Zelf ISO 27001 halen? Dan loopt u op uw IT al voor
Steeds meer organisaties willen ISO 27001-gecertificeerd raken. Soms omdat een opdrachtgever erom vraagt, soms omdat een aanbesteding het eist, soms gewoon omdat ze het goed willen regelen. En dan blijkt al snel dat een flink deel van die norm over IT gaat: toegangsbeheer, back-ups, logging, kwetsbaarheden, incidenten.
Dat is precies het deel dat bij ons al draait. RayFlexCom is sinds 2019 ISO 27001-gecertificeerd, inmiddels volgens ISO 27001:2022, getoetst door DEKRA. Wij hebben die processen dus niet alleen beschreven, wij worden er jaarlijks op geaudit.
Hoe het werk verdeeld is
Bijlage A van ISO 27001:2022 bevat 93 beheersmaatregelen. Wij hebben die stuk voor stuk naast onze dienstverlening gelegd, en dat levert drie categorieën op:
Volledig bij ons, als proces
Binnen de omgeving die wij beheren voeren wij deze maatregelen uit, doorlopend en aantoonbaar. Denk aan configuratiebeheer met een actueel register van alle beheerde onderdelen, endpointbeveiliging, patchmanagement en schijfversleuteling, het volgen van kwetsbaarheden en dreigingen, logging en monitoring, onze incidentprocedure, netwerksegmentatie en onze wijzigingsprocedure.
Gedeeld: wij voeren uit, u besluit
Hier doen wij het technische werk en neemt u de beslissing. Wie krijgt welke toegangsrechten, hoe meervoudige authenticatie wordt afgedwongen, welke back-up u afneemt, welke continuïteitseisen gelden, wat er met apparatuur en gegevensdragers gebeurt, welke cloud- en ketenpartners u accepteert: wij richten het in en voeren het uit, u autoriseert en bepaalt het beleid.
Bij u, met advies van ons
Dit blijft uw werk, en terecht: uw eigen beleid en managementsysteem, directiebetrokkenheid, personeelszaken, de fysieke beveiliging van uw locaties, afspraken met uw overige leveranciers en eventuele softwareontwikkeling. Wij adviseren hierover op verzoek.
Zo werken wij. Wat daarvan precies voor uw organisatie geldt, leest u zwart op wit terug in uw dienstenbeschrijving en in onze algemene voorwaarden.
Het punt daarvan: voor het technische en operationele deel hoeft u geen processen op te bouwen die al bestaan. U hoeft niet uit te zoeken hoe u patchmanagement inricht of hoe u aantoont dat uw back-up werkt, want dat loopt al, en wij kunnen laten zien hóe het loopt. Dat scheelt in de voorbereiding, en het scheelt vooral discussie tijdens uw audit.
Een uitgebreide toelichting per maatregel, met daarbij wat wij doen en wat bij u blijft, sturen wij op aanvraag toe.
Wat wij niet voor u kunnen doen
Hier willen wij eerlijk over zijn, want op dit punt wordt in de markt nogal eens te veel beloofd. Met ons als IT-partner bent u niet automatisch gecertificeerd, en ook niet "ISO-proof". Certificering vraagt een eigen managementsysteem, een eigen risicoanalyse, een eigen verklaring van toepasselijkheid en een eigen audit. Dat werk blijft van u, en een auditor zal dat ook bij u toetsen.
En hoe goed wij onze processen ook op orde hebben: u blijft ons als leverancier beoordelen. Dat is geen formaliteit maar een eis uit de norm zelf, en een auditor zal ernaar vragen. Wij leveren daarvoor de onderbouwing aan.
Daarbij geldt onze invulling alleen voor de onderdelen die wij volledig beheren. Apparatuur of software die buiten ons beheer om is aangeschaft, of onderdelen waar wij maar een deel van doen, vallen daarbuiten. En werkt u in een sector met een eigen norm, zoals NEN 7510 in de zorg, dan kan die verder gaan dan ISO 27001.
Tijdens uw audittraject
Ons ISO 27001-certificaat en onze standaarddocumentatie krijgt u van ons; die zijn onderdeel van de dienstverlening. Heeft u daarnaast ondersteuning nodig, bijvoorbeeld bij het invullen van vragenlijsten, het verzamelen van bewijsstukken of een gesprek met uw auditor, dan doen wij dat graag in overleg, tegen tarief (artikel 12.5 van onze algemene voorwaarden).
Ook relevant als u nog niet wilt certificeren
Niet elke organisatie hoeft een certificaat. Maar dezelfde maatregelen liggen ook onder regelgeving zoals de Cyberbeveiligingswet. Benieuwd of die op u van toepassing is? Doe de Snelle NIS2-check. En wilt u eerst weten waar u technisch staat, dan is de gratis Security QuickScan een goed beginpunt.
Overweegt u certificering en wilt u weten wat dat voor uw IT betekent? Neem contact op, dan lopen wij het met u door.