ISO/IEC 27001 – De internationale norm voor Informatiebeveiliging

ISO/IEC 27001 helpt organisaties bij het opzetten, implementeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS). De norm biedt een gestructureerde aanpak om risico’s te identificeren, passende beheersmaatregelen te kiezen en informatiebeveiliging aantoonbaar te borgen binnen de organisatie.

Voor veel organisaties is ISO/IEC 27001 relevant omdat klanten, opdrachtgevers en ketenpartners steeds vaker eisen stellen aan aantoonbare informatiebeveiliging. De norm helpt daarmee niet alleen bij risicobeheersing, maar ook bij vertrouwen, contracteisen en marktpositie.

ISO/IEC 27001 is opgebouwd volgens de geharmoniseerde managementsysteemstructuur en bestaat uit 10 hoofdstukken. Daardoor sluit de norm goed aan op andere managementsysteemnormen, zoals ISO 9001. Juist daarom is de combinatie van ISO 9001 en ISO/IEC 27001 voor veel organisaties een efficiënte keuze: kwaliteit en informatiebeveiliging kunnen dan worden geïntegreerd in één praktisch managementsysteem.

Wat is Annex A?

Annex A is een bijlage bij ISO/IEC 27001 waarin een overzicht staat van mogelijke informatiebeveiligingsmaatregelen die een organisatie kan toepassen om risico’s te beheersen. Die maatregelen zijn niet bedoeld als een verplichte standaardlijst die iedereen volledig moet invoeren; ze moeten worden beoordeeld op basis van de risico’s, context en scope van de organisatie. De inhoud van Annex A sluit aan op ISO/IEC 27002:2022, de richtlijn die extra uitleg geeft over het toepassen van deze maatregelen.

In de actuele versie zijn er 93 controls opgenomen. Deze zijn verdeeld over vier thema’s:

• Organisatie
• Mens
• Fysieke beveiliging
• Technologie

Waarom ISO/IEC 27001?

• Aantoonbare beheersing van informatiebeveiligingsrisico’s

• Meer vertrouwen bij klanten, opdrachtgevers en andere stakeholders

• Betere aansluiting op eisen uit aanbestedingen, contracten en klantvragen

• Een gestructureerd en praktisch informatiebeveiligingsmanagementsysteem

• Meer bewustwording van informatiebeveiliging binnen de organisatie

• Een sterkere marktpositie en nieuwe commerciële kansen

Belangrijk om te weten

De huidige opzet van Annex A is gebaseerd op ISO/IEC 27002:2022. Ten opzichte van oudere versies is de structuur overzichtelijker geworden: de maatregelen zijn nu gegroepeerd in vier thema’s in plaats van de eerdere, uitgebreidere indeling. Dat maakt de norm duidelijker en beter toepasbaar in de praktijk.

Combinatie met ISO 9001

Voor veel organisaties is het meest optimaal om ISO 9001 en ISO/IEC 27001 te combineren. ISO 9001 richt zich op kwaliteitsmanagement en procesbeheersing, terwijl ISO/IEC 27001 focust op informatiebeveiliging en risicobeheersing. Omdat beide normen volgens dezelfde managementsystematiek zijn opgebouwd, kunnen processen, audits, management review, doelstellingen en continue verbetering efficiënt in één geïntegreerd systeem worden samengebracht. Dat voorkomt dubbel werk en maakt het systeem praktischer in gebruik.

0650670501
quadra@quadraconsulting.nl