CAN & ISOPlanner: partner van de Security Officer

Onlangs is CertificeringsAdvies Nederland (CAN) een samenwerking aangegaan met ISOPlanner. ISOPlanner is een Software-as-a-Service Microsoft 365-applicatie die een eenvoudig te gebruiken en flexibel managementsysteem biedt, geïntegreerd met SharePoint, Outlook en Teams. De reden voor deze samenwerking is dat wij bij een deel van onze klanten zien dat een softwaretool goed past bij hun manier om beter grip en inzicht kunnen krijgen op hun managementsysteem. ISOPlanner sluit goed aan bij de uitgangspunten van onze dienstverlening : laagdrempelig, pragmatisch en gericht op toegevoegde waarde voor de dagelijkse praktijk. Momenteel kan de tool al ingezet worden binnen trajecten gericht op informatiebeveiliging. In dit blogartikel zoomen we in op het thema informatiebeveiliging en leggen we uit waarom CAN & ISOPlanner de partner zijn voor jou als Security Officer (SO).

CAN wil, als partner van jouw organisatie met behulp van ISOPlanner implementatie, onderhoud- en beheer faciliteren, zodat jíj als SO binnen je organisatie het systeem kan áctiveren. Onze visie blijft daarbij, dat we aansluiten bij de propositie van jouw organisatie. In onze aanpak nemen wij namelijk niet de norm, maar jouw organisatie als uitgangspunt.

Wij zien een managementsysteem niet als een invuloefening, maar als één van de werkwijzen in een organisatie. Ongeacht in welke (software)tool of set documenten het geïntegreerd is, uiteindelijk ondersteunt het jouw organisatie en bedrijfsdoelen. Het managementsysteem geeft structuur en houvast en maakt gemaakte afspraken inzichtelijk. Op die manier fungeert het als een borgpen onder je verbeteracties. Een managementsysteem dat vanuit die insteek is ingericht biedt echt toegevoegde waarde voor je organisatie.

Wij vertrekken dus altijd vanuit de processen van onze opdrachtgever om zo aan te sluiten bij de dingen die de organisatie al goed doet. Het is voor het thema informatiebeveiliging echter waarschijnlijk dat een organisatie die voor het eerst start met een Information Security Management System (ISMS) juist voor de centrale aansturing  nog geen proces heeft. Voor sommige organisaties is het prettig dat proces vanaf dag één met automatisering te ondersteunen.

Het uitgangspunt van CAN is dat een SO, met goede opleiding en training, zelf het werkveld overziet en de collega’s ondersteunt en aanstuurt. Het is logisch dat we daarbij aansluiten bij de tools die al binnen een organisatie aanwezig zijn met betrekking tot interne communicatie en planning. Om die reden hebben we goed gekeken naar zaken die bij veel van onze opdrachtgevers reeds aanwezig zijn. Vaak zien we dat dit de bekende tools zijn uit de Microsoft-wereld of dat er gebruik wordt gemaakt van Confluence en Jira van Atlassian.

De essentie van informatiebeveiliging conform de ISO 27001 norm is het minimaliseren van risico’s door het treffen van de juiste maatregelen. In veel organisaties is, zoals zojuist al benoemd, voor onderdelen van informatiebeveiliging nog geen proces. Met name de risicoanalyse voor informatiebeveiliging is voor veel organisaties een nieuwe ‘oefening’. In het werkveld wordt ook verwacht dat die risicoanalyse op een specifieke manier is uitgevoerd en duidelijk is doorgekoppeld naar de getroffen maatregelen. Dit “nieuwe” maakt de risicoanalyse een aangewezen activiteit om te vergemakkelijken met een speciaal daarvoor gemaakte tool: in dit geval ISOPlanner dus.

Het aanvullende voordeel van ISOPlanner is dat het niet alleen helpt bij het uitvoeren van de risicoanalyse, maar de doorkoppeling ook borgt met acties die direct toegewezen kunnen worden aan uitvoerders en geïntegreerd kunnen worden met de Outlook-agenda van die uitvoerders. Daarmee is de risicoanalyse niet een eens per jaar terugkerende oefening, maar een actief stuurmiddel voor je organisatie. Uiteraard kunnen ook andersoortige acties, zoals bijvoorbeeld periodiek terugkerende taken uit een operationele planning, op deze manier makkelijk klaargezet worden voor collega’s. Hierdoor kunnen deze in het verlengde van hun eigen werk de SO helpen het systeem op meerdere plekken in de organisatie te dragen. Denk dan bijvoorbeeld aan een periodieke controle van toegangsrechten of het houden van een bewustzijnsbijeenkomst.

Natuurlijk blijven wij onze opdrachtgevers ondersteunen met ons bestaande materiaal, waarmee de risico’s en acties die jij signaleert direct in de uitvoering ondersteund worden met de relevante stukken. Als je bijvoorbeeld signaleert, dat niet van alle relevante informatie in de organisatie een back-up wordt gemaakt, dan kun je nog steeds gebruik maken van het beleid voor back-ups dat CAN als uitgangspunt hanteert voor organisaties die met dit thema aan de slag willen gaan. Dit geldt uiteraard ook voor alle andere componenten die je mag verwachten dat aanwezig zullen zijn in een standaardmodule voor ISO 27001.

Uiteraard is het goed dat een organisatie risico’s op organisatie-, proces- en informatiesysteemniveau definieert. Voor het gemak is ISOPlanner echter standaard ingericht met alle standaardmaatregelen van ISO 27001 en ISO 27002. Bovendien is ISOPlanner zowel in het Nederlands als in het Engels beschikbaar en biedt het tevens integratie met ISO 27701 (het managementsysteem voor persoonlijke informatie/privacy).

CAN en ISOPlanner zijn partner van de Security Officer. Het grote voordeel voor jou als SO is dat je duidelijke grip en controle houdt op de planning en zo de gezondheid en prestaties van de organisatie op het gebied van informatiebeveiliging in de gaten kunt houden. Denk je na het lezen van dit blogartikel: dat is interessant? Neem dan gerust contact met ons op. Wij helpen je graag op weg met implementatie en/of onderhoud van informatiebeveiligingsaspecten binnen je organisatie en vertellen je graag meer over onze aanpak, de mogelijkheden en natuurlijk onze nieuwste optie ISOPlanner.