ISO 27001

Erkende norm

ISO/IEC 27001 is een internationale norm die eisen stelt aan het opzetten, implementeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS). Deze norm is gericht op het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie binnen een organisatie door middel van een systematische risicobeoordeling en de toepassing van passende beheersmaatregelen. Deze norm is de basis voor het certificeren van organisaties om daarmee aan te tonen dat zij op gestructureerde en gecontroleerde wijze omgaan met informatiebeveiliging.
Een ISMS is een samenhangend stelsel van beleid, processen, procedures en middelen dat gericht is op het beheersen van informatiebeveiligingsrisico’s. De kernbegrippen vertrouwelijkheid, integriteit en beschikbaarheid betekenen respectievelijk dat informatie alleen toegankelijk is voor bevoegden, niet ongewenst wordt gewijzigd en beschikbaar is wanneer nodig.
Om deze doelen te bereiken, vereist ISO 27001 een systematische risicobeoordeling, waarbij risico’s worden geïdentificeerd, geanalyseerd en geëvalueerd. Op basis hiervan worden beheersmaatregelen gekozen om risico’s te beperken. Deze maatregelen zijn deels vastgelegd in Annex A, een bijlage bij de norm met een overzicht van 114 mogelijke maatregelen verdeeld over 14 domeinen. De gekozen maatregelen worden vastgelegd in een toepassingsverklaring, waarin ook wordt verantwoord waarom bepaalde maatregelen wel of niet worden toegepast.
Het hele ISMS wordt ingericht binnen een duidelijke scope, die bepaalt welke processen, systemen en onderdelen van de organisatie onder het systeem vallen. De effectiviteit van het ISMS wordt bewaakt en verbeterd volgens de PDCA-cyclus (Plan-Do-Check-Act), waarmee organisaties streven naar continue verbetering. De implementatie van ISO 27001 kan worden getoetst door een onafhankelijke partij, wat leidt tot certificering indien aan alle eisen is voldaan.