ISO 27001 scope statement… klinkt veel groter dan het is. In feite is het opstellen ervan vrij eenvoudig. In deze scopeverklaring-gids vertellen we u het wat, hoe en waarom van het schrijven van een ISO 27001 scopeverklaring.
We hebben een paar voorbeelden toegevoegd, een sjabloon om te downloaden en een supercoole en informatieve video met onze eigen innovator op het gebied van compliance, Mari E. Curious.
Wat wil je nog meer?
Waarom heb je een scopeverklaring nodig?
In hun artikel ‘ISO IEC 27001 Certification‘ stelt TUV dat organisaties een ISMS implementeren om:
“Gegevens te beschermen die cruciaal zijn voor het bedrijf, risico’s te beperken en stabiele activiteiten te garanderen, vertrouwen te bieden aan belanghebbenden en klanten.”
De ISO 27001 scope statement is een toewijding aan en een weerspiegeling van deze ambitie. Bovendien is het niet alleen het enige verplichte stuk informatie dat u moet verstrekken binnen het scope-segment van de norm, maar ook het belangrijkste.
Volgens Best Practice Biz, ‘Het concept achter de scope statement is om je het volgende te laten begrijpen:
- Wetten en voorschriften waaraan je je moet houden
- Interfaces en afhankelijkheden die u hebt met andere modellen
- Interne en externe kwesties die relevant zijn voor uw ISMS-informatiebeveiliging
- Processen en beveiligingscontroles die nodig zijn om uw bedrijf te runnen’
De ISO 27001 toepassingsgebiedverklaring definieert:
- Wat uw bedrijf doet.
- Welke belangrijke informatie valt onder het ISMS.
- Waarom beveiliging belangrijk is voor uw organisatie.
- Welke onderdelen van uw bedrijf zijn gecertificeerd.
Het is wat er op uw ISO 27001 certificaat staat voor de hele wereld (nou ja, niet allewerelden, maar u begrijpt wat we bedoelen) om te zien.
Het gaat er kortom om wat uw klanten belangrijk vinden als het om beveiliging gaat.
Wat is de reikwijdte van ISO 27001?
Het toepassingsgebied van ISO 27001 zelf definieert alles – van gegevens tot producten, processen tot diensten, systemen tot regio’s – dat wordt beschermd door uw ISMS. Het definieert ook alles wat niet beschermd is.
Om de scope van je organisatie correct samen te stellen, moet je de grenzen en toepasbaarheid van het ISMS bepalen.
Dit betekent het onderzoeken van alle externe en interne kwesties die u gedefinieerd vindt in clausule 4.1 van de ISO 27001-norm, het begrijpen van de behoeften en verwachtingen van belanghebbende partijen (4.2) en het bepalen van de verbanden tussen activiteiten die door uw organisatie worden uitgevoerd en externe organisaties.
Onderzoek en begrip van welke delen van het bedrijf betrokken zijn bij het creëren van, toegang hebben tot of verwerken van uw waardevolle informatie, en het uitvoeren van een risicobeoordeling houden u op koers bij het definiëren van de reikwijdte van uw ISMS.
Waarom is het definiëren van uw ISO 27001 scope zo belangrijk?
Wat er ook binnen uw toepassingsgebied valt, moet worden gedekt door uw ISMS; wat er buiten valt, hoeft niet te worden gedekt door uw ISMS.
Dus, als je iets buiten het toepassingsgebied laat dat er wel in had moeten staan, kun je met ongewenste beveiligingsproblemen, onbeschermde gegevens en ontevreden klanten en/of belanghebbenden komen te zitten.
Als je iets in de scope zet dat er niet hoeft te staan, maak je je team alleen maar meer werk en geef je mogelijk geld uit dat eigenlijk niet nodig is. Ook is een te brede scope niet wendbaar als het gaat om het toestaan van veranderingen in technologieën en functies.
Hoe schrijf je een scopeverklaring voor ISO 27001?
Uw scope statement is een samenvatting van uw scope en moet uw klanten duidelijk maken dat wat ze van u kopen, of het nu een product of een dienst is, valt onder uw ISMS.
Beantwoord daarnaast bij het schrijven van uw scope statement de volgende vragen:
- Wat doet mijn organisatie?
- Welke producten of diensten vallen binnen het bereik?
- Welke informatie moeten we beschermen?
- Welke processen zijn geassocieerd met die informatie?
- Zijn er uitsluitingen (plaatsen, processen etc) die buiten de scope gelaten kunnen worden?
Laten we deze vragen toepassen op een fictief bedrijf om te zien hoe ze werken om een scope statement vorm te geven. We noemen het bedrijf FindMyPet.
- Wat doet mijn organisatie?
FindMyPet herenigt huisdieren en eigenaren…
- Welke producten of diensten vallen binnen het bereik?
… met behulp van scannertechnologie en microchips…
- Welke informatie moeten we beschermen?
…die persoonlijke gegevens van klanten opslaan (naam, fysiek adres, telefoonnummer)…
- Welke processen zijn geassocieerd met die informatie?
…die ook is opgeslagen in een centrale database in ons kantoor in Dogtown…
- Zijn er uitsluitingen (plaatsen, processen enz.) die buiten de scope gelaten kunnen worden?
…die niet toegankelijk is voor iemand anders dan onze IT-afdeling.
Alles bij elkaar nu:
FindMyPet herenigt huisdieren en eigenaren met behulp van scannertechnologie en microchips die persoonlijke gegevens van klanten opslaan (naam, fysiek adres, telefoonnummer) die worden opgeslagen in een centrale database in onze kantoren in Dogtown die voor niemand anders toegankelijk is dan onze IT-afdeling.
Gemeenschappelijke fouten waar je op moet letten bij het maken van je scope statement
Zoals met alles wat met ISO te maken heeft, moet je je altijd bewust zijn van potentiële valkuilen. Hoewel de scopeverklaring een eenvoudig en kort werkstuk is, moet het nauwkeurig en duidelijk zijn, waarbij externe items worden uitgesloten en alles wordt opgenomen waarvan u vindt dat het ISMS bescherming verdient.
Niet begrijpen welke informatie uw organisatie opslaat, verwerkt en beheert, kan ertoe leiden dat u een essentieel element uit uw verklaring weglaat.
Om er zeker van te zijn dat je alles weet over de gegevens die je bedrijf verwerkt, kun je overwegen professionele nalevingssessies.
Alles wat buiten het gedefinieerde toepassingsgebied valt, wordt als onveilig beschouwd, dus alles weglaten wat je klant misschien niet wil kopen omdat het niet gecertificeerd is, is geen goed plan.
Je scopeverklaring moet niet te ambitieus of te dubbelzinnig zijn. Streef niet te hoog en omvat niet elke afdeling, elke persoon en elk laatste stukje data. Probeer tegelijkertijd je implementatiekosten niet te verlagen door je bereik te verkleinen.
Ook lezen: Top 10 ISO 27001 certificeringssoftwaretools
Voorbeelden van goede ISO 27001 scope statements
Om u te helpen uw eigen scopeverklaring op te stellen, volgen hier enkele voorbeelden van goede scopeverklaringen. Zoals u kunt zien, staan ze op het ISO 27001-certificaat en verwijzen ze terug naar de Verklaring van Toepasselijkheid.
1. BSI’s ISO 27001 toepassingsgebiedverklaring
In ons eerste voorbeeld is duidelijk te zien dat het ISMS van Online Computer Library Center van toepassing is op informatiebeveiligingsactiviteiten die verband houden met de beheerservices van het bedrijf, het delen van bronnen, metadataservices, zoeken en verwijzen en het interne infrastructuurrapport. Merk op hoe er wordt verwezen naar de Verklaring van Toepasselijkheid.
2. MGM Technology Partners’ ISO 27001 toepassingsgebiedverklaring
MGM geeft de aard van hun activiteiten aan (Adviseren van klanten in de Publieke Sector, Verzekeringen en eCommerce over de digitalisering van hun bedrijfs- en IT-processen; Softwareontwikkeling voor bedrijfskritische applicaties, management consulting voor gespecialiseerde en IT-afdelingen en het testen en implementeren van webbeveiliging).
Ze geven echter niet expliciet aan waarop het ISMS van toepassing is. We kunnen daarom aannemen dat hun ISMS alles omvat wat betrekking heeft op al hun activiteiten en producten.
3. Maandag.nl’s ISO 27001 scope statement
Monday.com’s scope statement is heel duidelijk. Hun ISMS is van toepassing op de IT-afdeling die zich bezighoudt met het ontwikkelen, vermarkten, verkopen, promoten, ondersteunen en ontwerpen van een werkomgeving voor het beheren van teamwerk, het uitvoeren van workflows en processen en het hosten van content en bestanden.
ISO 27001 scope statement sjabloon (download)
We hebben een basis ISO 27001 scope statement sjabloon opgesteld dat u kunt gebruiken.
Deze sjabloon kan worden gebruikt als ‘opvul-sjabloon’ of als richtlijn voor het maken van uw eigen scope statement.
Wacht niet langer, schrijf vandaag nog die ISO 27001 scope!
Tot slot kost het tijd om kort te zijn, dus begin zo snel mogelijk met het opstellen van uw scope statement. Denk eraan niet te ambitieus of te dubbelzinnig te zijn en zorg ervoor dat je begrijpt welke informatie je bedrijf verwerkt.
Om hulp te krijgen van professionals of om te beginnen met het gebruik van de allerbeste doe-het-zelf compliance tool die momenteel op de markt is, boek een demo met Compleye.
