ISO 27001 Informatiebeveiligingsmanagementsysteem

ISO 27001 is de internationale standaard voor informatiebeveiligingsmanagementsystemen (ISMS). Het biedt een systematische aanpak voor het beheren van gevoelige informatie, waaronder mensen, processen en technologische controles. Organisaties kunnen ISO 27001-certificering behalen via onafhankelijke audits, waarmee ze aan klanten en partners aantonen dat ze voldoen aan wereldwijd erkende beveiligingsnormen.

Wie heeft ISO 27001 nodig?

ISO 27001 is vrijwillig maar wordt breed toegepast door:

• Technologieleveranciers: SaaS-bedrijven, cloudproviders, softwareontwikkelaars die beveiliging aantonen aan zakelijke klanten
• Dienstverleners: IT-dienstverleners, managed security providers, adviesbureaus die klantgegevens verwerken
• Financiële dienstverleners: Banken, betaalverwerkers, fintech-bedrijven die een sterke beveiligingshouding vereisen
• Zorginstellingen: Aanbieders die patiëntgezondheidsinformatie beheren
• Overheidsleveranciers: Organisaties die samenwerken met overheidsinstanties die ISO 27001-certificering vereisen
• Leveranciers in de toeleveringsketen: Leveranciers die voldoen aan beveiligingseisen in aanbestedingen of contracten

Hoewel ISO 27001 in de meeste rechtsgebieden niet wettelijk verplicht is, is het vaak een contractuele vereiste, een concurrentievoordeel of een voorwaarde om zaken te doen in gereguleerde sectoren.

Structuur van ISO 27001

De standaard bestaat uit twee hoofdcomponenten:

Hoofdclausules (4-10): Vereisten voor het opzetten, implementeren, onderhouden en continu verbeteren van een ISMS

• Clausule 4: Context van de organisatie
• Clausule 5: Leiderschap en betrokkenheid
• Clausule 6: Planning (risicobeoordeling en -behandeling)
• Clausule 7: Ondersteuning (middelen, competentie, communicatie)
• Clausule 8: Uitvoering (implementatie van risicobehandeling)
• Clausule 9: Evaluatie van prestaties (monitoring, audit, beoordeling)
• Clausule 10: Verbetering (afwijkingen en corrigerende maatregelen)

Bijlage A: 93 beveiligingscontroles verdeeld over 4 thema's (organisatorisch, personeel, fysiek, technologisch)

De vier thema's van Bijlage A

ISO 27001:2022 organiseert 93 controles in thematische categorieën:

Organisatorische controles (37 controles):

• Beleidsdocumenten voor informatiebeveiliging
• Beheer van bedrijfsmiddelen en acceptabel gebruik
• Toegangscontrole en scheiding van taken
• Leveranciersrelaties en beveiliging van derden
• Incidentbeheer en bedrijfscontinuïteit
• Naleving en wettelijke vereisten

Personeelscontroles (8 controles):

• Screening en arbeidsovereenkomsten
• Beveiligingsbewustzijn en training
• Disciplinair proces
• Beëindiging en wijziging van dienstverband

Fysieke controles (14 controles):

• Beveiliging van de perimeter en toegangscontroles
• Beveiligde ruimtes en bescherming van apparatuur
• Clean desk- en clear screen-beleid
• Verwijdering van apparatuur en omgang met media

Technologische controles (34 controles):

• Beveiliging van eindpunten en netwerken
• Cryptografie en sleutelbeheer
• Back-up en logging
• Kwetsbaarhedenbeheer en bescherming tegen malware
• Veilige ontwikkelingscyclus
• Configuratiebeheer en patchbeheer

Risicogebaseerde aanpak

ISO 27001 vereist een systematisch risicobeheerproces:

1. Vaststellen van de context: Definieer scope, grenzen en belanghebbenden
2. Risicobeoordeling: Identificeer bedrijfsmiddelen, bedreigingen, kwetsbaarheden en bereken risiconiveaus
3. Risicobehandeling: Selecteer controles uit Bijlage A of andere bronnen om risico's te mitigeren
4. Verklaring van Toepasbaarheid (SoA): Documenteer welke controles zijn geïmplementeerd en waarom
5. Risicobehandelingsplan: Definieer wie controles implementeert, wanneer en hoe

Organisaties hoeven niet alle 93 controles uit Bijlage A te implementeren—alleen die welke relevant zijn voor hun risicoprofiel. Ze moeten echter uitsluitingen rechtvaardigen in de Verklaring van Toepasbaarheid.

Plan-Do-Check-Act-cyclus

ISO 27001 volgt een continu verbetermodel:

• Plan: Stel ISMS-scope, beleid, doelstellingen en risicobeoordeling vast
• Do: Implementeer controles, train medewerkers, voer het risicobehandelingsplan uit
• Check: Monitor controles, voer interne audits uit, beoordeel prestaties
• Act: Pak afwijkingen aan, update controles, verbeter processen

Deze iteratieve aanpak zorgt ervoor dat het ISMS zich aanpast aan veranderende bedreigingen, bedrijfsbehoeften en technologische ontwikkelingen.

Certificeringsproces

Het behalen van ISO 27001-certificering omvat doorgaans:

1. Gap-analyse: Beoordeel de huidige situatie ten opzichte van ISO 27001-vereisten
2. ISMS-ontwerp: Definieer scope, stel beleid vast, voer risicobeoordeling uit
3. Implementatie: Implementeer controles, train personeel, documenteer processen (3-12 maanden)
4. Interne audit: Test de effectiviteit van controles en identificeer hiaten
5. Directiebeoordeling: Leiding evalueert de ISMS-prestaties
6. Fase 1-audit (documentatiebeoordeling): Externe auditor beoordeelt ISMS-documentatie
7. Fase 2-audit (implementatiebeoordeling): Externe auditor test controles ter plaatse
8. Certificering: Certificaat wordt afgegeven voor 3 jaar, met jaarlijkse surveillance-audits

Hercertificeringsaudits vinden elke 3 jaar plaats.

Gangbare documentatievereisten

ISO 27001 vereist specifieke gedocumenteerde informatie:

• Verplichte beleidsdocumenten: Beleid voor informatiebeveiliging, methodologie voor risicobeoordeling, risicobehandelingsplan
• Verklaring van Toepasbaarheid: Selectie en rechtvaardiging van controles
• Risicobeoordelings- en behandelingsverslagen
• Procedures: Incidentrespons, toegangscontrole, wijzigingsbeheer, back-up, monitoring
• Bewijsmateriaal: Auditlogs, trainingsverslagen, risicobeoordelingen, incidentrapporten, corrigerende maatregelen

Organisaties produceren doorgaans 20-50 beleidsdocumenten en procedures, afhankelijk van scope en complexiteit.

ISO 27001:2022 vs. 2013

De herziening van 2022 introduceerde aanzienlijke wijzigingen:

• Aantal controles verhoogd van 114 naar 93 (geconsolideerd en gemoderniseerd)
• Herzien van 14 domeinen naar 4 thema's
• Toevoeging van 11 nieuwe controles (dreigingsinformatie, cloudbeveiliging, datamaskering, web filtering, veilige codering)
• Afgestemd op ISO 27002:2022-richtlijnen
• Versterkte focus op privacy, toeleveringsketen en opkomende technologieën

Organisaties die gecertificeerd waren volgens ISO 27001:2013 hadden tot oktober 2025 de tijd om over te stappen naar de 2022-standaard.

Hoe ISMS Copilot helpt

ISMS Copilot biedt volledige ondersteuning voor ISO 27001-implementatie en -certificering:

• Controlespecifieke vragen: Stel vragen over elke Annex A-controle (bijv. "Leg ISO 27001 A.8.1 gebruikers eindpuntapparaten uit")
• Beleidsgeneratie: Maak auditklare beleidsdocumenten voor elke controle of vereiste
• Risicobeoordelingen: Genereer raamwerken voor risicobeoordeling, inventarissen van bedrijfsmiddelen en risicobehandelingsplannen
• Gap-analyse: Upload bestaande beleidsdocumenten om dekkingshiaten ten opzichte van Bijlage A te identificeren
• Verklaring van Toepasbaarheid: Bouw SoA-documenten die controles koppelen aan risico's
• Bewijsgeneratie: Maak sjablonen voor procedures, checklists en nalevingsverslagen
• Voorbereiding interne audit: Ontwikkel auditchecklists en testscripts
• Werkruimteorganisatie: Beheer certificeringsprojecten gescheiden van operationeel beveiligingswerk

De AI heeft directe kennis van alle 93 Annex A-controles en kan specifieke controlenummers in antwoorden vermelden.

Aan de slag

Om te beginnen met de implementatie van ISO 27001 met ISMS Copilot:

1. Maak een speciale werkruimte voor uw ISO 27001-project
2. Definieer de scope en grenzen van uw ISMS
3. Vraag de AI om u te helpen een beleidsdocument voor informatiebeveiliging (topniveau) te maken
4. Genereer een document met de methodologie voor risicobeoordeling
5. Voer een gap-analyse uit door bestaande beveiligingsbeleid te uploaden
6. Maak beleidsdocumenten voor toepasselijke Annex A-controles op basis van uw risicobeoordeling
7. Documenteer uw Verklaring van Toepasbaarheid
8. Genereer procedures voor operationele controles (incidentrespons, back-up, toegangsbeheer)

Gerelateerde bronnen

• Officiële ISO 27001:2022-standaard (te koop bij ISO of nationale normalisatie-instanties)
• ISO 27002:2022-implementatierichtlijnen
• ISO 27005-richtlijnen voor risicobeheer
• Directories van certificeringsinstanties (UKAS, ANAB, accreditatie-instanties)