ISO 27001 management

ISO 27001 helpt directie en management om informatiebeveiliging via beleid, doelstellingen en strategie beheersbaar en controleerbaar te maken. Het management bepaalt welke informatie belangrijk is, welke beveiligingsrisico's aanvaardbaar zijn en welke maatregelen nodig zijn. Ook worden verantwoordelijkheden vastgelegd en medewerkers betrokken bij het veilig omgaan met informatie. Door de beveiliging regelmatig te beoordelen en waar nodig te verbeteren, houdt de organisatie grip op de bescherming van haar bedrijfsgegevens.

ISO 27001 maakt deel uit van de internationale ISO 27000-familie, een verzameling normen voor informatiebeveiliging. Binnen deze familie hebben verschillende normen ieder hun eigen functie. ISO 27000 geeft een overzicht van de gebruikte begrippen en definities. ISO 27001 beschrijft de eisen waaraan een managementsysteem voor informatiebeveiliging moet voldoen en vormt de basis voor certificering. ISO 27002 geeft praktische richtlijnen voor het kiezen en toepassen van beveiligingsmaatregelen. Samen bieden deze normen een gemeenschappelijk kader voor het organiseren en verbeteren van informatiebeveiliging.

Procesmatige informatiebeveiliging

IAO 27001 informatiebeveiliging is een investering in continuïteit en gemoedsrust. Een belangrijk kenmerk van ISO 27001 is de procesmatige opbouw van het managementsysteem. In een ISMS worden werkzaamheden, procedures, verantwoordelijkheden en controles op een gestructureerde manier vastgelegd. Hierdoor ontstaat een systematische werkwijze waarbij medewerkers volgens gemaakte afspraken handelen. De organisatie beoordeelt regelmatig of deze processen goed functioneren en of de beveiligingsmaatregelen voldoende bescherming bieden. Door deze aanpak wordt informatiebeveiliging niet beperkt tot afzonderlijke technische oplossingen, maar onderdeel van de dagelijkse bedrijfsprocessen.

Informatiebeveiliging gaat om het vermijden van mogelijke datalekken en van de financiële en juridische gevolgen daarvan. ISO 27001 richt zich op drie belangrijke eigenschappen van informatiebeveiliging: beschikbaarheid, integriteit en vertrouwelijkheid. Beschikbaarheid betekent dat bevoegde medewerkers toegang hebben tot informatie wanneer zij die nodig hebben. Integriteit houdt in dat informatie juist en volledig blijft en niet ongewenst wordt gewijzigd. Vertrouwelijkheid zorgt ervoor dat uitsluitend bevoegde personen toegang krijgen tot bepaalde gegevens. Deze drie uitgangspunten van de ISO 27001 informatiebeveiliging vormen samen de basis voor het beschermen van bedrijfsinformatie en persoonsgegevens en voor het het veiligstellen van andere waardevolle gegevens. Met ISO 27001 informatiebeveiliging en de maatreglelen van ISO 27001 creëert u een effectief schild tegen hackers phishing inbraken en andere dreigingen voor de integriteit van uw bedrijfsgegevens.

Risico's maatregelen en bescherming

Een belangrijk onderdeel van ISO 27001 is het uitvoeren van een risicoanalyse. Hierbij onderzoekt de organisatie welke bedreigingen en kwetsbaarheden de informatiebeveiliging in gevaar kunnen brengen. Vervolgens worden de risico's beoordeeld en passende maatregelen gekozen om deze te behandelen. Denk aan toegangsbeveiliging, versleuteling van gegevens, back-ups, controle van gebruikersrechten en het trainen van medewerkers. De gekozen maatregelen worden vastgelegd, uitgevoerd en regelmatig beoordeeld op hun werking. Zo ontstaat een beveiligingssysteem dat aansluit op de risico's en bedrijfsactiviteiten van de organisatie.

ISO 27001 helpt organisaties zich beter te beschermen tegen hackers, cybercriminaliteit en andere digitale bedreigingen. Door technische en organisatorische beveiligingsmaatregelen te combineren, kunnen kwetsbaarheden tijdig worden ontdekt en risico's worden beperkt. Gevoelens van onveiligheid en onzekerheid worden hiermee teruggedrongen. Voorbeelden zijn het gebruik van sterke authenticatie, beveiligde netwerken, actuele software en het bewaken van verdachte activiteiten. Daarnaast worden afspraken gemaakt over het melden en afhandelen van beveiligingsincidenten. ISO 27001 biedt geen garantie dat cyberaanvallen worden voorkomen, maar helpt organisaties om aanvallen beter te weerstaan en de gevolgen ervan te beperken.

Andere beveiligingskaders

Naast ISO 27001 bestaan verschillende andere normen, richtlijnen en beveiligingskaders voor het beschermen van informatie. Sommige zijn gericht op specifieke sectoren, terwijl andere aanvullende eisen stellen aan digitale systemen, persoonsgegevens of de beveiliging van organisaties.

NEN 7510 – Informatiebeveiliging in de zorg
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector. De norm sluit aan op ISO 27001 en bevat aanvullende eisen en aandachtspunten voor het beschermen van medische en andere gezondheidsinformatie.

BIO – Baseline Informatiebeveiliging Overheid
De Baseline Informatiebeveiliging Overheid (BIO) is het normenkader voor informatiebeveiliging binnen de Nederlandse overheid. De BIO is gebaseerd op internationale beveiligingsnormen en vertaalt deze naar beveiligingseisen voor overheidsorganisaties.

SSD – Secure Software Development
Secure Software Development (SSD) is een aanpak waarbij beveiliging vanaf het ontwerp wordt meegenomen bij het ontwikkelen van software. Door tijdens het ontwikkelproces aandacht te besteden aan veilige programmeertechnieken, testen en het voorkomen van kwetsbaarheden, wordt de kans op beveiligingsproblemen verkleind.

ISO 27701 – Privacy Information Management
ISO 27701 bevat eisen voor het organiseren en beheren van privacyinformatie. De norm sluit aan op ISO 27001 en helpt organisaties om de bescherming van persoonsgegevens systematisch in te richten en te beheersen.

ISO 27017 – Informatiebeveiliging in de cloud
ISO 27017 biedt aanvullende richtlijnen voor informatiebeveiliging bij het gebruik en aanbieden van clouddiensten. De richtlijnen zijn bedoeld voor zowel cloudleveranciers als organisaties die clouddiensten gebruiken.

ISO 27018 – Bescherming van persoonsgegevens in de cloud
ISO 27018 bevat richtlijnen voor het beschermen van persoonsgegevens die door publieke cloudproviders worden verwerkt. De norm besteedt onder meer aandacht aan privacy, transparantie en de omgang met persoonsgegevens.

NIS2 en AVG

NIS2 is een Europese richtlijn die eisen stelt aan de cybersecurity van organisaties in belangrijke en kritieke sectoren. De richtlijn heeft als doel de digitale weerbaarheid te vergroten en de gevolgen van cyberaanvallen en beveiligingsincidenten te beperken. Organisaties die onder NIS2 vallen, moeten passende maatregelen nemen voor risicobeheer, informatiebeveiliging, incidentenmelding en de beveiliging van hun leveranciersketen. ISO 27001 sluit hier goed op aan en biedt een gestructureerde manier om veel van deze beveiligingsmaatregelen in de bedrijfsvoering op te nemen. Een ISO 27001 certificaat betekent echter niet automatisch dat een organisatie aan alle NIS2-verplichtingen voldoet.

De Algemene Verordening Gegevensbescherming (AVG) is de Europese privacywetgeving voor het zorgvuldig en rechtmatig verwerken van persoonsgegevens. Organisaties moeten persoonsgegevens beschermen tegen verlies, ongeoorloofde toegang, misbruik en onrechtmatige verwerking. De AVG stelt onder meer eisen aan de beveiliging van persoonsgegevens, de rechten van betrokkenen en het melden van bepaalde datalekken. ISO 27001 ondersteunt organisaties bij het treffen en beheren van passende technische en organisatorische beveiligingsmaatregelen. Daarmee vormt de norm een waardevolle aanvulling op de AVG, zonder dat ISO 27001 certificering automatisch betekent dat aan alle privacyverplichtingen wordt voldaan.