Verplichte documenten voor ISO 27001

ISO 27001 noemt alles wat je vastlegt gedocumenteerde informatie. Per eis zegt de norm of je iets moet vastleggen. Niet elke eis vraagt om een document. ISO legt bij de vaste opbouw van zijn normen uit wat dat betekent: bij een eis waarin je iets alleen "bepaalt", hoef je geen stuk te hebben. Je moet het wel kunnen laten zien.

Er zijn twee soorten die je wel moet vastleggen:

Je kiest zelf de vorm: een document, een spreadsheet, een wiki of een registratie in een tool. Hoeveel je verder vastlegt, hangt af van de omvang en het soort werk van je bedrijf. Het hangt ook af van hoe ingewikkeld je processen zijn en hoe bekwaam je mensen zijn. De editie die geldt is ISO/IEC 27001:2022. Welke eisen erachter zitten, staat bij de eisen van ISO 27001.

ISO 27001 vraagt om deze documenten. De tabel zet de paragraaf van de norm erbij:

Je communiceert het beleid binnen het bedrijf. Waar dat past, communiceer je het ook aan belanghebbenden. Je mag de twee methodes in één stuk zetten. Dan moeten beide erin staan.

Naast de documenten bewaar je bewijs. Daarmee laat je zien dat je doet wat je hebt afgesproken. ISO 27001 vraagt om dit bewijs:

Je beheert al deze stukken volgens paragraaf 7.5. Ze zijn goedgekeurd voordat ze gelden. Wie ze nodig heeft, moet ze kunnen vinden. Ze hebben versiebeheer en een bewaartermijn. Bij ISO 27001 telt één regel uit 7.5 extra zwaar. Je stukken moeten beschermd zijn tegen verlies van vertrouwelijkheid en integriteit. Een risicobeoordeling met je zwakke plekken hoort dus niet in een map waar het hele bedrijf bij kan.

De verklaring van toepasselijkheid (Statement of Applicability, SoA) is een overzicht van alle 93 maatregelen uit Annex A. Per maatregel staat je keuze erin, met de reden. De verklaring koppelt je risicobeoordeling aan wat je echt doet. Per maatregel staat erin:

Neem ook je eigen maatregelen op die niet in Annex A staan. In de praktijk is de verklaring een tabel met 93 regels plus je eigen maatregelen. Eén kolom verwijst naar het bewijs, zoals het beleid of de tool waarin je de maatregel regelt. Op veel ISO 27001-certificaten staat de versie van de verklaring waarop het certificaat is gebaseerd. Zo ziet een klant welke maatregelen erbij horen. Verandert je verklaring wezenlijk, dan overleg je met je certificeerder. Dan hoor je of het certificaat moet worden bijgewerkt.

Wanneer je een maatregel mag uitsluiten, staat bij de eisen van ISO 27001.

Het risicobehandelplan zegt hoe je de risico's aanpakt die je in je risicobeoordeling hebt gevonden. De verklaring van toepasselijkheid zegt welke maatregelen je hebt. Het plan zegt wie wat doet en wanneer het af is. Ook hoort erbij dat de eigenaren van de risico's het plan goedkeuren. Zij accepteren ook de risico's die overblijven.

Een goed plan is dus een werklijst. Een voorbeeld: "multifactorauthenticatie voor alle beheeraccounts, eigenaar IT-beheer, af in maart". Een plan zonder namen of data laat de auditor niet zien dat je het uitvoert. Nadat je het hebt uitgevoerd, bewaar je wat het opleverde (8.3). Na een wijziging, zoals een nieuwe clouddienst, beoordeel je de risico's opnieuw. Daarna werk je het plan bij.

Als je een maatregel in je verklaring van toepasselijkheid kiest, vraagt die maatregel soms zelf om vastlegging. Dat zijn geen eisen uit hoofdstuk 4 tot en met 10. Ze gelden alleen als de maatregel bij jou van toepassing is. Een paar voorbeelden uit Annex A:

Voor de andere maatregelen schrijft de norm geen document voor. Een procedure per maatregel is dus niet nodig. Vaak is een instelling in je systeem of een vinkje in je tool het bewijs. Uitleg per maatregel staat in ISO/IEC 27002. Je wordt niet tegen die uitleg geaudit.

In fase 1 kijkt de auditor of je stukken compleet genoeg zijn om je ISMS echt te toetsen. De regels daarvoor staan in ISO/IEC 17021-1. Aanvullingen voor informatiebeveiliging staan in ISO/IEC 27006-1:2024. Hij bekijkt:

De auditor geeft je de conclusies op papier. Die bevatten de punten die in fase 2 een afwijking kunnen worden. Bij ISO 27001 gaat het vaak om een scope die niet aansluit op de risicobeoordeling. Het kan ook gaan om een uitsluiting in de verklaring zonder reden. Los die punten op voordat fase 2 begint.

In fase 2 kijkt de auditor of je ISMS in de praktijk werkt. Daarbij gebruikt hij je risicobeoordeling en je verklaring van toepasselijkheid als kaart. Hij kiest maatregelen uit de verklaring en volgt een spoor. Dat spoor loopt van een risico naar de gekozen maatregel. Van daar loopt het naar het bewijs dat die maatregel werkt. Dat bewijs is bijvoorbeeld een overzicht van toegangsrechten, een test van je back-up of het verslag van een incident. Een maatregel die je "ingevoerd" noemt, moet hij terugzien. Een uitsluiting moet hij kunnen volgen tot je risicobeoordeling.

Ontbreekt een verplicht stuk, zoals de verklaring van toepasselijkheid of het bewijs van je interne audit? Dan is dat vaak een grote afwijking (major). Die moet je oplossen voordat je het certificaat krijgt. Wat er na fase 2 gebeurt, staat bij de certificeringsaudit. Het hele traject staat bij de stappen voor ISO 27001.

De eisen aan je documenten zijn bij elke certificeerder gelijk. Wel verschilt hoe hij fase 1 aanpakt en hoeveel dagen hij rekent. Vraag in de offerte drie dingen. Kan fase 1 op afstand? Hoeveel tijd zit er tussen fase 1 en fase 2? Wat kost het als fase 2 opnieuw moet? De dagen zelf staan bij de kosten van ISO 27001. Met je scope en je verklaring van toepasselijkheid bij de hand vraag je via CertificeerWijzer in één keer offertes op. Het gaat om certificeerders die ISO 27001 mogen doen. Daarna leg je hun antwoorden naast elkaar. Werk je met gezondheidsgegevens, kijk dan ook naar NEN 7510. Die norm vraagt dezelfde stukken, plus eigen maatregelen voor de zorg.