In je bedrijf verwerk je elke dag flink wat data. Die van jezelf en die van je klanten. Dan is het belangrijk dat je die data goed beschermt tegen hackers. Een van de manieren om te checken of je informatiebeveiliging up-to-date is, is met de ISO 27001 norm (wij haalden 'm zelf in juni '24). Niet zeker wat dat inhoudt? Lees in dit blog hoe de norm je helpt je cybersecurity te upgraden.
Wat is de ISO 27001?
Wat houdt de norm eigenlijk in? ISO 27001 is een internationale standaard voor informatiebeveiliging. Er staat in hoe je je informatiemanagementsysteem op een systematische manier opzet en onderhoudt, zodat jouw data en die van je klanten veilig achter slot en grendel zitten.
Daarbij gaat het uit van 2 basisprincipes: risicomanagement en plan-do-check-act. Risicomanagement is de eerste stap. Hierbij breng je de risico’s wat betreft databeveiliging in beeld en koppel je aan ieder risico een securitymaatregel. Plan-do-check-act is de manier waarop je je informatiebeveiliging constant test en verbetert.
Ga je voor een ISO 27001-certificering, dan wordt je hele systeem doorgelicht en gecheckt (daarover verderop meer). Haal je ‘m, dan heb je hem voor 3 jaar; daarna moet je opnieuw de audit doen. Natuurlijk wordt je systeem tussendoor ook getest.
De voordelen van een ISO 27001 certificering
Het halen van een ISO 27001-certificering heeft flinke voordelen; voor je bedrijf intern en naar je klanten toe. We sommen er een paar op:
- Je data is veilig, net als die van je klanten.
- Je bent constant bezig je eigen primaire proces te verbeteren.
- De bewustwording over veiligheid binnen je bedrijf neemt toe.
- Je krijgt periodiek onafhankelijke feedback over hoe het ervoor staat met je security.
- Je laat zien dat je een betrouwbare businesspartner bent, die investeert in veiligheid en het naleven van de privacywetgeving.
ISO 27001 - de kosten
De ISO 27001-norm halen brengt kosten met zich mee; het is tenslotte een uitgebreid proces. Hoeveel je er precies voor betaalt, is afhankelijk van de grootte van je bedrijf en de complexiteit van de ICT-infrastructuur die er nodig is. Over het algemeen ziet de opbouw van de ISO 27001 kosten er zo uit:
- Externe auditor: De inhuur van een externe adviseur in om het proces te begeleiden.
- Tijd en middelen: Voor het opzetten en implementeren van de nodige processen en systemen zijn trainingen en een nieuwe infrastructuur nodig. Naast de kosten daarvan, zijn je mensen ook tijd kwijt.
- Verbeteringen: Het kan zijn dat er aanpassingen nodig zijn aan je bestaande systemen en processen om te kunnen voldoen aan de norm.
- Onderhoud: Het behouden van de certificering vereist doorlopende inspanningen en kosten voor het onderhouden en verbeteren van je systemen en processen.
De kosten voor een ISO-certificering kunnen in eerste instantie hoog lijken. Toch is het een interessante investering die je goed kunt terugverdienen. Je beveiliging is beter, waardoor je minder risico loopt om slachtoffer te worden van cybercrime. Daarnaast is je certificering een pluspunt voor bedrijven die een nieuwe businesspartner zoeken.
Vind je de investering voor een ISO 27001 nu nog wat te groot? Laat dan je ICT-beveiliging testen met een Cyber Security Scan.
Hoe werkt een ISO 27001 audit?
Om je certificering te halen moet je een proces doorlopen: de ISO 27001 audit. De auditor is een deskundige van een certificeringsinstantie. Samen doorloop je deze stappen:
- Documentatiebeoordeling: De auditor bekijkt de documentatie van je informatiemanagementsysteem om te bepalen of deze voldoet aan de vereisten van de norm.
- Interne audit: De auditor beoordeelt de effectiviteit van je systeem en de implementatie van het beleid en de procedures.
- Externe audit: De auditor voert een externe audit uit om te verifiëren dat het informatiemanagementsysteem voldoet aan de vereisten van de norm.
- Rapportage: De auditor stelt een rapport op met de bevindingen van de audit en geeft een aanbeveling over het al dan niet toekennen van de certificering.
Concludeert de auditor dat je systeem voldoet? Dan heb je je certificering binnen! Zoals gezegd is hij 3 jaar geldig en zul je daarna opnieuw de audit moeten doen. Zo blijf je up-to-date volgens de laatste ontwikkelingen.
