Hoeveel verplichte vereisten zijn er nodig voor ISO 27001?
Volgens Compleye’s at-a-glance lijst, zijn er 8 vereisten voor ISO 27001 certificering:
- Implementeer een beveiligingsbeheersysteem (ISMS)
- Risicobeoordeling uitvoeren
- Ontwikkel beveiligingsbeleid en -procedures
- Implementeer controles om geïdentificeerde risico’s te beperken
- De effectiviteit van het ISMS bewaken en beoordelen
- Registers van het ISMS bijhouden
- communiceer het ISMS aan alle werknemers
- Train medewerkers over het ISMS
Hoeveel verplichte clausules zijn er in ISO 27001?
Wat de clausules betreft, bestaat ISO 27001 uit twee delen. Deel 1 (het verplichte deel) bestaat uit 11 clausules, variërend van clausule 0 tot clausule 10
Deel 2, ook wel Annex A genoemd, bevat 114 (ja, je leest het goed, honderdveertien!) controles. Deze controles worden gebruikt om je Verklaring van Toepasselijkheid (SoA) rond te structureren.
Is een interne audit verplicht voor ISO 27001?
Ja. En als je erover nadenkt (of zelfs als je er niet over nadenkt) is dit absoluut logisch omdat een audit je ook helpt om te verifiëren dat je ISMS functioneert zoals het zou moeten.
In ons artikel ‘Het is tijd voor een interne audit‘ gaan we dieper in op de ins-en-outs van de interne audit.
Is het ISMS-handboek een verplicht document?
Het is niet verplicht om een ISMS-handleiding te hebben, maar het wordt wel sterk aanbevolen. Een ISMS-handleiding maakt deel uit van een uitgebreide risicomanagementstrategie. Het is een alles-in-één oplossing om al je documenten op te slaan zodat je ze snel en gemakkelijk kunt raadplegen.
En over documenten gesproken, hier is de lijst die we je beloofd hadden:
Verplichte ISO 27001-documentatie
Hoewel er geen officiële lijst is van verplichte documenten voor ISO 27001, wilden we toch aangeven welke documenten u zeker moet overwegen te verzamelen. We richten ons op de volgende lijst:
- Omvang van het ISMS
- Beleid en doelstellingen voor informatiebeveiliging
- Risicobeoordeling en methodologie voor risicobehandeling
- Verklaring van Toepasselijkheid
- Risicobehandelingsplan
- Risicobeoordelingsrapport
- Definitie van beveiligingsrollen en verantwoordelijkheden
- Inventarisatie van bedrijfsmiddelen
- Aanvaardbaar gebruik van bedrijfsmiddelen
- Beleid voor toegangscontrole
- Bedrijfsprocedures voor IT-beheer
- Beginselen voor veilige systeemengineering
- Beveiligingsbeleid leverancier
- Procedure voor incidentbeheer
- Business continuity procedures
- Wettelijke, regelgevende en contractuele vereisten
Laten we deze documenten eens van dichterbij bekijken en ze van context voorzien. Zo heb je een beter idee van wat je kunt verwachten.
Omvang van het ISMS (clausule 4.3)
Dit vertelt je belanghebbenden precies welke gebieden van je bedrijf onder je ISMS vallen. Om uw belanghebbenden duidelijkheid te verschaffen, kunt u naast de reikwijdte van uw ISMS ook een visie en/of strategie geven. Vergeet niet dat uw gedocumenteerde ISMS scope het belangrijkste ingrediënt is voor een succesvolle certificering;
Beleid en doelstellingen voor informatiebeveiliging
Het topmanagement moet een informatiebeveiligingsbeleid opstellen dat relevant is voor het doel van uw specifieke organisatie (dus niet kopiëren van uw maatje hier mensen!). Het beleid laat zien dat het topmanagement zich inzet voor de ISMS-doelstellingen en de voortdurende verbetering ervan.
Risicobeoordeling en risicobehandelingsmethodologie
Je moet laten zien hoe je je informatierisico’s identificeert, analyseert, evalueert en prioriteert. Bepaal wat geschikt is voor uw organisatie en schrijf dit op in een rapport, een lijst, een matrix of een ander overtuigend document dat laat zien hoe uw risico’s worden beheerst.
Toepasselijkheidsverklaring
Een SoA maakt je auditor zo blij als een mossel. In zijn artikel ‘The Benefits of the Statement of Applicability in ISMS Projects’, legt Jayakumar Sundaram uit dat de SoA “de belangrijkste schakel is tussen risicobeoordeling en risicobehandeling. De SoA is een continu bijgewerkt en gecontroleerd document dat een overzicht geeft van de implementatie van informatiebeveiliging.” We hadden het zelf niet beter kunnen zeggen.
Risicobehandelingsplan
In clausule 6.1.3 wordt uitgelegd wat je moet doen om een risicobehandelingsplan te maken. Kort gezegd moet je een proces/procedure opstellen voor de behandeling van informatierisico’s en aantonen dat het proces effectief werkt. Zo eenvoudig is dat!
Risicobeoordelingsrapport
Als de risico’s zijn geïdentificeerd, moet je uitzoeken welke risico’s verder moeten worden beoordeeld en hoe de beoordelingen worden uitgevoerd. Volgens Info-Savvy moet “Een brede risicobeoordeling voor informatiebeveiliging moet minimaal één keer per jaar worden uitgevoerd.”
Definitie van beveiligingsrollen en verantwoordelijkheden
Er zijn verschillende manieren waarop je rollen en verantwoordelijkheden duidelijk kunt maken. Kijk bijvoorbeeld eens naarhet RASCI-diagram in de ISO27001-toolkit.
Inventaris van bedrijfsmiddelen
Nee, u hoeft geen lijst te maken van uw koffiezetapparaat en waterkoeler; alleen van uw IT-systeemactiva en hun beheerders/eigenaars.
Aanvaardbaar gebruik van bedrijfsmiddelen
Het is van vitaal belang dat je richtlijnen (en training) hebt over hoe de IT-middelen van je bedrijf gebruikt moeten worden en wie ze mag gebruiken. Iedereen, inclusief aannemers en uitzendkrachten, moet toegang hebben tot de regels voor het gebruik van je IT-middelen. Misschien wil je ook wat richtlijnen opstellen voor het gebruik van het koffiezetapparaat en de waterkoeler;
Beleid voor toegangsbeheer/Toegangsbeheer
Het is een uitstekend idee om een algemeen toegangscontrolebeleid te combineren met specifieke richtlijnen voor gecontroleerde toegang met betrekking tot wachtwoorden, firewalls, VPN’s enz. Al deze richtlijnen moeten regelmatig worden herzien;
Bedrijfsprocedures voor IT-beheer
Hoogwaardige, gemakkelijk te lezen en te begrijpen operationele procedures moeten worden gegenereerd, verspreid en onderhouden.
Gecontroleerde systeemengineeringprincipes
Controle 8.27 is een preventieve controle. Het zorgt ervoor dat je bedreigingen voor de CIA elimineert. Nee, die niet! De Vertrouwelijkheid, Integriteit en Beschikbaarheid van je informatiemiddelen.
Beveiligingsbeleid voor leveranciers aka beleid voor leveranciersbeheer
Terwijl je (bijna) alles kunt controleren wat er binnen de grenzen van je organisatie gebeurt, is de beveiliging van je leveranciers iets waar je geen controle over hebt. Zorg er dus voor dat je controleert of zij hun eigen beveiligingsbeleid hebben.
Incidentmanagementprocedure
ISO 27001 definieert een beveiligingsincident als “een ongewenste gebeurtenis die de vertrouwelijkheid, integriteit of beschikbaarheid van informatie in gevaar kan brengen” Of het nu gaat om een phishinggebeurtenis of een inbreuk op een computersysteem, de procedure voor het afhandelen van een incident moet het snel verzamelen van bewijs, een forensische analyse, communicatie over het incident en, zoals met alle ISO-zaken, het bijhouden van gegevens omvatten.
Business continuity procedures
Hoe ernstig uw bedrijf ook wordt getroffen door een beveiligingsincident of -gebeurtenis, u moet in staat zijn om essentiële functies te behouden en verder te gaan opde weg naar certificering. Business Continuity Management is een uitloper van crisismanagement en moet worden gedocumenteerd via strategieën, beleid, plannen, procedures en rapporten;
Wettelijke, reglementaire en contractuele vereisten
Ah, Bijlage A.18.1, die lastige clausule waar zoveel ISO-hoopjongens van schrikken! Bedrijven realiseren zich niet hoeveel wet- en regelgeving er op hen van toepassing is. Maar uw vriendelijke auditor wil weten hoe u uw wettelijke, reglementaire en contractuele verplichtingen bent nagekomen;
Verplichte ISO 27001-records
Registers van training, vaardigheden, ervaring en kwalificaties
Het beheren van een ISMS is geen kinderspel. Je hebt een team nodig dat de vaardigheden en training heeft, niet alleen vanuit beveiligingsoogpunt, maar ook vanuit HR-, juridisch, commercieel, IT- (en ga zo maar door) oogpunt. Om aan te tonen dat je hieraan voldoet, kun je (vrij) eenvoudig een tabel opstellen met wie erbij betrokken is, wat ze doen en wat hun ervaring is.
Monitoring en meetresultaten
Dit stuk van het ICT Institute legt clausule 9.1 het beste uit. “Monitoren is het observeren van gegevens die worden gecreëerd tijdens een proces of door een systeem. Meten daarentegen vereist dat gegevens worden verzameld door middel van een actie. Je kunt bijvoorbeeld de beschikbaarheid van je website monitoren door het uptime-percentage van je webserver te controleren met behulp van een dashboard, of meten door te tellen hoeveel meldingen van servercrash zijn aangemaakt in je ticketing-systeem.” Klinkt logisch, toch?
Intern auditprogramma
Zoals hierboven vermeld, heb je een interne audit nodig zoals de woestijn de regen nodig heeft (er zit ergens een liedje in). En u hebt het regelmatig nodig om ervoor te zorgen dat uw ISMS (Information Security Management System) blijft voldoen aan de ISO 27001-normen en om continue verbetering mogelijk te maken.
Resultaten van interne audits
Het heeft geen zin om een interne audit uit te voeren als u de resultaten niet vastlegt. Het rapport moet het volgende bevatten:
- Reviews van documentatie
- Bemonstering van bewijsmateriaal
- Interviews met belangrijke ISMS-medewerkers
- Interviews met ander personeel en zelfs externe aannemers
- Beoordelingen van bevindingen
Resultaten van de managementbeoordeling
Het spreekt voor zich (maar we zeggen het toch) dat het doel van een directiebeoordeling is om het topmanagement te informeren en te bewijzen dat het geïmplementeerde ISMS en de doelstellingen ervan tekenen van effectiviteit, transparantie en integriteit blijven vertonen.
Resultaten van corrigerende maatregelen
Zodra een risico is geïdentificeerd, moeten er corrigerende maatregelen worden genomen. De acties (van ontdekking tot correctie) moeten worden gedocumenteerd, soms via registers, op een manier die aantoont dat de genomen corrigerende maatregelen effectief waren.
Logs van gebruikersactiviteiten, uitzonderingen en beveiligingsgebeurtenissen
Denk er bij het loggen van activiteiten, uitzonderingen en gebeurtenissen aan dat privé-, gevoelige en/of persoonlijke informatie in eventlogs kan worden gebruikt, dus privacymaatregelen moeten goed worden geïmplementeerd. Geen uitzonderingen!
Krijg hulp bij het verzamelen van uw verplichte ISO 27001-documenten
Wees u ervan bewust dat uw auditor zal kiezen wat hij wil zien. Dus om uw audit zo eenvoudig mogelijk te maken, kunt u zich het beste voorbereiden door ervoor te zorgen dat u alle juiste documenten hebt en dat ze zijn gesorteerd, gearchiveerd en geïndexeerd voor gemakkelijke toegang.
De beste manier om er zeker van te zijn dat je alles onder controle hebt, is door gebruik te maken van een online platform dat je de begeleiding en tools biedt die je nodig hebt om gecertificeerd te worden.
Boek een demo met Compleye om te zien hoe wij u kunnen helpen bij het verzamelen van uw ISO 27001 verplichte documenten.
