ISO 27001 checklist: in 15-stappen naar implementatie ISO 27001

‘Is er een ISO 27001 checklist?’ Een vraag die we vaak voorbij horen komen. Het antwoord daarop is eenvoudig: er is geen checklist. De norm zelf is uiteindelijk ‘de ISO 27001 checklist’ waaraan moet worden voldaan. Wat ons betreft moet een ISO 27001 certificering echter ook niet benaderd worden als het afvinken van een checklist, maar juist als een manier van denken en werken binnen een organisatie om op een geplande manier:

Het is weliswaar geen ISO 27001 checklist, maar om een beeld te geven van de aanpak bij een ISO 27001 certificering, zonder daarbij eerst de hele norm te hoeven doorlopen, geven we hieronder een stappenplan dat bestaat uit de volgende stappen:

Hieronder zoomen we in op iedere stap uit het stappenplan.

Informatiebeveiliging gaat over het managen van risico’s rondom beschikbaarheid, integriteit en vertrouwelijkheid van informatie. Daarin kan onderscheid worden gemaakt tussen:

Wanneer je van start wilt/moet met ISO 27001, adviseren we om, alvorens je start met het opzetten van een Information Security Management System (ISMS) op basis van ISO 27001, eerst na te gaan in hoeverre je als organisatie voldoet aan de basismaatregelen met betrekking tot cybersecurity en waar dat nog niet zo is, dit eerst op orde te brengen. De basismaatregelen die het Nationaal Cyber Security Centrum (NCSC) heeft opgesteld kunnen daarvoor als uitgangspunt worden genomen.

Met behulp van de punten van NCSC leg je een noodzakelijke basis, waarmee je al belangrijke risico’s vermindert. Start je namelijk met een ISO 27001 traject, zonder dat je deze basiszaken op orde hebt, dan maak je het jezelf lastig!

Nadat stap 1, de basisinrichting, doorlopen is, kun je verder met stap 2 t/m 15: het opzetten en implementeren van een ISMS op basis van ISO 27001. Hieronder een toelichting per stap:

Bepaal allereerst welke medewerkers uit de organisatie het projectteam vormen voor het implementatietraject. Zorg daarbij voor zowel afvaardiging vanuit management alsmede vanuit relevante afdelingen. Stel vervolgens een projectleider aan met voldoende kennis van organisatieprocessen en affiniteit met IT-aangelegenheden. Deze laatste persoon zal normaal gesproken de rol van Security Officer binnen de organisatie gaan vervullen. Zorg voor voldoende basiskennis van de ISO 27001 norm bij deze persoon en bij voorkeur ook bij de andere key-spelers.

Waarop heeft het op te zetten ISMS betrekking? Is dat op BIV van informatie die omgaat in ALLE bedrijfsactiviteiten/-onderdelen of wil je hierin afbakenen? Denk daarbij aan een specifiek product/dienst, specifieke vestiging, specifiek geografisch werkgebied etc.

Met welke bedrijfsprocessen heb je precies te maken bij de activiteiten/onderdelen binnen de gekozen scope? Welke informatie gaat daarin om waarvoor BIV-eisen gelden? En welke systemen worden daarbij gebruikt? Dat inventariseer je in stap 4.

Met welke belanghebbenden, zowel intern als extern, heb je te maken bij de betreffende bedrijfsactiviteiten? En welke eisen en verwachtingen hebben zij op het gebied van BIV van informatie? Denk hierbij aan klanten, eindgebruikers, aandeelhouders, leveranciers, wet- en regelgeving etc.

Uitgaande van de relevante stakeholdereisen: waar sta je als organisatie op hoofdlijnen voor? Welke doelen stel je jezelf op gebied van BIV van informatie?

Welke potentiële risico’s zijn er op technisch en organisatorisch vlak die ertoe kunnen leiden dat je niet aan de stakeholdereisen en je eigen doelstellingen gaat voldoen? Bepaal de kans en de impact van ieder risico. Bepaal daarna of je het risico kunt accepteren of dat er beheersmaatregelen getroffen moeten worden om de kans en/of de impact van het potentiële risico te verlagen.

In deze stap ga je tegenover ieder relevant risico een passende beheersmaatregel stellen. Gebruik hiervoor de Annex A van de ISO 27001 norm als richtlijn. In de Annex A staan rond de 100 voor gedefinieerde maatregelen vermeld. Voor verdere verdieping/best practices kun je eventueel de ISO 27002 norm gebruiken.

Vervolgens bepaal je van alle maatregelen in de Annex A of die maatregel relevant is in jouw context. Zo ja, bepaal of en hoe je deze maatregel geïmplementeerd hebt. Maak hier een overzicht van. Dat vormt de basis voor je ‘Verklaring van Toepasselijkheid’ die later integraal onderdeel zal zijn van het ISO 27001 certificaat.

Stel het bedrijfsbeleid vast op alle bij ‘stap 8’ geselecteerde beheersmaatregelen en implementeer dit, voor zover dat nog niet het geval is, op het juiste niveau, passend bij het risiconiveau.

Werk aan bewustwording en gedrag bij medewerkers binnen de organisatie. Laat het eindverantwoordelijke management hier een sturende/leidende rol in spelen. Creëer daarbij bewustzijn rondom operationele risico’s zoals bijv. phishing en social engineering, maar creëer ook bewustzijn rondom het bedrijfsbeleid dat is opgesteld bij ‘stap 6’.

Stel vast op welke wijze je de naleving en effectiviteit van de getroffen beheersmaatregelen kunt monitoren en evalueren. Denk daarbij aan technische monitoring, maar ook proces-KPI’s en een proces voor incidentenmelding, -registratie en opvolging. Stel een operationele planning op voor de benodigde periodieke controles, acties en werkzaamheden hiervoor. En voer de hierna volgende stappen 12 en 13 uit; deze maken ook integraal onderdeel uit van de monitoring/PDCA cyclus.

De 12^e stap is het opstellen van een interne auditplanning voor een auditcyclus van drie jaar. Daarin controleer je alle onderdelen van het ISMS periodiek op opzet, bestaan en werking. Het gaat om controles op volledigheid en actualiteit van de ISMS documentatie, maar ook om dossiercontroles, observaties en interviews waarmee de naleving van het beleid en de interne afspraken worden beoordeeld.

Als onderdeel van het benodigde leiderschap rondom het ISMS, is het een verplichting dat het eindverantwoordelijke management een review uitvoert op de effectiviteit van het ISMS. Daarbij komen zaken aan bod als:

Op het moment dat de bovenstaande stappen zijn uitgevoerd, en de conclusie is dat er een ISMS staat dat goed functioneert en leidt tot borging en verbetering, ben je klaar voor de kers op de taart: de officiële certificatieaudit door een geaccrediteerde certificerende instelling. Bij positief resultaat ontvang je het ISO 27001 certificaat.

Nadat het ISO 27001 certificaat is behaald, is het niet klaar. Sterker nog, dan begint het pas echt. Het ISMS moet worden onderhouden en de PDCA cirkel moet blijven draaien. De rol van de Security Officer is daarbij cruciaal!

Mocht je op zoek zijn naar een ISO 27001 checklist, dan geven bovenstaande 15 stappen je hopelijk een leidraad/houvast. Wil je aan de slag met opzetten of juist onderhouden van het ISMS en je ISO 27001 certificering en kun je daarbij advies of ondersteuning gebruiken? Neem dan gerust contact met ons op. Onze adviseurs helpen je graag (op weg)!