ISO27001 Certificatie

ISO/IEC 27001 is een internationale norm voor informatiebeveiliging. Ze helpt organisaties bij het opzetten van een Information Security Management System (ISMS) om gegevens te beveiligen tegen verlies, diefstal en misbruik. Voor KMO’s toont dit aan dat je informatie serieus beschermt, wat vertrouwen opwekt bij klanten, partners en toezichthouders.

Zeker niet. ISO 27001 is schaalbaar en geschikt voor elke organisatiegrootte. KMO’s kunnen het ISMS afstemmen op hun eigen risico’s, complexiteit en middelen. De norm is flexibel en kan perfect aangepast worden aan een kleinere bedrijfscontext.

• Verhoogde klant- en leveranciersvertrouwen
• Verminderd risico op datalekken en cyberaanvallen
• Concurrentievoordeel bij aanbestedingen of contracten
• Naleving van privacywetgeving zoals GDPR
• Interne structuur en verantwoordelijkheden worden duidelijker

De versie van 2022 (ook wel aangeduid als NBN EN ISO/IEC 27001:2023) is afgestemd op ISO/IEC 27002:2022 en de “High Level Structure” van andere ISO-normen. Er zijn minder maar beter geordende controles (93 in plaats van 114), nieuwe thema’s zoals cloudbeveiliging en bedreigingsinformatie, en een helderdere structuur voor implementatie. Je kan je ook enkel nog maar certificeren tegen de ISO27001:2022 versie.

Gemiddeld tussen 6 en 12 maanden, afhankelijk van de complexiteit van je organisatie, beschikbare middelen en bestaande maturiteit van je IT-beveiliging. Kleine bedrijven met een duidelijke focus kunnen sneller certificatie behalen.

Je kan perfect de principes en controls van ISO 27001 toepassen zonder formele certificatie. Dat biedt al veel voordelen. Certificatie is enkel nodig als je dit expliciet moet aantonen aan klanten of bij aanbestedingen.

De kosten hangen af van:

• Interne inspanningen (tijd en personeel)
• Externe begeleiding (consultant, tools, opleidingen)
• Certificatie-audit (door een geaccrediteerde instantie)

• Beperkte tijd en middelen
• Bewustwording bij personeel
• In kaart brengen van risico’s
• Documentatie en opvolging van procedures

Met een pragmatische aanpak en begeleiding zijn deze uitdagingen goed te overwinnen.

Minstens:

• De bedrijfsleider of IT-verantwoordelijke (voor engagement en prioriteit)
  • Een verantwoordelijke van de HR afdeling
• Medewerkers die in scope zijn van je certificering (voor bewustmaking en training)
• Eventueel een externe partner voor begeleiding en auditvoorbereiding

ISO 27001:2022 houdt hier expliciet rekening mee, o.a. via controls in ISO 27002 voor cloudbeveiliging, remote working en identiteitsbeheer. De norm is dus ook perfect toepasbaar in moderne, digitale werkomgevingen.

Neen, maar ze vullen elkaar aan. ISO 27001 helpt je om persoonsgegevens (en andere data) structureel te beschermen, wat je helpt om aan GDPR te voldoen. Denk aan risicoanalyse, toegangsbeheer en incidentbeheer.

Nee, je moet niet alle 93 controles uit Annex A verplicht implementeren. ISO 27001 vereist dat je een risicogebaseerde aanpak volgt:

• Je voert een risicoanalyse uit op je informatiebeveiliging.
• Op basis van die risico’s bepaal je welke controles nodig zijn.
• Voor elke controle die je niet implementeert, moet je wel kunnen motiveren waarom dat in jouw situatie niet nodig is.

Annex A fungeert als referentielijst — een soort “menu” waaruit je de passende maatregelen kiest. Zo hou je het pragmatisch én op maat van je organisatie.

Het certificatietraject van ISO 27001 verloopt in meerdere stappen en fasen:

Eerste jaar – Implementatie en certificatie:

1. Voorbereiding & opbouw ISMS: je voert een risicoanalyse uit, implementeert de nodige controles en maakt de verplichte documentatie op.
2. Interne audit: voor de externe audit moet je zelf al een interne audit uitvoeren om de werking van je ISMS te controleren. Hier kan Infosentry je gerust bij helpen want deze moet gedaan worden door een persoon die de juiste competenties heeft, en ook niet betrokken is geweest bij het project.
3. Certificatie-audit: een erkende certificatie-instelling komt langs. Dit gebeurt in twee fasen:
   • Fase 1: beoordeling van documentatie, scope, en voorbereiding.
   • Fase 2: diepgaand onderzoek nar de effectieve werking van processen en controles. 
4. Bij een positief resultaat ontvang je een certificaat met geldigheid van 3 jaar.

Jaar 2 en 3 – Opvolgaudits:

• Elk jaar komt de certificatie-instelling terug voor een opvolgaudit om te controleren of je ISMS nog steeds leeft en onderhouden wordt.
• De interne audit en management review moeten jaarlijks herhaald worden.

Na 3 jaar – hercertificatie:

Je doorloopt opnieuw een volledige certificatie-audit om je certificaat te vernieuwen.

Belangrijk:

• De interne audit is een verplicht onderdeel van ISO 27001. Dit kan intern of door een externe partner worden uitgevoerd.
• Continue verbetering en opvolging van risico’s zijn essentieel tussen de audits door.