Wat is een ISMS in de ISO 27001 norm?

Wat is een ISMS? Het begrip ISMS staat voor Information Security Management System. Wanneer je dat vertaalt naar het Nederlands dan staat de ISMS betekenis dus voor ‘een managementsysteem voor informatiebeveiliging’. Het doel van een ISMS is (vertrouwelijke) informatie beter beveiligen. Wanneer je bijvoorbeeld aan de slag gaat met een norm voor informatiebeveiliging, zoals ISO 27001, de wereldwijde standaard voor informatiebeveiliging, dan dien je voor die ISO 27001 een ISMS in te richten. Maar hoe doe je dat? In dit artikel geven we uitgebreid antwoord op vragen als ‘wat is een ISMS?’ en ‘wat leg je vast in een ISMS?’. Daarnaast geven we een ISMS voorbeeld waarbij we ons niet beperken tot één systeem, maar allerlei manieren laten zien waarop je een ISMS in kan richten. Tot slot zoomen we wat dieper in op een Jira ISMS dat is opgezet in de ISMS tool Atlassian.

Samengevat lees je in dit artikel meer over:

• Wat is een ISMS in ISO 27001?
• Een ISMS voorbeeld: 3 manieren waarop je een ISMS kunt inrichten
• Uitgelicht: Een ISMS opzetten in Atlassian

Gedocumenteerd ISMS: continu verbeteren

Uiteindelijk leg je in het ISMS een complete set aan beheersmaatregelen, processen en procedures vast met betrekking tot informatiebeveiliging om daarmee de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van informatie te controleren. Het ISMS bevat controles waarmee je de risico’s die voortkomen uit de risicoanalyse en die gerelateerd zijn aan mensen, processen en systemen beheersbaar maakt.

De risicoanalyse vormt een belangrijk onderdeel van de ISO 27001 norm. Middels deze analyse beoordeel je in hoeverre de informatiebeveiliging van je organisatie op een acceptabel niveau is. De risico’s worden in kaart gebracht en daarvoor worden passende beheersmaatregelen opgesteld. Vervolgens ga je aan de slag met verbeteringen om de risico’s beter beheersbaar te maken. Dit kan door middel van een procesgerichte benadering in de vorm van een Plan-Do-Check-Act (PDCA) verbetercyclus. Meer informatie? Lees ook het artikel: ‘De ISO 27001 risicoanalyse uitgelicht’.

Zoals eerder in dit artikel al genoemd is, is een ISMS voor ISO 27001 dus geen statisch systeem, maar een continu verbeterproces voor je organisatie. Je dient continu te anticiperen en verbeteren om te kunnen inspelen op steeds weer veranderende risico’s vanuit de interne organisatie alsmede de externe omgeving. Door continue monitoring, verbetering, interne audits en corrigerende maatregelen blijven de controles in je ISMS up-to-date en daarmee dus functioneel. Zo is de veiligheid van informatie in je organisatie beter geborgd.

Als organisatie ben je verplicht om te voldoen aan bepaalde wet- en regelgeving rondom informatiebeveiliging. Benieuwd? Lees dan: Wet- en regelgeving informatiebeveiliging en ISO 27001

Een gecertificeerd ISO 27001 ISMS: je informatiebeveiliging aantoonbaar op orde

Iedere organisatie kan een Information Security Management System, ofwel een managementsysteem voor informatiebeveiliging opzetten om ervoor te zorgen dat bedrijfsgevoelige informatie geborgd wordt. Wanneer je vervolgens op een transparante en wereldwijd aanvaardbare manier aan wilt tonen dat je de informatiebeveiliging binnen je organisatie op orde hebt, kun je het ISMS laten toetsen en certificeren door een onafhankelijke partij. Je laat je klanten zo zien dat zij met een gerust hart zaken met je kunnen doen.

Een dergelijke ISO 27001 certificering wordt uitgegeven door een zogenaamde Certificerende Instantie. Wanneer je dat certificaat wilt behalen, dan moet je kunnen aantonen dat je voldoende aandacht besteedt aan informatiebeveiliging. Daarvoor moet je minimaal drie maanden volgens het ISO 27001 ISMS hebben gewerkt. Een externe auditor kan vanaf dat moment beoordelen of het ISMS in de praktijk functioneert.

Martijn Stuart: “Na een selectieproces hebben we gekozen voor CertificeringsAdvies Nederland (CAN) als partner. De manier van communiceren, het snelle contact, de korte lijntjes en de mogelijkheid voor verschillende manieren van ondersteuning spraken ons erg aan. Bovendien zijn we bij Infield ICT erg pragmatisch ingesteld. Het is heel makkelijk om je bij ISO te verliezen in regels, richtlijnen en ‘pakken papier’. Dat is precies wat we niet wilden. We wilden het juist toepasbaar maken. Bij dat alles sloot de aanpak van CAN heel goed aan. Zo zijn we met elkaar aan de slag gegaan.” De hele klantcase van Infield ICT lezen? Bekijk klantcase.

Een ISMS voorbeeld

Met regelmaat krijgen we van organisaties die met informatiebeveiliging aan de slag willen vragen over het Information Security Management System (ISMS) waarbij specifiek wordt gevraagd naar een concreet ISMS voorbeeld in de vorm van of gecombineerd met een ISMS document, ISMS template, ISMS model, ISMS tooling of ISMS software. Vooropgesteld: er zijn meerdere wegen die naar Rome leiden. Hieronder daarom niet één ISMS voorbeeld, maar meerdere manieren om te laten zien dat er allerlei mogelijkheden zijn om het ISMS voor ISO 27001 in te richten. Een ISMS helpt de organisatie namelijk met het managen van informatiebeveiliging. Hoe een organisatie dit managet, is de organisatie haar keuze.

ISMS voorbeeld 1: Een ISMS handboek

Een bekende en nog steeds veelgebruikte manier: Een ISMS uitgeschreven in een handboek. Ofwel, alle normelementen verwerken in Word- en Exceldocumenten en dit samenvoegen in één groot ISMS document, ook wel handboek genoemd. Op die manier is alles verzameld in één handboek wat ook weer gebruikt kan worden tijdens de externe audit.

Voordelen:

• Makkelijk alles bij elkaar in één handboek;
• Eenvoudig in gebruik;
• Kan dienen als een spiekbriefje tijdens de externe audit;
• Fijn om alles uit te kunnen printen en fysiek te kunnen gebruiken;
• Kan helpen bij de uitleg van het managementsysteem richting collega’s.

Nadelen:

• Het handboek wordt opgesteld met als doel voldoen aan de norm en de normelementen;
• De gedachtegang gaat conform de normenstructuur, terwijl de norm juist aan dient te sluiten op de organisatie;
• Versiebeheer moet goed in de gaten gehouden worden; alles wat uitgeprint wordt is de dag erna mogelijk alweer verouderd;
• Ouderwets, papierentijger en veel onderhoud aan het handboek;
• Het is complex om iets dat in een handboek staat beschreven levendig te maken in een organisatie.

ISMS voorbeeld 2: De mappenstructuur

Veel organisaties hebben een SharePoint of een Google Drive omgeving ingericht waarin alle documenten onderling met elkaar worden gedeeld. In deze deelomgevingen wordt er vaak gewerkt met een ‘mappenstructuur’. Bijvoorbeeld ingedeeld op basis van projecten, offertes, HR en financiële gegevens. Op deze manier kan het ISO 27001 ISMS ook worden opgebouwd. De organisatie kan kiezen om de opbouw van de ISO 27001 norm te hanteren of kan een eigen indeling hanteren en per map de juiste ISMS documenten verzamelen. Dit zou kunnen resulteren in de volgende opbouw:

• H4 Context van de organisatie
• H5 Leiderschap en betrokkenheid
• H6 Planning
• Etc.

Voordelen:

• Ieder ISMS document wordt digitaal opgeslagen en bewaard;
• Versiebeheer verloopt automatisch;
• Verzameling van de documenten in de huidige share-omgeving van de organisatie.

Nadelen:

• Rechten en rollen voor toegang tot deze documenten moeten ook beheerd worden;
• De omgeving moet geback-upt worden;
• Het is minder ‘tastbaar’; wijzigingen moeten wel zichtbaar worden gemaakt voor relevante gebruikers;
• Bepaalde documenten (bijvoorbeeld externe documenten en getekende kopieën) kunnen soms niet eenvoudig digitaal gemaakt worden. Daar moet een plek voor bepaald worden.

ISMS voorbeeld 3: Een ISMS tool als Atlassian, Azure, Dynamics

Veel organisaties die met informatiebeveiliging aan de slag gaan ontwikkelen software of hebben bepaalde softwaretools in de organisatie. Atlassian Confluence, Microsoft Azure (Sharepoint, TEAMS) en Microsoft Dynamics zijn enkele voorbeelden van tools die in de praktijk terugkomen. Deze zijn gebaseerd op een gedeelde, Wiki-achtige omgeving. In deze omgevingen kan dus ook een managementsysteem gebouwd worden. Zo fungeren deze reeds bestaande tools als ISMS tool of ISMS software. Je kunt zelf alle documenten bepalen die je hierin wilt opnemen en die de organisatie helpen om de informatiebeveiliging duidelijk te managen.

Voordelen:

• Directe aansluiting bij de huidige manier van werken van de organisatie;
• Simultaan editen of werken in relevante documenten en informatie;
• Integratie van actielijsten (met herinneringen), dashboards en rapportages vaak mogelijk;
• Niet zozeer het gevoel dat je een overkill aan het creëren bent voor de organisatie.

Nadelen:

• Vaak een grote investering om aan te schaffen;
• Nieuwe technologie is soms flink ‘wennen’ voor de medewerkers;
• De structuur van de applicatie kan heel prettig werken, maar moeilijk over te zetten zijn naar andere systemen en werkwijzen;
• Praktisch zolang de onderliggende IT-technologie gebruikt wordt. Ontwikkelingen in IT-land gaan soms echter snel;
• Je moet iemand hebben die een systeem kan onderhouden of dit moet uitbesteed worden, wat kan leiden tot extra kosten.

Bekijk ook: Waarom ISO 27001 behalen? 5 redenen om ermee aan de slag te gaan.

Uitgelicht: Een ISMS opzetten met Atlassian Confluence

Hierboven wordt gesproken over ISMS software of ISMS tooling in de vorm van bestaande systemen waarin een ISMS wordt gebouwd, zoals Atlassian, Azure of Dynamics. Om te laten zien hoe zoiets precies werkt pakken we de ISMS tool Atlassian en dan specifiek de Confluence omgeving als voorbeeld.

Hoe ziet Atlassian ISO 27001 managementsysteem eruit?

Steeds meer (ICT-gerelateerde) organisaties willen een managementsysteem in hun eigen informatiesysteem, bijvoorbeeld Atlassian inrichten. De vraag hiernaar blijft stijgen. Maar wat is Atlassian precies en hoe bouw je daar een managementsysteem in? Confluence is de Wiki-omgeving van Atlassian. Hierin kun je als organisatie al je documentatie zoals beleid, procedures, werkinstructies etc. borgen voor de gehele organisatie. Dat betekent dat er niet meer wordt gewerkt met losse Word- en Exceldocumenten die in een gedeelde omgeving komen te staan, maar echt met een eigen (dagelijks) gebruikt systeem. Daarnaast kan het systeem, indien goed ingericht, bijvoorbeeld automatisch het volgende voor je genereren:

• Een Verklaring van Toepasselijkheid;
• Een Risicoanalyse;
• De Operationele planning.

Hierdoor wordt het beheren en onderhouden van het ISMS een stuk makkelijker.

Atlassian Confluence inrichten als ISMS

Afgelopen jaren zijn we, van CertificeringsAdvies Nederland, bij meerdere organisaties bezig geweest met het opzetten, implementeren, beheren en onderhouden van een managementsysteem in Atlassian Confluence. De betreffende organisaties en de externe auditoren die het systeem kwamen toetsen waren ontzettend enthousiast over de opzet van een dergelijk managementsysteem.

In de afbeeldingen hieronder zie je hoe een dergelijk managementsysteem eruit kan zien:

Automatisch gegenereerde Verklaring van Toepasselijkheid ISO 27001:

Voorbeeld van de risicoanalyse

Voorbeeld van de operationele planning

CertificeringsAdvies Nederland | T. 085 – 487 99 72 | E. info@certificeringsadvies.nl

Dit artikel is gepubliceerd op 9 augustus 2018. Het artikel is van een update voorzien op 28 september 2022.