ISO 27001 Informatiebeveiligingsbeheer

ISO 27001 is de internationale standaard voor managementsystemen voor informatiebeveiliging (ISMS). Het biedt een systematische aanpak voor het beheren van gevoelige informatie, inclusief mensen, processen en technologische maatregelen. Organisaties kunnen de ISO 27001-certificering behalen via onafhankelijke audits, waarmee ze aan klanten en partners aantonen dat ze voldoen aan wereldwijd erkende beveiligingsnormen.

Wie heeft ISO 27001 nodig?

ISO 27001 is vrijwillig, maar wordt op grote schaal toegepast door:

• Technologieleveranciers: SaaS-bedrijven, cloudproviders en softwareontwikkelaars die hun beveiliging willen bewijzen aan zakelijke klanten

• Dienstverleners: IT-dienstverleners, managed security providers en adviesbureaus die klantgegevens verwerken

• Financiële instellingen: Banken, betalingsverwerkers en fintech-bedrijven die een sterke beveiligingshouding vereisen

• Gezondheidszorgorganisaties: Aanbieders die medische patiëntgegevens beheren

• Overheidsleveranciers: Organisaties die werken met publieke entiteiten die een ISO 27001-certificering vereisen

• Partners in de toeleveringsketen: Leveranciers die willen voldoen aan beveiligingseisen in aanbestedingen of contracten

Hoewel het in de meeste rechtsgebieden niet wettelijk verplicht is, is ISO 27001 vaak een contractuele vereiste, een concurrentievoordeel of een voorwaarde om zaken te kunnen doen in gereguleerde industrieën.

Structuur van ISO 27001

De standaard bestaat uit twee hoofdonderdelen:

Hoofdclausules (4-10): Eisen voor het vaststellen, implementeren, onderhouden en continu verbeteren van een ISMS

• Clausule 4: Context van de organisatie

• Clausule 5: Leiderschap en betrokkenheid

• Clausule 6: Planning (risicobeoordeling en -behandeling)

• Clausule 7: Ondersteuning (middelen, competentie, communicatie)

• Clausule 8: Uitvoering (implementatie van risicobehandeling)

• Clausule 9: Evaluatie van de prestaties (monitoring, audit, beoordeling)

• Clausule 10: Verbetering (afwijkingen en corrigerende maatregelen)

Annex A: 93 beheersmaatregelen verdeeld over 4 thema's (organisatorisch, personeel, fysiek, technologisch)

De vier thema's van Annex A

ISO 27001:2022 organiseert 93 beheersmaatregelen in thematische categorieën:

Organisatorische maatregelen (37 maatregelen):

• Beleid voor informatiebeveiliging

• Beheer van bedrijfsmiddelen en acceptabel gebruik

• Toegangscode en scheiding van taken

• Leveranciersrelaties en beveiliging van derden

• Incidentmanagement en bedrijfscontinuïteit

• Naleving en wettelijke vereisten

Personeelsmaatregelen (8 maatregelen):

• Screening en arbeidsovereenkomsten

• Bewustwording en training op het gebied van beveiliging

• Disciplinaire procedure

• Beëindiging of wijziging van het dienstverband

Fysieke maatregelen (14 maatregelen):

• Beveiliging van de perimeter en toegangscontrole

• Beveiligde zones en bescherming van apparatuur

• Clean desk- en clear screen-beleid

• Verwijdering van apparatuur en omgang met media

Technologische maatregelen (34 maatregelen):

• Endpoint- en netwerkbeveiliging

• Cryptografie en sleutelbeheer

• Backup en logging

• Vulnerability management en bescherming tegen malware

• Veilige ontwikkelingslevenscyclus (SDLC)

• Configuratiebeheer en patchbeheer

Risicogebaseerde aanpak

ISO 27001 vereist een systematisch proces voor risicomanagement:

1. Vaststellen van de context: Definieer het toepassingsgebied, de grenzen en de belanghebbenden

2. Risicobeoordeling: Identificeer activa, bedreigingen en kwetsbaarheden, en bereken de risiconiveaus

3. Risicobehandeling: Selecteer beheersmaatregelen uit Annex A of andere bronnen om risico's te beperken

4. Verklaring van Toepasselijkheid (SoA): Documenteer welke maatregelen zijn geïmplementeerd en waarom

5. Risicobehandelplan: Definieer wie de maatregelen implementeert, wanneer en hoe

Organisaties hoeven niet alle 93 Annex A-maatregelen te implementeren — alleen de maatregelen die relevant zijn voor hun risicoprofiel. Uitsluitingen moeten echter worden gemotiveerd in de Verklaring van Toepasselijkheid.

Plan-Do-Check-Act cyclus

ISO 27001 volgt een model voor continue verbetering:

• Plan (Plannen): Stel de reikwijdte van het ISMS, het beleid, de doelstellingen en de risicobeoordeling vast

• Do (Uitvoeren): Implementeer maatregelen, train personeel en voer het risicobehandelplan uit

• Check (Controleren): Monitor de maatregelen, voer interne audits uit en beoordeel de prestaties

• Act (Verbeteren): Pak afwijkingen aan, update maatregelen en verbeter processen

Deze iteratieve aanpak zorgt ervoor dat het ISMS zich aanpast aan veranderende bedreigingen, zakelijke behoeften en technologische ontwikkelingen.

Certificeringsproces

Het behalen van een ISO 27001-certificering omvat doorgaans:

1. Gap-analyse: Beoordeel de huidige status ten opzichte van de ISO 27001-vereisten

2. ISMS-ontwerp: Definieer de reikwijdte, stel het beleid vast en voer de risicobeoordeling uit

3. Implementatie: Implementeer maatregelen, train personeel en documenteer processen (3-12 maanden)

4. Interne audit: Test de effectiviteit van de maatregelen en identificeer verbeterpunten

5. Managementbeoordeling: Het management evalueert de prestaties van het ISMS

6. Fase 1-audit (documentatiebeoordeling): Een externe auditor beoordeelt de ISMS-documentatie

7. Fase 2-audit (implementatiebeoordeling): Een externe auditor test de maatregelen ter plaatse

8. Certificering: Certificaat wordt afgegeven voor 3 jaar, met jaarlijkse surveillance-audits

Recertificeringsaudits vinden elke 3 jaar plaats.

Veelvoorkomende documentatie-eisen

ISO 27001 vereist specifieke gedocumenteerde informatie:

• Verplicht beleid: Informatiebeveiligingsbeleid, methodologie voor risicobeoordeling, risicobehandelplan

• Verklaring van Toepasselijkheid: Selectie van maatregelen en motivering

• Registraties van risicobeoordeling en -behandeling

• Procedures: Incidentrespons, toegangsbeheer, wijzigingsbeheer, back-up, monitoring

• Bewijsmateriaal: Auditlogs, trainingsgegevens, risicobeoordelingen, incidentrapporten, corrigerende maatregelen

Organisaties produceren doorgaans 20-50 beleidsregels en procedures, afhankelijk van de reikwijdte en complexiteit.

ISO 27001:2022 vs. 2013

De herziening van 2022 heeft belangrijke wijzigingen doorgevoerd:

• Aantal maatregelen verminderd van 114 naar 93 (geconsolideerd en gemoderniseerd)

• Gereorganiseerd van 14 domeinen naar 4 thema's

• 11 nieuwe maatregelen toegevoegd (threat intelligence, cloudbeveiliging, datamaskering, webfiltering, veilig programmeren)

• Afgestemd op de richtlijnen van ISO 27002:2022

• Versterkte focus op privacy, de toeleveringsketen en opkomende technologieën

Organisaties die gecertificeerd zijn volgens ISO 27001:2013 hadden tot oktober 2025 de tijd om over te stappen op de 2022-standaard.

Hoe ISMS Copilot helpt

ISMS Copilot biedt ondersteuning over het hele spectrum voor de implementatie en certificering van ISO 27001:

• Vragen over specifieke maatregelen: Stel vragen over elke Annex A-maatregel (bijv. "Leg ISO 27001 A.8.1 uit over eindapparaten van gebruikers")

• Beleidsgeneratie: Creëer audit-ready beleid voor elke beheersmaatregel of vereiste

• Risicobeoordelingen: Genereer kaders voor risicobeoordeling, activalijsten en risicobehandelplannen

• Gap-analyse: Upload bestaande beleidsregels om hiaten in de dekking ten opzichte van Annex A te identificeren

• Verklaring van Toepasselijkheid: Bouw SoA-documenten die maatregelen koppelen aan risico's

• Bewijsgeneratie: Maak sjablonen voor procedures, checklists en nalevingsrecords

• Voorbereiding interne audit: Ontwikkel audit-checklists en testscripts

• Projectorganisatie: Beheer certificeringsprojecten los van het operationele beveiligingswerk

De AI heeft directe kennis van alle 93 Annex A-maatregelen en kan verwijzen naar specifieke nummers in de antwoorden.

Aan de slag

Om te beginnen met de ISO 27001-implementatie via ISMS Copilot:

1. Maak een speciale werkruimte aan voor uw ISO 27001-project

2. Definieer de reikwijdte en grenzen van uw ISMS

3. Vraag de AI om u te helpen bij het opstellen van een informatiebeveiligingsbeleid (op hoofdniveau)

4. Genereer een document voor de methodologie van de risicobeoordeling

5. Voer een gap-analyse uit door bestaande beveiligingsbeleidsregels te uploaden

6. Maak beleidsregels voor toepasbare Annex A-maatregelen op basis van uw risicobeoordeling

7. Documenteer uw Verklaring van Toepasselijkheid (SoA)

8. Genereer procedures voor operationele maatregelen (incidentrespons, back-up, toegangsbeheer)

Gerelateerde bronnen

• Officiële ISO 27001:2022-standaard (te koop bij ISO of nationale normalisatie-instituten)

• ISO 27002:2022 richtlijnen voor implementatie

• ISO 27005 richtlijnen voor risicomanagement

• Registers van certificatie-instellingen (UKAS, ANAB, accreditatie-instanties)