Wat is ISO 27001?

Wat vraagt ISO 27001?

ISO 27001 schrijft geen vaste set maatregelen voor, maar een manier van werken. De organisatie bepaalt de scope, inventariseert welke informatie ze heeft en welke risico's daarop spelen, kiest maatregelen en legt vast waarom. Daarna volgen interne audits, een beoordeling door de directie en verbeteringen: een cyclus die elk jaar terugkomt.

De maatregelen kiest de organisatie uit een bijlage bij de norm. In de huidige versie, ISO/IEC 27001:2022, zijn dat 93 maatregelen in vier thema's: organisatorisch, mensen, fysiek en technologisch. Voorbeelden zijn toegangsbeheer, versleuteling, back-ups, leveranciersbeheer en bewustwording van medewerkers. Certificaten volgens de oude versie uit 2013 zijn na de overgangsperiode vervallen.

Wat zegt een certificaat?

Een geaccrediteerde certificatie-instelling toetst of de organisatie aan de norm voldoet; in Nederland accrediteert de Raad voor Accreditatie die instellingen. Een certificaat is drie jaar geldig, met jaarlijkse controles. Het zegt dat de organisatie haar informatiebeveiliging beheerst binnen de scope die op het certificaat staat, niet dat er nooit iets misgaat.

Waarom is het belangrijk bij het kiezen van software?

Bij SaaS staan je gegevens bij de leverancier. Een ISO 27001-certificaat is een snelle manier om te beoordelen of hij dat serieus aanpakt, en organisaties die onder NIS2 vallen moeten hun leveranciers op beveiliging beoordelen. Vraag het certificaat op, controleer de scope en de geldigheid, en kijk of de dienst die jij afneemt eronder valt.