- Welke stakeholdergegevens verzamelt uw organisatie?
- Welke gegevens creëert u als onderdeel van uw dagelijkse werkzaamheden?
- Welke gegevens creëert u als onderdeel van uw dagelijkse werkzaamheden?
- Welke gegevens zouden een bijzondere impact hebben op uw organisatie als ze verloren zouden gaan?
- Welke gegevens zouden als vertrouwelijk worden geclassificeerd?
- Welke gegevens kwalificeren als persoonsgegevens?
- Wie is verantwoordelijk voor de integriteit en juistheid van de gegevens?
- Wie kan en mag toegang krijgen tot de gegevens.
To do #5 – Bedrijfscontinuïteitsplan
Bij Compleye adviseren wij dat u het BCP uitvoert vóór de interne audit en managementbeoordeling, aangezien deze beoordeling waarschijnlijk zal resulteren in de laatste verbeteringen die u moet hebben om klaar te zijn voor certificering. Als alternatief kunt u het BCP twee keer uitvoeren: eerst, wanneer u begint met de implementatie van uw ISMS en ten tweede, vóór uw externe audit.
To do #6 – ISRA
De risicobeoordeling informatiebeveiliging (ISRA) is de belangrijkste risicobeoordeling in het ISMS en moet worden uitgevoerd met je ISMS-team. Je moet jaarlijks een ISRA uitvoeren waarbij je elk jaar dezelfde methode gebruikt, zodat je de uitkomsten en resultaten kunt vergelijken.
To do #7 – DRP & PEN Tests
Hier is een snelle oefening voor het definiëren van uw crisis/ramp DRP:
Bepaal wat u (voor uw bedrijf) beschouwt:
- Een gebeurtenis
- Een incident
- Een ramp / crisis
Wat pentesting betreft, zegt Breachlock het het beste met deze geweldige infographic:
To do #8 – GDPR-beoordeling
GDPR-risico’s en -kansen zijn er in overvloed. Drie van elk kunnen worden onderzocht in dit uitgebreide artikel van Comforte: “Drie risico’s en kansen van GDPR”.
Compleye Online biedt een GDPR-beoordelingssjabloon met 22 vragen.
To do #9 – Effectbeoordeling gegevensprivacy
Een DPIA kan nodig zijn als u meerdere producten heeft: voer een DPIA uit per product (of dienst). Als u met verschillende soorten projecten werkt (bijv. Proof of Concept) moet u ook een nieuwe DPIA per project uitvoeren. Als u zaken doet met bijv. overheidsorganisaties, is het waarschijnlijk dat zij u zullen vragen een kopie van uw DPIA te delen.
5. Beslis over beveiligingsbeleid & procedures
To do #1 – Beveiligingsbeleid & Procedures
Voordat u records kunt toevoegen, moet u Beleid & Procedures aannemen. Een van de ISO 27001 verplichte beleidsregels is het beveiligingsbeleid – dat de intenties en ambitie (doelstellingen) beschrijft die u voor uw ISMS hebt gedefinieerd.
To do #2 – Sjablonen
Er zijn talloze verplichte beleidsregels en procedures die moeten worden geïmplementeerd in uw ISMS. Het opstellen van deze documentatie kan tijdrovend zijn en het kan zijn dat u er niet zeker van bent dat u alle noodzakelijke items hebt behandeld. Het gebruik van sjablonen zoals die worden geleverd door een online tool als Compleye Online biedt de begeleiding die u nodig hebt om te voldoen aan de vereisten voor het behalen van certificering.
To do #3 – Checklists
Uw ISMS heeft continue verbetering en onderhoud nodig.
Het maken van checklists is een slanke manier om activiteiten en stappen bij te houden bij het volgen van verbeter- en onderhoudsprocedures.
6. Zet een systeem op voor maatregelen en controles
To do #1 – Beveiligingsgegevens
Beveiligingscijfers zijn ‘KPI’s’ die zijn gedefinieerd om te controleren of het beheersysteem voor informatiebeveiliging effectief werkt.
U moet:
- Bepaal wat een incident is;
- Bewaar uw incidenten;
- Aanpakken van incidenten met corrigerende maatregelen ;
- Diep in de hoofdoorzaak om te bepalen hoe u dit in de toekomst gaat voorkomen.
- Houd uw serviceniveaus bij.
To do #2 – Activabeheer
Hardware die informatie draagt, servers en gegevens zijn allemaal bedrijfsmiddelen. Om deze te beheren moet je al je assets bijhouden en weten welke assets worden gebruikt en of ze eigendom zijn van het bedrijf. U moet ook wijzigingen en verplaatsingen van bedrijfsmiddelen bijhouden
To do #3 – Controles
Bijlage A bestaat uit 114 controls. Je moet controls aannemen, implementeren en onderhouden. Er zijn 2 manieren waarop je controls kunt definiëren en implementeren:
- Neem de ISO 27001 Annex A lijst en definieer alle controles aan het begin;
- Stel geleidelijk controles vast naarmate u toewerkt naar certificering en beleid/procedures vaststelt of beoordelingen uitvoert. Controleer aan het eind of alle controles uit Bijlage A aanwezig zijn.
To do #4 – Toegangsbeheer
Toegangsbeheer in het algemeen is een belangrijk onderwerp voor uw ISMS. Als u de toegang tot software niet onder controle hebt, kan dit gemakkelijk leiden tot incidenten die uitmonden in een datalek.
U hebt een Toegangsbeheerbeleid nodig en moet de controle hebben over verschillende soorten toegang:
- Toegang tot de kantoorlocatie
- Toegang tot hardware
- Toegang tot software
- Toegang tot documentatieopslag
- Toegang tot algemene gegevens
7. Implementeer operationele controlepunten en follow-ups
To do #1 – Veiligheidsbijeenkomsten
Tijdens veiligheidsvergaderingen met uw ISMS-team kunt u beslissingen nemen over alle onderwerpen met betrekking tot uw ISMS. U moet een eigenaar voor de veiligheidsvergadering aanwijzen, wijzigingen documenteren, controles controleren en verbeteringen evalueren.
To do #2 – Oproepen tot actie voor follow-ups
Veiligheidsvergaderingen zijn een verplicht onderdeel van het operationele ISMS waarin het team afstemt, periodieke controles uitvoert, samenwerkt aan taken, planning, enz. Alle vervolgtaken die het ISMS-team moet uitvoeren, worden gedefinieerd met Calls to Action na de beveiligingsvergadering.
8. Zorg voor rollen, verantwoordelijkheden, leiderschap en management
To do #1 – ISMS rollen toewijzen
ISO 27001 vereist dat je een ISMS team hebt voor het opzetten, implementeren en onderhouden. Je moet ook een overzicht hebben van alle teamleden zodat beveiliging en privacy gecreëerd kunnen worden rondom mensen en processen.
To do #2 – Verplichte beveiligingsrollen toewijzen
Wij adviseren dat u begint met het toewijzen van minimaal 2 teamleden die verantwoordelijk zijn voor uw ISMS.zorg er altijd voor dat er kennis van techniek en business aanwezig is binnen uw ISMS.
Stel ook een Security Officer (SO), Privacy Officer (PO) en Compliance officer (CO) aan.
To do #3 – Kantoorbeveiliging
Als je een kantoor hebt, ben je verantwoordelijk voor de fysieke beveiliging van je kantoor en voor het bijhouden wie toegang heeft tot het kantoor (met sleutel/kaart/code).
To do #4 – Nieuwe medewerkers en contracten
Als u mensen aanneemt, verwacht ISO 27001 dat u controle hebt over het aantal teamleden, hun functienamen en wie elke persoon zal leiden/begeleiden.je moet controle hebben over je arbeidscontracten. Als je in de schaalvergrotingsfase zit, is het handig om vervaldata etc. op één plek te hebben.
To do #5 – Training
U moet:
- Aantonen hoe u de ontwikkeling van competenties van uw (ISMS) Teamleden ondersteunt.
- Organiseer jaarlijkse security awareness training.
- Bepaal wat er op de agenda stond en wie de training heeft bijgewoond.
- Verricht trainingsevaluatie.
To do #6 – HR & Organisatie
ISO specifieke HR/Organisatie vereisten omvatten:
Hoofdstuk 5: Verantwoordelijkheden topmanagement
- Toon leiderschap en betrokkenheid
- Stel het beveiligingsbeleid op
- Opstellen en communiceren van verantwoordelijkheden en bevoegdheden voor ISMS-rollen
Hoofdstuk 7: Middelen- Bepaal en verschaf de middelen die nodig zijn voor de implementatie, het onderhoud en de voortdurende verbetering van het ISMS.
- Focus op de competenties die nodig zijn om de functie uit te voeren
- Alle leden van het ISMS-team moeten hun verantwoordelijkheden erkennen, evenals hun bijdrage aan een effectief ISMS
- Bepaal wat, wanneer en hoe u de ISMS-prioriteiten zowel intern als extern communiceert
- Bepaal en onderhoud wat gedocumenteerd moet worden (in overeenstemming met deze norm).
9. Voorbereiden op de eigenlijke ISO 27001 certificering
To do #1 – Interne Audit
Het doel van een interne audit is om ervoor te zorgen dat uw ISMS voldoet aan de eigen vereisten van uw organisatie (informatiebeveiligingsbeleid, procedures, beveiligingsdoelstellingen, enz.) en aan de vereisten in ISO 27001 en om te evalueren of het ISMS effectief wordt geïmplementeerd en onderhouden. Bekijk ons ‘Het is tijd voor een interne audit’ artikel voor meer informatie.
To do #2 – Managementbeoordeling
Een managementbeoordeling wordt jaarlijks uitgevoerd en je moet iemand aanwijzen die verantwoordelijk is voor de beoordeling. Het proces, hoewel complex, kan worden gedistilleerd in drie stappen:
- MT/CEO vergadering is gepland om alle onderwerpen en suggesties voor verbetering te bespreken.
- MT/CEO definieert en accepteert definitieve verbeteringen.
- MT/CEO voltooit en keurt het management review rapport goed dat als bewijs moet worden getoond tijdens de externe audit.
To do #3 – Documentatie
Naast de verplichte beleidsregels, procedures en dossiers zijn er 4 verplichte documenten die beschikbaar en gereed moeten zijn voor de externe audit certificering:
- Managementbeoordeling
- Intern auditrapport
- Omvang van ISMS
- Verklaring van Toepasselijkheid
To do #4 – Verklaring van Toepasselijkheid
De SoA is een samenvatting van de implementatiestatus van uw organisatie voor elk van de 114 controles van Bijlage A van ISO 27001 en moet bepalen welke controles door uw organisatie zijn geïdentificeerd om de risico’s in het bedrijf aan te pakken. Dit kan worden gedaan door het uitvoeren van een ISO 27001 gap-analyse en risicobeoordeling.
10. Organiseer real-time ISO 27001 certificeringsaudit
To do #1 – Geaccrediteerde Lead Auditor
Wanneer je klaar bent voor de audit, wijs dan een geaccrediteerde lead auditor aan. Lead auditors hebben een uitgebreide training gehad, dus je bent in goede handen.
To do #2 – Plan om certificering te behouden
Als een organisatie eenmaal ISO 27001 gecertificeerd is, is het belangrijk om het Information Security Management System (ISMS) doorlopend te onderhouden om ervoor te zorgen dat het effectief en relevant blijft en in lijn met de doelstellingen van de organisatie. Dit is waar het Compleye ISO 27001 onderhoudspakket van pas komt.
U bent klaar om te beginnen met het afvinken van uw Complete Checklist voor ISO 27001 Naleving (2023)
Lees meer over hoe Compleye u kan helpen met uw ISO 27001 compliance.
Chat met een van onze super verkopers en begin met het afvinken van uw complete checklist voor ISO 27001 compliance.
Het vereist aandacht voor detail en grondige, systematische processen. Daarom is een ISO 27001 compliance checklist precies wat u nodig hebt om het certificeringsproces te vereenvoudigen.
Hoe te voldoen aan ISO 27001
“ISO-normen zijn internationaal overeengekomen door experts. Zie ze als een formule die de beste manier beschrijft om iets te doen.” Dat is volgens ISO zelf.
Om aan de ISO-normen te voldoen, moet u een formule volgen die ervoor zorgt dat al uw veiligheids- en beveiligingsprotocollen aanwezig zijn en dat uw werknemers hiervan op de hoogte zijn.
Het proces begint met een duidelijk begrip van uw Information Security Management System (ISMS).
We hebben een uitgebreide ISO 27001-checklist gemaakt die u kunt gebruiken om er zeker van te zijn dat u alles onder controle hebt. Ook hebben we een tipje van de sluier opgelicht van de inhoud van onze Wiki (de handleiding die onze online tool Compleye Online ondersteunt).
Complete checklist voor ISO 27001 naleving
1. Uw ISO 27001-strategie en -ambities bepalen
To do #1 – Organisatie & Context
Organisatie en context is een verplicht onderwerp. Een goede manier om inzichten te krijgen voor Organisatie & Context content is om je producten te definiëren door (per product) te definiëren:
- Hoge beschrijving
- Type klanten
- betrokken derden
Dit leidt tot de vraag:
- Wat is de compliance-uitdaging?
- Wat zijn de beveiligingsvereisten?
Als u deze vragen kunt beantwoorden (en documenteren), voldoet u aan ISO 27001.
To do #2 – ISMS Doelstellingen
U moet uw ISMS doelstellingen definiëren, implementeren en (minstens jaarlijks) herzien. In hun artikel Informatiebeveiligingsdoelstellingen in ISO 27001, ISO27001guide.com zegt dat “informatiebeveiligingsdoelen in ISO 27001 organisaties in staat stellen om hun eisen vanaf het begin vast te stellen en om voortdurend te controleren of ze deze doelen ook bereiken.”
2. Bepaal wettelijke & nalevingsvereisten
To do #1 – Geïnteresseerde partijen & wettelijke vereisten
Hier ga je in op de wettelijke vereisten waaraan je moet voldoen voor je derde partijen en definieer je de verwachtingen aan beide kanten. De externe auditor zal verwachten dat je hebt gedocumenteerd hoe je dit proces hebt ingericht.
Voorbeelden van belanghebbende partijen (https://www.iso9001help.co.uk/)
To do #2 – Intellectueel eigendom
Intellectueel eigendom (IE) is een categorie van eigendommen die immateriële creaties van het menselijk intellect omvat. Typische IP voor techbedrijven kan je broncode zijn, AI-modellen, bepaalde databases of een werkwijze. Kortom, IP is alles wat je geheim wilt houden voor je klanten en concurrenten en dat beschermd moet worden als je team het gebruikt.
To do #3 – Contracten
Zorg ervoor dat je 1 map hebt met al je contracten zodat je een goed overzicht hebt – en gebruik verschillende mappen binnen die map voor verschillende soorten contracten (of stakeholders). Beperk de toegang tot deze contracten binnen je organisatie. De externe auditor kan vragen om 1 of 2 contracten (voorbeelden) te bekijken tijdens de audit.
To do #4 – Wereldwijde impact
Bij het betreden van nieuwe markten moet onderzoek worden gedaan naar privacy- en beveiligingsvereisten. Bij contractering of uitbreiding buiten het geografische gebied van de GDPR moet rekening worden gehouden met de privacyregels voor persoonsgegevens. Aanvullende vereisten voor je ISMS kunnen worden bepaald door:
- Klanten
- Wetten
To do #5 – GDPR
Als je een bedrijf bent gevestigd in – of zaken doet in – Europa, moet je voldoen aan GDPR. Als je je voorbereidt op certificering, moet je:
- Bepaal op welke rechtsgrondslag je gegevens verzamelt.
- Geef een overzicht van alle documentatie voor gebruikers.
- Heb een register om verzoeken van eindgebruikers bij te houden, zoals het verwijderen van gegevens
- Maak een overzicht van alle datalekken.
- Maak een overzicht van alle Data Process Agreements.
3. Toepassingsgebied definiëren
To do #1 – IT-infrastructuurcomponenten definiëren
ISO 27001 vraagt om een reikwijdte voor uw ISMS, dus u moet definiëren wat u binnen de reikwijdte neemt. Het definiëren van de componenten van uw IT Infrastructuur zal u helpen bij het definiëren van uw reikwijdte.
To do #2 – ISMS toepassingsgebied definiëren
Kijk eens naar Compleye’s artikel, ‘Hoe schrijf ik een ISO 27001 Scope Statement (+3 voorbeelden)’.
4. Breng alle risico’s en kansen in kaart
To do #1 – Leveranciersoverzicht
Bij het implementeren van een reeks controles en processen om leveranciersrisico’s aan te pakken, kan het volgende worden overwogen:
- Uitvoeren van contractuele overeenkomsten met elke leverancier.
- Het bijhouden van een actuele en gemakkelijk toegankelijke lijst van leveranciers.
- Opstellen van een document met beleid en procedures voor leveranciersbeheer.
- Het implementeren van veranderingsmanagementprocessen en -controles voor leveranciers.
- Verzekeren dat leveranciers voldoen aan de contractuele informatiebeveiligingseisen.
- Bepalen en adequaat documenteren, indien van toepassing, of leveranciers toegang hebben tot uw IT-infrastructuur.
- Bepalen en adequaat documenteren, indien van toepassing, of leveranciers betrokken kunnen zijn bij beveiligingsprocedures.
- Het uitvoeren van de relevante risicobeveiligingsbeoordeling voor leveranciers.
To do #2 – Leveranciersbeoordeling
Leveranciersbeoordeling is een zeer belangrijk onderwerp in ISO 27001, vooral voor technologiebedrijven omdat ze gebruikmaken van zoveel leveranciers. U moet uw leveranciers onder controle hebben – beoordeel de leveranciers met een hoog risico jaarlijks op een aantal onderwerpen. De eigenaar van de leverancier moet de leverancier beoordelen op basisinformatie en contracten.
To do #3 – Leveranciersbeoordeling
Volg de volgende stappen:
- Bekijk bestaande leveranciers.
- Stel elke leverancier op veiligheid.
- Respons op beveiligingsrisico’s en definieer prestatiecijfers voor leveranciers.
- Bewaak voortdurend over uw leveranciers.
To do #4 – Gegevensclassificatie
In de context van informatiebeveiliging is gegevensclassificatie gebaseerd op het niveau van vertrouwelijkheid en de gevolgen voor de organisatie als die gegevens ongeautoriseerd worden vrijgegeven, gewijzigd of vernietigd. Overweeg de volgende vragen bij het classificeren van je informatie:
- Welke stakeholdergegevens verzamelt uw organisatie?
- Welke gegevens creëert u als onderdeel van uw dagelijkse werkzaamheden?
- Welke gegevens creëert u als onderdeel van uw dagelijkse werkzaamheden?
- Welke gegevens zouden een bijzondere impact hebben op uw organisatie als ze verloren zouden gaan?
- Welke gegevens zouden als vertrouwelijk worden geclassificeerd?
- Welke gegevens kwalificeren als persoonsgegevens?
- Wie is verantwoordelijk voor de integriteit en juistheid van de gegevens?
- Wie kan en mag toegang krijgen tot de gegevens.
To do #5 – Bedrijfscontinuïteitsplan
Bij Compleye adviseren wij dat u het BCP uitvoert vóór de interne audit en managementbeoordeling, aangezien deze beoordeling waarschijnlijk zal resulteren in de laatste verbeteringen die u moet hebben om klaar te zijn voor certificering. Als alternatief kunt u het BCP twee keer uitvoeren: eerst, wanneer u begint met de implementatie van uw ISMS en ten tweede, vóór uw externe audit.
To do #6 – ISRA
De risicobeoordeling informatiebeveiliging (ISRA) is de belangrijkste risicobeoordeling in het ISMS en moet worden uitgevoerd met je ISMS-team. Je moet jaarlijks een ISRA uitvoeren waarbij je elk jaar dezelfde methode gebruikt, zodat je de uitkomsten en resultaten kunt vergelijken.
To do #7 – DRP & PEN Tests
Hier is een snelle oefening voor het definiëren van uw crisis/ramp DRP:
Bepaal wat u (voor uw bedrijf) beschouwt:
- Een gebeurtenis
- Een incident
- Een ramp / crisis
Wat pentesting betreft, zegt Breachlock het het beste met deze geweldige infographic:
To do #8 – GDPR-beoordeling
GDPR-risico’s en -kansen zijn er in overvloed. Drie van elk kunnen worden onderzocht in dit uitgebreide artikel van Comforte: “Drie risico’s en kansen van GDPR”.
Compleye Online biedt een GDPR-beoordelingssjabloon met 22 vragen.
To do #9 – Effectbeoordeling gegevensprivacy
Een DPIA kan nodig zijn als u meerdere producten heeft: voer een DPIA uit per product (of dienst). Als u met verschillende soorten projecten werkt (bijv. Proof of Concept) moet u ook een nieuwe DPIA per project uitvoeren. Als u zaken doet met bijv. overheidsorganisaties, is het waarschijnlijk dat zij u zullen vragen een kopie van uw DPIA te delen.
5. Beslis over beveiligingsbeleid & procedures
To do #1 – Beveiligingsbeleid & Procedures
Voordat u records kunt toevoegen, moet u Beleid & Procedures aannemen. Een van de ISO 27001 verplichte beleidsregels is het beveiligingsbeleid – dat de intenties en ambitie (doelstellingen) beschrijft die u voor uw ISMS hebt gedefinieerd.
To do #2 – Sjablonen
Er zijn talloze verplichte beleidsregels en procedures die moeten worden geïmplementeerd in uw ISMS. Het opstellen van deze documentatie kan tijdrovend zijn en het kan zijn dat u er niet zeker van bent dat u alle noodzakelijke items hebt behandeld. Het gebruik van sjablonen zoals die worden geleverd door een online tool als Compleye Online biedt de begeleiding die u nodig hebt om te voldoen aan de vereisten voor het behalen van certificering.
To do #3 – Checklists
Uw ISMS heeft continue verbetering en onderhoud nodig.
Het maken van checklists is een slanke manier om activiteiten en stappen bij te houden bij het volgen van verbeter- en onderhoudsprocedures.
6. Zet een systeem op voor maatregelen en controles
To do #1 – Beveiligingsgegevens
Beveiligingscijfers zijn ‘KPI’s’ die zijn gedefinieerd om te controleren of het beheersysteem voor informatiebeveiliging effectief werkt.
U moet:
- Bepaal wat een incident is;
- Bewaar uw incidenten;
- Aanpakken van incidenten met corrigerende maatregelen ;
- Diep in de hoofdoorzaak om te bepalen hoe u dit in de toekomst gaat voorkomen.
- Houd uw serviceniveaus bij.
To do #2 – Activabeheer
Hardware die informatie draagt, servers en gegevens zijn allemaal bedrijfsmiddelen. Om deze te beheren moet je al je assets bijhouden en weten welke assets worden gebruikt en of ze eigendom zijn van het bedrijf. U moet ook wijzigingen en verplaatsingen van bedrijfsmiddelen bijhouden
To do #3 – Controles
Bijlage A bestaat uit 114 controls. Je moet controls aannemen, implementeren en onderhouden. Er zijn 2 manieren waarop je controls kunt definiëren en implementeren:
- Neem de ISO 27001 Annex A lijst en definieer alle controles aan het begin;
- Stel geleidelijk controles vast naarmate u toewerkt naar certificering en beleid/procedures vaststelt of beoordelingen uitvoert. Controleer aan het eind of alle controles uit Bijlage A aanwezig zijn.
To do #4 – Toegangsbeheer
Toegangsbeheer in het algemeen is een belangrijk onderwerp voor uw ISMS. Als u de toegang tot software niet onder controle hebt, kan dit gemakkelijk leiden tot incidenten die uitmonden in een datalek.
U hebt een Toegangsbeheerbeleid nodig en moet de controle hebben over verschillende soorten toegang:
- Toegang tot de kantoorlocatie
- Toegang tot hardware
- Toegang tot software
- Toegang tot documentatieopslag
- Toegang tot algemene gegevens
7. Implementeer operationele controlepunten en follow-ups
To do #1 – Veiligheidsbijeenkomsten
Tijdens veiligheidsvergaderingen met uw ISMS-team kunt u beslissingen nemen over alle onderwerpen met betrekking tot uw ISMS. U moet een eigenaar voor de veiligheidsvergadering aanwijzen, wijzigingen documenteren, controles controleren en verbeteringen evalueren.
To do #2 – Oproepen tot actie voor follow-ups
Veiligheidsvergaderingen zijn een verplicht onderdeel van het operationele ISMS waarin het team afstemt, periodieke controles uitvoert, samenwerkt aan taken, planning, enz. Alle vervolgtaken die het ISMS-team moet uitvoeren, worden gedefinieerd met Calls to Action na de beveiligingsvergadering.
8. Zorg voor rollen, verantwoordelijkheden, leiderschap en management
To do #1 – ISMS rollen toewijzen
ISO 27001 vereist dat je een ISMS team hebt voor het opzetten, implementeren en onderhouden. Je moet ook een overzicht hebben van alle teamleden zodat beveiliging en privacy gecreëerd kunnen worden rondom mensen en processen.
To do #2 – Verplichte beveiligingsrollen toewijzen
Wij adviseren dat u begint met het toewijzen van minimaal 2 teamleden die verantwoordelijk zijn voor uw ISMS.zorg er altijd voor dat er kennis van techniek en business aanwezig is binnen uw ISMS.
Stel ook een Security Officer (SO), Privacy Officer (PO) en Compliance officer (CO) aan.
To do #3 – Kantoorbeveiliging
Als je een kantoor hebt, ben je verantwoordelijk voor de fysieke beveiliging van je kantoor en voor het bijhouden wie toegang heeft tot het kantoor (met sleutel/kaart/code).
To do #4 – Nieuwe medewerkers en contracten
Als u mensen aanneemt, verwacht ISO 27001 dat u controle hebt over het aantal teamleden, hun functienamen en wie elke persoon zal leiden/begeleiden.je moet controle hebben over je arbeidscontracten. Als je in de schaalvergrotingsfase zit, is het handig om vervaldata etc. op één plek te hebben.
To do #5 – Training
U moet:
- Aantonen hoe u de ontwikkeling van competenties van uw (ISMS) Teamleden ondersteunt.
- Organiseer jaarlijkse security awareness training.
- Bepaal wat er op de agenda stond en wie de training heeft bijgewoond.
- Verricht trainingsevaluatie.
To do #6 – HR & Organisatie
ISO specifieke HR/Organisatie vereisten omvatten:
Hoofdstuk 5: Verantwoordelijkheden topmanagement
- Toon leiderschap en betrokkenheid
- Stel het beveiligingsbeleid op
- Opstellen en communiceren van verantwoordelijkheden en bevoegdheden voor ISMS-rollen
Hoofdstuk 7: Middelen- Bepaal en verschaf de middelen die nodig zijn voor de implementatie, het onderhoud en de voortdurende verbetering van het ISMS.
- Focus op de competenties die nodig zijn om de functie uit te voeren
- Alle leden van het ISMS-team moeten hun verantwoordelijkheden erkennen, evenals hun bijdrage aan een effectief ISMS
- Bepaal wat, wanneer en hoe u de ISMS-prioriteiten zowel intern als extern communiceert
- Bepaal en onderhoud wat gedocumenteerd moet worden (in overeenstemming met deze norm).
9. Voorbereiden op de eigenlijke ISO 27001 certificering
To do #1 – Interne Audit
Het doel van een interne audit is om ervoor te zorgen dat uw ISMS voldoet aan de eigen vereisten van uw organisatie (informatiebeveiligingsbeleid, procedures, beveiligingsdoelstellingen, enz.) en aan de vereisten in ISO 27001 en om te evalueren of het ISMS effectief wordt geïmplementeerd en onderhouden. Bekijk ons ‘Het is tijd voor een interne audit’ artikel voor meer informatie.
To do #2 – Managementbeoordeling
Een managementbeoordeling wordt jaarlijks uitgevoerd en je moet iemand aanwijzen die verantwoordelijk is voor de beoordeling. Het proces, hoewel complex, kan worden gedistilleerd in drie stappen:
- MT/CEO vergadering is gepland om alle onderwerpen en suggesties voor verbetering te bespreken.
- MT/CEO definieert en accepteert definitieve verbeteringen.
- MT/CEO voltooit en keurt het management review rapport goed dat als bewijs moet worden getoond tijdens de externe audit.
To do #3 – Documentatie
Naast de verplichte beleidsregels, procedures en dossiers zijn er 4 verplichte documenten die beschikbaar en gereed moeten zijn voor de externe audit certificering:
- Managementbeoordeling
- Intern auditrapport
- Omvang van ISMS
- Verklaring van Toepasselijkheid
To do #4 – Verklaring van Toepasselijkheid
De SoA is een samenvatting van de implementatiestatus van uw organisatie voor elk van de 114 controles van Bijlage A van ISO 27001 en moet bepalen welke controles door uw organisatie zijn geïdentificeerd om de risico’s in het bedrijf aan te pakken. Dit kan worden gedaan door het uitvoeren van een ISO 27001 gap-analyse en risicobeoordeling.
10. Organiseer real-time ISO 27001 certificeringsaudit
To do #1 – Geaccrediteerde Lead Auditor
Wanneer je klaar bent voor de audit, wijs dan een geaccrediteerde lead auditor aan. Lead auditors hebben een uitgebreide training gehad, dus je bent in goede handen.
To do #2 – Plan om certificering te behouden
Als een organisatie eenmaal ISO 27001 gecertificeerd is, is het belangrijk om het Information Security Management System (ISMS) doorlopend te onderhouden om ervoor te zorgen dat het effectief en relevant blijft en in lijn met de doelstellingen van de organisatie. Dit is waar het Compleye ISO 27001 onderhoudspakket van pas komt.
U bent klaar om te beginnen met het afvinken van uw Complete Checklist voor ISO 27001 Naleving (2023)
Lees meer over hoe Compleye u kan helpen met uw ISO 27001 compliance.
Chat met een van onze super verkopers en begin met het afvinken van uw complete checklist voor ISO 27001 compliance.
