Laat het ons voor u op een rijtje zetten. De ISO 27001-certificering is geen wandelingetje in het park en de uitdagingen zijn niet zoals fietsen. Met uitdagingen komen er uitdagingen. Bij uitdagingen worden fouten gemaakt. Fouten zijn echter het bewijs dat u uw best doet. Zorg er alleen voor dat je ze geen twee keer maakt.
We maken allemaal fouten. Dat is niet anders dan de reis naar ISO 270001 certificering: de officiële certificering die ervoor zorgt dat uw organisatie veilig met haar gegevens omgaat. We hebben de veelvoorkomende valkuilen die u kunt tegenkomen tijdens een ISO 27001 implementatie op een rijtje gezet. Vandaag gaan we die met u delen.
ISO 27001: Omgaan met de reikwijdte
“Scope [ skohp ] – zelfstandig naamwoord – de omvang van het gebied of onderwerp waar iets betrekking op heeft of waarvoor het relevant is.” Bij het certificeren voor ISO 27001 kan het bepalen van de juiste reikwijdte voor het implementeren van een ISMS (Information Security Management System) lastig zijn. Het kan gemakkelijk te ambitieus of niet ambitieus genoeg zijn. Een te ambitieuze aanpak kan ertoe leiden dat doelen niet worden gehaald en het team wordt gedemotiveerd. Aan de andere kant zullen organisaties die hun scope te veel inperken waarschijnlijk non-conformiteiten tegenkomen tijdens de certificeringsaudit, omdat ze niet kunnen aantonen dat ze hun ISMS volledig onder controle hebben.
Geen rollen en verantwoordelijkheden
Beschouw het ISO 27001-implementatieproject nooit als een IT-project waarbij alleen middelen van die afdeling betrokken zijn. ISO 27001-certificering is een project dat gevolgen heeft voor de hele organisatie en alle belanghebbenden. Alle betrokkenen moeten worden geïdentificeerd en hun rollen en verantwoordelijkheden moeten binnen de hele organisatie worden gecommuniceerd. Om te helpen voorkomen dat het ISMS uit elkaar valt als gevolg van veranderingen in belangrijk personeel, raden we alle bedrijven aan een aangewezen overlever aan te wijzen die een algemeen begrip heeft van het ISMS. Netflix heeft het ons goed geleerd.
Niet weten wat ISO 27001 waard is
Helaas zien sommige organisaties hun cybervoetafdruk als onbeduidend en zien ze de toegevoegde waarde van een ISO 27001-certificering niet in. Dat is jammer. ISO 27001 begeleidt het implementeren van passende maatregelen om privacy- en beveiligingsrisico’s te beperken, met aanbevolen technische maatregelen in lijn met de vereisten van de GDPR. Het helpt je om te voldoen aan de GDPR, omdat het een uitstekend uitgangspunt biedt voor organisaties die de technische en organisatorische maatregelen willen implementeren die nodig zijn om het risico op een datalek te verkleinen.
Lees ook: Top 10 ISO 27001 certificeringssoftwaretools
Niet waakzaam zijn na certificering
Het komt vaak voor dat organisaties opgelucht ademhalen wanneer ze de eerste certificering ontvangen. Het risico is echter dat ze te ver in de “ontspanningsmodus” gaan en nog steeds het slachtoffer worden van veelvoorkomende ISO 27001-valkuilen. ISO 27001 is een continu proces dat het hele jaar door moet worden uitgevoerd, niet alleen tijdens de audit. Alles moet worden onderhouden om te bewijzen dat het ISMS blijft functioneren.
Met een groep slimme mensen, een goede motivatie en een bescheiden hoeveelheid training kun je jezelf verrassen. Neem de tijd om je scope te definiëren, obstakels te identificeren, een sterk team op te bouwen, rekening te houden met de hele organisatie en je communicatieplan voor te bereiden. Onderschat de voordelen van het proces niet. Tot slot moet je ervoor zorgen dat het ISMS een levend proces is dat is ingebouwd in de cultuur van de organisatie, zodat het blijft functioneren zoals ontworpen nadat de certificering is ontvangen.
De ISO 27001-certificering is net als het leven. Maak fouten, leer ervan en blijf op koers. Dit traject is het waard.
