ISO 27001 norm

De ISO 27001-norm beschrijft de eisen waaraan een managementsysteem voor informatiebeveiliging moet voldoen. Normen zijn vaak ongeschreven regels over wat je wel en niet hoort te doen terwijl in de ISO 27001 norm duidelijk is gedocumenteerd hoe je moet handelen om je vertrouwelijke gegevens te beveiligen om te certificeren. Dit zijn richtlijnen en aanbevelingen om de bescherming van data te optimaliseren. Maar als je voor deze norm wilt certificeren verandert dat in eisen waar je je verplicht aan moet houden. Deze ISO 27001 eisen zijn dan criteria waaraan je om het certificaat te behalen moet voldoen en een maatstaf die wordt gebruikt om dat te beoordelen.
Het ISO 27001 certificaat zorgt voor de mogelijkheid van vergelijking van organisaties waarbij activiteiten op een eenduidige en uniforme manier kunnen worden vergeleken. Tegelijkertijd biedt ISO 27001 een flexibel raamwerk, waardoor organisaties de maatregelen binnen een vast kader kunnen afstemmen op hun eigen situatie, risico’s en behoeften. De norm is gebaseerd op internationaal erkende werkwijzen en inzichten van erkende experts op het gebied van informatiebeveiliging. Daarbij biedt ISO 27001 praktische handvatten om informatiebeveiliging gericht in te richten, te beheersen en voortdurend te verbeteren. Dit draagt bij aan een uniforme en gestandaardiseerde werkwijze binnen de organisatie. De norm vormt daarnaast een referentiekader waarmee kan worden vergeleken of de dagelijkse werkwijze overeenkomt met de manier van werken die binnen de organisatie met elkaar is afgesproken. Zo biedt ISO 27001 een systematische en gestructureerde methode om informatiebeveiliging te organiseren en te beheersen. Daarmee sluit de norm aan bij een binnen grotere bedrijven algemeen geaccepteerde en gebruikelijke manier van werken op het gebied van informatiebeveiliging.

ISO 27001 certificering

ISO 27001 certificering van uw bedrijf is een beoordeling, controle, verificatie en evaluatie die wordt uitgevoerd door een geaccrediteerde certificatie-instelling die kijkt of de beschermingsprotocollen voor de bedrijfsgegevens op orde zijn volgens de standaard regels, de resultaten analyseert en zoekt naar het werken aan continue verbetering. De certificatie-instelling is geaccrediteerd en dus geautoriseerd door de RvA (Raad voor Accreditatie). Accreditatie betekent vertrouwen geven. De accreditatie door de RvA is bedoeld om het vertrouwen in de certificaten die worden afgegeven door geaccrediteerde instellingen te verhogen. De beoordeling door een CI wordt uitgevoerd in overeenstemming met de vastgestelde eisen.
Het certificaat bevestigt de betrouwbaarheid van uw processen en werkwijzen naar de klant. Het ISO 27001 certificaat is een garantie die wordt verleend na controle van het systeem als waarborg voor de veiligheid van de gegevens en het certificaat is een formele goedkeuring en verzekering van conformiteit met de standaard dat dient om twijfel op dit gebied weg te nemen bij leveranciers en afnemers.

ISMS

ISO 27001 is de wereldwijd erkende standaard voor informatiebeveiliging. De norm geeft richtlijnen voor het opzetten van een Information Security Management System (ISMS). ISO 27001 gaat uit van het beveiligen van informatie door het identificeren van risico’s en het nemen van daarbij behorende passende maatregelen.
Het doel van een ISMS is het procesmatig beschermen van gevoelige gegevens door voor deze bescherming vaste procedures op te zetten en deze samen te voegen in een ISMS. Dit systeem is overal bruikbaar maar er zijn specifieke uitwerkingen ontwikkeld voor de gezondheidszorg (ISO 7510) en voor de overheid (BIO, Baseline Informatiebeveiliging Overheid). Met het gebruik van ISO 27001 kunt u cybercriminaliteit beperken en de schadelijke gevolgen van online aanvallen minimaliseren. Met ISO 27001 zijn gegevens alleen toegankelijk voor bevoegde en daartoe geautoriseerde personen, de integriteit van informatie wordt verzekerd en de gegevens zijn beschikbaar wanneer dat nodig is.

praktische beveiligingsmaatregelen

ISO 27001 schrijft geen vaste technische oplossingen voor, maar verlangt dat organisaties passende beveiligingsmaatregelen kiezen op basis van hun risico's zoals:

• Antivirus gebruiken als controle op informatie in bestanden en programma’s op schadelijke code en blokkeert dreigingen, zet deze in quarantaine en/of verwijdert deze;
• API-beveiliging zorgt dat communicatie veilig verloopt en gegevens niet kunnen worden misbruikt;
• Instellen van firewalls als een digitale muur voor de data die alleen bepaalde soorten verkeer toestaat om in en uit het netwerk te gaan;

• kwalificatie van de status van personeel  en zekerheid geven over competenties;

• Creëren van draagvlak bij gebruikers door ze vroegtijdig te informeren over het waarom van elke soort beveiliging;

• Screenen van personeel en systemen als (voor)onderzoek om de geschiktheid of betrouwbaarheid te beoordelen;
• Cryptografie van vertrouwelijke gegevens wat zorgt dat deze data onleesbaar is voor onbevoegden;
• In kaart brengen van zwakke punten in de beveiliging en dichten van deze kwetsbaarheden voor een optimale bescherming

Dat kan betekenen dat medewerkers worden voorbereid op nieuwe bedreigingen door gerichte voorlichting en training, dat berichten worden beschermd met bijvoorbeeld reCAPTCHA en dat toegangsrechten voor het inzien van dossiers zorgvuldig in software worden vastgelegd. Ook ontstaat meer draagvlak wanneer gebruikers tijdig worden geïnformeerd over het nut en de noodzaak van iedere beveiligingsmaatregel. Daarnaast kunnen fysieke toegangscontroles met sleutels of andere toegangsvoorzieningen worden toegepast om specifieke ruimten te beveiligen. Organisaties beschermen gegevens in databanken tegen ongeautoriseerde toegang, nemen maatregelen tegen verlies, beschadiging en diefstal van bedrijfsmiddelen, screenen personeel en systemen vooraf op geschiktheid en betrouwbaarheid, passen cryptografie toe zodat vertrouwelijke gegevens onleesbaar zijn voor onbevoegden en brengen kwetsbaarheden in kaart om zwakke punten tijdig te verhelpen. Zo ontstaat een samenhangend pakket van organisatorische, fysieke en technische maatregelen dat de informatiebeveiliging continu versterkt.

ISO 27001 voor betrouwbaarheid

Een onafhankelijke certificerende instelling beoordeelt tijdens een audit of het managementsysteem voldoet aan de eisen van ISO 27001 en of de organisatie deze eisen daadwerkelijk toepast. Bij een positieve beoordeling ontvangt de organisatie een ISO 27001-certificaat als objectief bewijs en als erkenning van naleving van de normeisen, dat informatiebeveiliging aantoonbaar is georganiseerd en beheerst. Voor klanten, leveranciers, overheden en andere belanghebbenden biedt certificering extra vertrouwen dat zorgvuldig wordt omgegaan met vertrouwelijke informatie en dat beveiligingsrisico's op een professionele wijze worden beheerst en dat de weerstand tegen aanvallen continu wordt verhoogd.