingericht Information Security Management System (ISMS) en ISO 27001-certificering.
Wat is ISO 27001?
ISO 27001 is de internationale norm voor het opzetten, implementeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS).
Met een ISMS brengt een organisatie risico’s rondom informatiebeveiliging in kaart en worden passende maatregelen genomen om deze risico’s te beheersen. Daarbij draait het om drie belangrijke pijlers:
- Vertrouwelijkheid: informatie is alleen toegankelijk voor bevoegde personen.
- Integriteit: informatie blijft juist, volledig en betrouwbaar.
- Beschikbaarheid: informatie en systemen zijn beschikbaar wanneer dat nodig is.
ISO 27001 gaat daarmee verder dan alleen technische beveiliging. Ook beleid, processen, medewerkers, leveranciers en verantwoordelijkheden maken onderdeel uit van de aanpak.
Checklist ISO 27001: stap voor stap
Een ISO 27001-implementatie hoeft niet onnodig ingewikkeld te zijn. Door het traject gestructureerd aan te pakken, houd je overzicht en werk je stap voor stap richting certificering.
Breng eerst de interne en externe context van jouw organisatie in kaart. Denk aan wet- en regelgeving, eisen van klanten, technologische ontwikkelingen en andere factoren die invloed hebben op informatiebeveiliging.
Bepaal daarnaast de scope van het ISMS. Geldt ISO 27001 voor de volledige organisatie of bijvoorbeeld alleen voor bepaalde diensten, locaties of afdelingen? Een duidelijke scope voorkomt onduidelijkheid tijdens de implementatie en certificeringsaudit.
Bepaal welke belanghebbenden relevant zijn voor jouw ISMS. Denk aan klanten, medewerkers, leveranciers, opdrachtgevers en toezichthouders.
Breng vervolgens in kaart welke eisen en verwachtingen zij hebben op het gebied van informatiebeveiliging. Zo weet je met welke verplichtingen jouw organisatie rekening moet houden.
Onderzoek in hoeverre jouw organisatie al voldoet aan ISO 27001. Tijdens een nulmeting of gap-analyse vergelijk je bestaande processen, documenten en beveiligingsmaatregelen met de eisen van de norm.
Hierdoor wordt duidelijk wat al goed geregeld is en waar nog verbeteringen nodig zijn. Dit vormt een praktisch vertrekpunt voor de implementatie.
De risicoanalyse vormt een belangrijk onderdeel van het ISMS. Breng in kaart welke bedreigingen invloed kunnen hebben op jouw informatie.
Denk bijvoorbeeld aan:
- datalekken
- phishing en cyberaanvallen
- ongeautoriseerde toegang
- menselijke fouten
- uitval van systemen
- verlies of diefstal van apparatuur
Beoordeel vervolgens de kans en impact van deze risico’s. Op basis daarvan bepaal je welke risico’s acceptabel zijn en welke behandeld moeten worden.
Leg in een informatiebeveiligingsbeleid vast hoe jouw organisatie met informatiebeveiliging omgaat. Beschrijf onder andere de uitgangspunten, verantwoordelijkheden en doelstellingen.
Zorg dat doelstellingen waar mogelijk meetbaar zijn. Hierdoor kun je later beoordelen of het ISMS daadwerkelijk het gewenste resultaat oplevert.
Voor risico’s die behandeld moeten worden, bepaal je passende beveiligingsmaatregelen. Leg in een risicobehandelplan vast welke acties worden uitgevoerd, wie verantwoordelijk is en wanneer deze moeten zijn afgerond.
ISO 27001:2022 bevat daarnaast 93 beheersmaatregelen in Annex A. Deze zijn verdeeld over organisatorische, mensgerichte, fysieke en technologische maatregelen.
Je hoeft niet automatisch alle maatregelen toe te passen. Je bepaalt op basis van jouw risico’s welke maatregelen relevant zijn en onderbouwt deze keuzes in de Statement of Applicability (SoA).
Informatiebeveiliging is niet alleen een taak van de IT-afdeling. Van directie tot medewerkers: iedereen heeft een eigen verantwoordelijkheid.
Leg daarom duidelijk vast wie verantwoordelijk is voor bijvoorbeeld risicobeheer, toegangsrechten, incidenten, leveranciers en het onderhouden van het ISMS.
ISO 27001 vraagt dat belangrijke processen en afspraken aantoonbaar zijn vastgelegd. Zorg daarom dat relevante beleidsdocumenten, procedures en registraties actueel en toegankelijk zijn.
Denk bijvoorbeeld aan toegangsbeleid, incidentregistraties, leveranciersbeoordelingen, auditrapportages en risicoanalyses.
Documenteer wat nodig is, maar voorkom onnodige bureaucratie. Het ISMS moet vooral werkbaar blijven voor jouw organisatie.
Een groot deel van informatiebeveiliging draait om menselijk gedrag. Medewerkers moeten daarom begrijpen welke risico’s er zijn en wat van hen wordt verwacht.
Organiseer bijvoorbeeld bewustwording rondom phishing, wachtwoordgebruik, het delen van informatie en het melden van beveiligingsincidenten.
Zo wordt informatiebeveiliging een gezamenlijke verantwoordelijkheid binnen de organisatie.
Zorg voor een duidelijke procedure voor beveiligingsincidenten. Medewerkers moeten weten waar en hoe zij een incident kunnen melden.
Incidenten moeten vervolgens worden geregistreerd, beoordeeld en opgevolgd. Door incidenten achteraf te analyseren, kun je bovendien maatregelen nemen om herhaling te voorkomen.
Na de implementatie moet je blijven controleren of het ISMS effectief werkt. Gebruik bijvoorbeeld periodieke controles, prestatie-indicatoren en evaluaties om inzicht te krijgen in de werking van de beveiligingsmaatregelen.
ISO 27001 draait namelijk niet alleen om het invoeren van maatregelen, maar ook om continu verbeteren.
Met een interne audit controleer je of het ISMS voldoet aan de eisen van ISO 27001 en of afspraken in de praktijk daadwerkelijk worden nageleefd.
Eventuele afwijkingen en verbeterpunten leg je vast en volg je op. Zo kun je problemen oplossen voordat de externe certificeringsaudit plaatsvindt.
Het management moet periodiek beoordelen of het ISMS nog passend en effectief is.
Tijdens deze directiebeoordeling wordt onder andere gekeken naar risico’s, incidenten, auditresultaten, doelstellingen, prestaties en verbeteracties. Hiermee wordt informatiebeveiliging ook op strategisch niveau geborgd.
Wanneer het ISMS volledig is ingericht en aantoonbaar werkt, kan de certificeringsaudit plaatsvinden.
Een onafhankelijke certificerende instelling beoordeelt hierbij zowel de documentatie als de toepassing van het ISMS in de praktijk. Wanneer jouw organisatie aan de certificeringseisen voldoet, kan het ISO 27001-certificaat worden afgegeven.
“De investering is het echt wel driedubbel waard geweest.”
Voor Joshua Bax begon certificering als een manier om zich te onderscheiden in een markt [...]
ARQ Intelligence zet volgende stap met VCA*-certificering
ARQ Intelligence is een jong en snelgroeiend bedrijf binnen de infrastructuur. De organisatie helpt netbeheerders [...]
George Pisa & Zn. Tailleurs behaalde ISO 9001 en ISO 14001: “Super efficiënt en snel”
Voor George Pisa & Zn. Tailleurs waren ISO 9001 en ISO 14001 geen doel op zich, maar [...]
Veelvoorkomende valkuilen bij ISO 27001
Bij de implementatie zien we een aantal valkuilen regelmatig terug:
- te veel aandacht voor techniek en te weinig voor processen en medewerkers;
- onvoldoende betrokkenheid vanuit het management;
- onduidelijke verantwoordelijkheden;
- documentatie die niet aansluit op de dagelijkse praktijk;
- risicoanalyses die na uitvoering niet meer worden bijgewerkt;
- verbeterpunten uit audits die onvoldoende worden opgevolgd.
Een ISMS werkt het beste wanneer informatiebeveiliging onderdeel wordt van de dagelijkse bedrijfsvoering, in plaats van iets dat alleen voor de certificeringsaudit wordt bijgehouden.
Wat levert ISO 27001 jouw organisatie op?
Een goed ingericht ISMS helpt je niet alleen om een ISO 27001-certificaat te behalen. Het zorgt vooral voor meer grip op informatiebeveiligingsrisico’s.
Je maakt verantwoordelijkheden duidelijk, verkleint de kans op beveiligingsincidenten en kunt richting klanten en opdrachtgevers aantonen dat informatiebeveiliging structureel wordt aangepakt.
Daarnaast helpt het ISMS jouw organisatie om zich continu aan te passen aan nieuwe risico’s, ontwikkelingen en veranderingen.
Ondersteuning bij ISO 27001-implementatie
Wil je ISO 27001 implementeren zonder onnodige complexiteit? Bij Diks Process Support begeleiden wij organisaties stap voor stap bij het opzetten, implementeren en onderhouden van een ISMS.
Van nulmeting en risicoanalyse tot interne audit en voorbereiding op certificering: we zorgen voor een praktische aanpak die aansluit bij jouw organisatie.
Neem gerust contact met ons op voor een vrijblijvend adviesgesprek.
Adviesgesprek aanvragen Of bel 085 369 6562