Het uitvoeren van de contextanalyse ISO 27001: wat houdt het in?

In de ‘nieuwe’ generatie ISO-normen, waaronder ISO 27001:2017 én ISO 27001:2022, staat de contextanalyse centraal. Het doel van de contextanalyse ISO 27001 is inzicht krijgen in de organisatie en haar context. Het uitvoeren van een contextanalyse ISO 27001 moet onder andere leiden tot:

De contextanalyse ISO 27001 valt uiteen in twee delen, namelijk de stakeholdersanalyse en de risicoanalyse. In dit artikel vertellen we er meer over.

Wanneer we het hebben over de ISO 27001 contextanalyse, dan hebben we het over de ‘context’ van een organisatie, ofwel de omgeving waarin de organisatie zich bevindt en haar betekenis krijgt.

In ISO 27001 is beschreven dat een organisatie interne en externe issues moet vaststellen die relevant zijn voor haar doelstelling en die haar vermogen beïnvloeden om de beoogde resultaten van het managementsysteem voor informatiebeveiliging te behalen. Het is voor de organisatie dus zaak om informatie met betrekking tot deze interne en externe issues te:

Dat kan worden gedaan door het uitvoeren van een contextanalyse ISO 27001. Op die manier kan er rekening worden gehouden met alle factoren die van invloed (kunnen) zijn op het Information Security Management System (ISMS) en kunnen kansen en risico’s die eruit voortkomen beter beheerd worden. Afhankelijk van de context kunnen er keuzes worden gemaakt rondom missie, visie, strategie, beleid en doelstellingen, welke de scope van het ISMS vormen.

Wat zijn stakeholders volgens ISO 27001? Stakeholders zijn alle (groepen) mensen die een belang hebben bij of invloed hebben op je organisatie, zowel positief als negatief. Gevolg is dat jouw organisatie dus vanzelfsprekend ook belang heeft bij die stakeholders. Stakeholders vormen de grootste kans en tegelijkertijd ook de grootste bedreiging voor je organisatie en zijn daarom zo ongeveer de belangrijkste input voor je risicoanalyse.

Voordat je de stakeholdersanalyse uit gaat voeren is het aan te raden om even stil te staan bij het samenstellen van een team waarmee je die analyse gaat doen. Het is aan jou hoeveel en welke mensen uit de organisatie je daarbij betrekt. Beperk het wel tot ongeveer vijf of zes personen, zodat de groep niet te groot wordt. Stel een groep mensen samen uit allerlei geledingen van de organisatie om tot een zo compleet mogelijk beeld te komen.

Hoe voer je een ISO 27001 stakeholdersanalyse dan vervolgens uit? Daar is geen eenduidige methode voor. Je kunt een stakeholdersanalyse ISO 27001 namelijk op allerlei manieren uitvoeren. Het is aan jou om een geschikte methode te kiezen.

Per stakeholder breng je de wensen, eisen en verwachtingen in kaart en bepaal je van die eisen:

Op basis daarvan kun je stakeholders indelen op belang/niveau en vervolgens bepaal je in hoeverre je kan voldoen aan hun eisen, wensen en verwachtingen. Dat doe je door hier een classificatie aan te koppelen (bijv. goed-matig-slecht) of een actie te definiëren.

Het tweede gedeelte van de contextanalyse ISO 27001 (waarbij je eigenlijk al richting planning gaat), bestaat uit de risicoanalyse. Wanneer je hiermee aan de slag gaat, kom je in aanraking met ‘risicomanagement’ wat betrekking heeft op:

De risicoanalyse is een belangrijk onderdeel binnen ISO-normen, maar dat is zeker het geval bij ISO 27001. In de ISO 27001 norm staat de risicoanalyse namelijk centraal. Met behulp van deze analyse wordt beoordeeld in hoeverre de informatiebeveiliging in de organisatie op een acceptabel niveau is of niet. Door een goede risicoanalyse uit te voeren, zorg je ervoor dat er in de organisatie niet lukraak beveiligingsmaatregelen geïmplementeerd worden, maar dat de ‘dingen’ in de juiste volgorde gebeuren.

Om de risicoanalyse voor ISO 27001 in goede banen te leiden, is het ook hier weer zaak om een geschikte groep mensen samen te stellen die hiermee aan de slag gaan. Zorg ervoor dat je borgt dat betrokkenheid van het management aan kunt tonen en dat je tot het beste resultaat voor de organisatie komt.

Ook voor het uitvoeren van een ISO 27001 risicoanalyse zijn allerlei methodes mogelijk. Welke je kiest is aan jou. Voer de risicoanalyse uit voor de belangrijkste (kern)processen en daarin aanwezige informatiesystemen binnen je organisatie:

Een risicoanalyse wordt uitgevoerd met behulp van ISO 27002 die bestaat uit een lijst met veel voorkomende beheersmaatregelen. Dat is geen afvinklijstje, maar helpt je wel blinde vlekken voorkomen.

Nadat de risico’s in kaart zijn gebracht, is het zaak om acties, actieverantwoordelijken en een planning te koppelen. Op basis daarvan kan een ISMS opgezet worden.

Met het volbrengen van de stakeholders- en risicoanalyse is de ISO 27001 planfase (zo goed als) compleet. Wanneer je een gedegen analyse uitvoert, heeft het ook daadwerkelijk toegevoegde waarde voor je organisatie. Voorkom daarom dat je de contextanalyse ISO 27001 ‘even’ snel uitvoert, omdat het nu eenmaal moet van de ISO-norm.

Kun je advies of ondersteuning gebruiken bij de implementatie van ISO 27001 in het algemeen of de contextanalyse ISO 27001 in het bijzonder? Neem dan gerust contact met ons op. Onze adviseurs helpen je graag op weg met het verbeteren van je informatiebeveiliging!