ISO 27001 in de bouw
Steeds meer van deze organisaties eisen een ISO 27001 certificaat van hun leveranciers, aannemers en onderaannemers. Zo eist Prorail de invoering van informatiebeveiliging (niet direct certificering) voor erkende leveranciers en stellen steeds meer overheden de eis van het overleggen van een ISO 27001 certificaat als basisvoorwaarde voor een aanbesteding.
Gelukkig kan de ISO 27001 in elke organisatie worden geïmplementeerd. Adviseurs 3.0 is daarbij gespecialiseerd in bedrijven in de bouwsector. Niet voor niets zijn wij de Partner van Bouwend Nederland.
Waarom ISO 27001?
Gezien organisaties onderling steeds meer data met elkaar uitwisselen, wordt het belang van een goede en veilige opslag van deze data steeds belangrijker. Immers willen we als organisatie niet de oorzaak zijn van een datalek waarbij belangrijke of zelfs cruciale data op straat komt te liggen. Door dit belang wordt de vraag voor een ISO 27001 certificering steeds belangrijker, ook buiten IT organisaties en software ontwikkelingsbedrijven.
ISO 27001 is bij uitstek een risicogebaseerde norm. Het startpunt is het in kaart brengen van de dreigingen die een organisatie loopt en de risico’s die daarbij horen. Op basis van deze risico’s worden maatregelen geselecteerd welke geïmplementeerd dienen te worden.
De ISO 27001 norm bestaat uit 2 onderdelen, namelijk de algemene High Level Structure gebaseerde ISO 27001 (Vergelijkbaar met ISO 9001 in opzet) en de Annex A welke wordt uitgelegd in ISO 27002. Annex A bestaat uit 114 maatregelen die beoordeeld en geïmplementeerd moeten worden op een wijze passende bij de geconstateerde risico’s van de organisatie.
De 114 maatregelen zijn verdeeld over 14 hoofdstukken met hun eigen submaatregelen.
Zelfs bij organisaties met weinig risico’s en uitbestede IT processen zien we dat nog altijd ruim 100 van de maatregelen van toepassing zijn.
De maatregelen zijn dan ook lang niet alleen gericht op de technische kant van IT. Veel gaat over gedrag, omgang met data door medewerkers en het leren van incidenten en gebeurtenissen.
De maatregelen zijn verdeeld in:
1. Technische maatregelen: geïmplementeerd op IT niveau en de monitoring van IT
Voorbeelden:
2. Organisatorische maatregelen: gedragsafspraken, procedures en monitoring hiervan
Voorbeelden:
3. Fysieke maatregelen: Bescherming van gebouwen en servers.
Voorbeelden:
In totaal bestaat de Annex A van ISO 27001 voor 30% uit technische maatregelen, 60% uit organisatorische maatregelen en 10% uit fysieke maatregelen. Vaak is de grootste uitdaging om voldoende bewustzijn te creëren zodat iedereen de nodige afspraken en gedragsregels ook naleeft.
De ISO 27001 in 10 stappen:
1. Breng dreigingen in kaart
2. Breng de risico’s in kaart horende bij de dreigingen
3. Bepaal de maatregelen uit de ISO 27001 Annex A / ISO 27002
4. Implementeer ISO 27001 (vaak integratie met ISO 9001!)
5. Implementeer technische maatregelen
6. Implementeer organisatorische maatregelen
7. Implementeer fysieke maatregelen
8. Geef awareness trainingen intern
9. Voer security checks, interne audits en directiebeoordeling uit
10. Externe audit tijd!
Op 21 september organiseren wij een kosteloos webinar over de ISO 27001.
Tijdens dit webinar gaan we het hebben over:
Organisaties die het ISO 27001 managementsysteem hebben geïmplementeerd en eventueel hebben gecertificeerd zijn verplicht om een Security Officer te hebben.
Een Security Officer draagt zorg over de data van de organisatie. De Security Officer zorgt voor technische en organisatorische maatregelen om de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie te garanderen. Daarbij kijkt hij ook naar zaken als de risico’s, de manier waarop de organisatie werkt en houdt hij rekening met wettelijke regels en kaders.
Bij veel bedrijven is de functie van Security Officer geen fulltime functie. De functie wordt veelal als taak bij een medewerker neergelegd of extern uitbesteed.
Zowel de ISO 27001 als de NEN 7510 zijn toegespitst op het thema informatiebeveiliging. Het verschil tussen beide normen is dat de NEN 7510 is toegespitst op informatiebeveiliging in de zorg. De ISO 27001 is op iedere organisatie van toepassing.
De AVG (Algemene Verordening Gegevensbescherming) is een Europese wet waar bedrijven sinds 25 mei 2018 aan moeten voldoen. Deze wetgeving is in het leven geroepen om de bescherming van persoonsgegevens te kunnen garanderen binnen de Europese Unie.
De AVG eist dat persoonsgegevens worden beschermd met passende technische en organisatorische maatregelen. Dit betekent dat alleen noodzakelijke persoonsgegevens op een zorgvuldige manier mogen worden opgeslagen en verwerkt. Organisaties die dit niet doen zijn in overtreding. Zij riskeren een boete van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet.
Veel van de onderwerpen uit de AVG kunnen worden geborgd in het ISO 27001 managementsysteem. Het is geen verplichting om het ISO 27001 certificaat te behalen maar het is wel een goed middel om invulling te geven aan de AVG. De ISO 27001 is daarmee wel een stuk breder en omvat meer aspecten dan de AVG.
Start met de Quickscan
Direct aan de slag met de ISO 27001? Begin dan met de Quickscan. Hiermee wordt direct inzichtelijk waar de organisatie staat en wat het nog moet doen om het ISO 27001 certificaat te behalen.
Het resultaat
Een concreet en praktisch overzicht waarin staat omschreven hoe de organisatie er voor staat en welke stappen de organisatie nog dient te nemen voor de certificering.
Het vervolg
De organisatie kan zelf met het rapport en de voorgeschreven stappen aan de slag, of één van onze adviseurs kan ondersteuning bieden.
Kunnen we helpen?
Neem vrijblijvend contact met ons op of vraag vrijblijvend een offerte aan.