Een ISMS opzetten voor ISO 27001

Een ISMS is de vaste manier waarop je bedrijf zijn informatie beveiligt. Het bewaakt drie dingen: dat alleen de juiste mensen informatie zien (vertrouwelijkheid), dat de informatie klopt (integriteit) en dat je erbij kunt als je haar nodig hebt (beschikbaarheid). ISMS staat voor information security management system, in het Nederlands een managementsysteem voor informatiebeveiliging. De kern is risicomanagement. Je zoekt uit wat er mis kan gaan en je kiest daar maatregelen tegen. ISO 27001 vraagt dat je het ISMS opzet, invoert, bijhoudt en blijft verbeteren.

Een ISMS is dus een cyclus. Je plant, je voert uit, je controleert en je stuurt bij. Daarna begin je opnieuw. Wat je op papier zet, is daarvan alleen het spoor. Bij een bedrijf van twintig mensen bestaat het ISMS vaak uit een paar documenten: een beleid, een lijst met risico's, de verklaring van toepasselijkheid en een werklijst met maatregelen. Daarbij komen vaste momenten in de agenda om te meten, te auditen en met de directie te kijken.

Welke eisen er per hoofdstuk aan het ISMS hangen, staat bij de eisen van ISO 27001. Welke stukken verplicht zijn, staat bij de verplichte documenten. Hieronder staat hoe je het in de praktijk opbouwt.

De norm zegt zelf dat de volgorde van de hoofdstukken niets zegt over de volgorde waarin je ze invoert. In de praktijk bouwt een ISMS op zichzelf voort. Elk stuk gebruikt de uitkomst van het stuk ervoor. Daarom werkt deze volgorde:

Je begint met de grens: welke diensten, afdelingen, locaties en systemen vallen onder je ISMS. Dat heet het toepassingsgebied (scope). Kies het vanuit de vraag die je wilt beantwoorden. Vraagt een klant om ISO 27001 voor je softwaredienst? Dan moet die dienst erin vallen, met de mensen en leveranciers die eraan werken.

ISO heeft één vaste basistekst voor alle managementnormen, met uitleg erbij. Die uitleg zegt dat de geloofwaardigheid van een managementsysteem afhangt van een goede keuze van die grens. De omschrijving moet een feitelijk beeld geven van wat eronder valt. Ze mag belanghebbenden niet misleiden. Een scope die alleen de afdeling noemt die al op orde is, valt bij een klant door de mand.

Daarna leg je vast hoe je risico's beoordeelt, en pas dan beoordeel je ze. De methode komt eerst, zodat een tweede ronde tot vergelijkbare uitkomsten komt. Een eenvoudige methode werkt goed. Geef kans en gevolg elk een score van 1 tot 5, en spreek af vanaf welke uitkomst je iets moet doen.

Begin bij de informatie en de systemen die je hebt. Vraag per systeem wat er mis kan gaan met vertrouwelijkheid, integriteit en beschikbaarheid. Een regel in je risicolijst ziet er dan zo uit: "Klantdata in de cloudomgeving uitgelekt door een gestolen wachtwoord. Eigenaar: IT-beheer. Kans 3, gevolg 5." Wat de norm precies vraagt over de methode en de risico-eigenaren, staat bij de eisen van ISO 27001.

Uit de risico's volgen de maatregelen. Die leg je naast de 93 maatregelen uit Annex A, zodat je er geen mist. Het resultaat is de verklaring van toepasselijkheid. Daarin staat per maatregel of je hem nodig hebt, of hij al werkt en waarom je hem uitsluit als dat zo is. Hoe je die verklaring opbouwt, staat bij de verplichte documenten.

Wat nog niet werkt, zet je in je risicobehandelplan. Dat plan is een werklijst met per maatregel een eigenaar en een datum. Begin bij de risico's met de hoogste score. Een maatregel is pas ingevoerd als drie dingen kloppen. Er is een afspraak. Iemand voert die afspraak uit. En je kunt laten zien dat het gebeurt. Een voorbeeld is inloggen in twee stappen. De afspraak staat in je toegangsbeleid. De instelling staat aan in je systemen. En een export uit je beheerportaal laat zien dat elk account het gebruikt.

Een deel van je maatregelen ligt bij leveranciers, zoals je hostingpartij of je IT-beheerder. Vraag hun certificaten en rapporten vroeg op. Dan loopt je planning niet vast op hun agenda.

Als de eerste maatregelen draaien, begin je met meten. ISO 27001 vraagt dat je bepaalt wat je meet, hoe je meet, wanneer je meet en wanneer je de uitkomsten beoordeelt. De uitkomsten bewaar je als bewijs. Daarnaast stel je doelen voor informatiebeveiliging. Die doelen passen bij je beleid. Je maakt ze meetbaar als dat kan, en je volgt ze.

Meet weinig dingen, en kies dingen waar je iets mee doet. Deze metingen passen bij veel kleine bedrijven:

Een getal zonder actie heeft weinig zin. De auditor vraagt vaak wat je deed toen een cijfer de verkeerde kant op ging.

Met de interne audit controleer je zelf of je ISMS aan de norm en aan je eigen afspraken voldoet. Ook controleer je of het in de praktijk werkt. ISO 27001 vraagt een auditprogramma: hoe vaak je audit, hoe, wie het doet en hoe je rapporteert. Onderdelen die belangrijk zijn of eerder problemen gaven, krijgen meer aandacht. De uitkomsten gaan naar de leiding.

De norm vraagt ook dat je auditors objectief en onpartijdig kiest. Bij een klein bedrijf is dat lastig, want de persoon die het ISMS bouwde, kan zijn eigen werk niet goed auditen. Dan huur je een buitenstaander in. Je certificeerder mag dat niet zijn. ISO/IEC 17021-1 noemt een interne audit door de certificeerder een grote bedreiging voor zijn onpartijdigheid. De erkende oplossing is dat hij je systeem daarna twee jaar niet certificeert.

In de directiebeoordeling (management review) kijkt de leiding op vaste momenten of het ISMS nog past, genoeg is en werkt. De vaste opbouw van ISO-normen noemt wat er minstens op tafel komt:

ISO 27001 vraagt in 9.3.2 nog twee onderwerpen meer. De directie bespreekt ook de terugkoppeling van belanghebbenden. En ze bespreekt de uitkomst van de risicobeoordeling en de stand van het risicobehandelplan. Dan ziet de directie welke risico's nog openstaan en welke ze heeft geaccepteerd.

De uitkomst is een besluit. Je legt vast wat je verbetert en wat je aan het ISMS verandert. Bij een klein bedrijf kan dat één vergadering zijn met een kort verslag. Dat is genoeg als de besluiten erin staan.

ISO/IEC 17021-1, de norm voor certificeerders, noemt geen vaste minimumduur voor je ISMS. Wel kijkt de auditor in fase 1 of je interne audit en directiebeoordeling gepland zijn en lopen. In fase 2 toetst hij ze. Je ISMS moet dus minstens één volledige ronde hebben gemaakt. Dat is van risicobeoordeling via maatregelen en metingen tot interne audit en directiebeoordeling.

Hoe lang dat duurt, hangt af van hoeveel maatregelen je nog moet invoeren. Een vast aantal maanden voor één ronde hebben we niet.

Voor ISO 27001 gelden voor de certificeerder ook de extra eisen van ISO/IEC 27006-1. Of die norm een minimumduur noemt, hebben we niet kunnen nalezen. Het hele traject en de doorlooptijd staan bij de stappen voor ISO 27001.

Na het certificaat draait de cyclus door. Je certificeerder komt minstens één keer per kalenderjaar terug voor een controle-audit. De eerste komt uiterlijk twaalf maanden na het besluit over je certificaat. Bij elke controle-audit kijkt hij opnieuw naar je interne audit en directiebeoordeling. Een ISMS dat na de eerste audit stil komt te liggen, valt bij die controle dus op.

Software is niet verplicht. Een spreadsheet is voor veel kleine bedrijven genoeg, want ISO 27001 schrijft geen hulpmiddel voor. Je kiest zelf de vorm van je documenten, zoals papier, een tekstbestand, een spreadsheet of een tool.

Wel stelt de norm eisen aan hoe je die stukken beheert. Ze zijn goedgekeurd voordat ze gelden. Wie ze nodig heeft, kan ze vinden. Ze hebben versiebeheer. En ze zijn beschermd tegen verlies van vertrouwelijkheid en integriteit. Dat is de toets voor elk hulpmiddel. De auditor kijkt naar de inhoud en naar het bewijs. In welk programma het staat, maakt hem niet uit.

Een spreadsheet voor je risico's en je verklaring van toepasselijkheid, plus beleid in je gewone tekstprogramma, is genoeg voor veel kleine bedrijven. Het kost geen licentie, en iedereen kan ermee werken. Het zwakke punt is het beheer. Je moet zelf regelen wie mag wijzigen en welke versie geldt. Ook moet je zelf bijhouden wanneer een meting of controle weer aan de beurt is. Bewaar de bestanden op een plek met toegangsrechten en versiegeschiedenis, zoals je bestaande cloudopslag.

ISMS-software koppelt risico's, maatregelen en bewijs aan elkaar. Ze stuurt herinneringen voor terugkerende taken. Sommige tools halen bewijs automatisch op uit je cloudomgeving, zoals instellingen voor inloggen of versleuteling. Dat scheelt werk als je veel systemen hebt of meerdere normen tegelijk bijhoudt. Daar staan een abonnement en een leertijd tegenover. Ook komen tools vaak met kant-en-klare beleidsteksten. Pas die aan tot ze beschrijven hoe jij werkt, want de auditor toetst of je doet wat er staat. Vraag vooraf of je je gegevens kunt meenemen als je stopt met de tool.

Welke softwareleveranciers er zijn en hoe ze verschillen, staat bij ISMS-software.

Een adviseur kan het uitzoeken en opschrijven overnemen. Het draaien van het ISMS blijft bij jou: de metingen, de interne audit door een ander en de directiebeoordeling. Je certificeerder mag je niet adviseren. ISO/IEC 17021-1 verbiedt een certificeerder om advies te geven over het opzetten van een managementsysteem. Wanneer een adviseur loont en hoe je er een kiest, staat bij zelf doen of een adviseur.

Wie al een ISO 9001-systeem heeft, kan zijn interne audit, directiebeoordeling en documentbeheer voor beide normen gebruiken. Dat staat bij normen combineren. Werk je in de zorg, dan bouw je hetzelfde ISMS voor NEN 7510, met extra maatregelen voor gezondheidsgegevens.

Wil je hulp bij een deel van je ISMS, zoals de risicobeoordeling of de interne audit? Bij CertificeerWijzer beschrijf je één keer hoe ver je bent en waar je hulp bij zoekt. Dan leg je de voorstellen van implementatiepartners naast elkaar.