Informatiebeveiliging · ISO 27001
Opdrachtgevers vragen om ISO 27001 voordat zij data of systemen aan u toevertrouwen. Ritzky helpt u een Information Security Management System (ISMS) op te zetten dat past bij uw organisatie en voldoet aan ISO/IEC 27001:2022, van risicobeoordeling tot certificatie-audit.
“ISO 27001 wordt gezien als een IT-onderwerp.”
Herkenbaar?
In de praktijk loopt het vast op organisatie en aantoonbaarheid.
De ICT-beheerder weet hoe het zit, maar beleid, toegangsbeheer en leveranciersafspraken zijn nergens vastgelegd. Bij een audit of incident is dat niet aantoonbaar.
Er wordt techniek gekocht zonder te weten welk risico die afdekt. ISO 27001 draait het om: eerst de risicobeoordeling, dan passende maatregelen.
Zonder integrale opzet ontstaat een apart handboek met eigen procedures en audits: dubbel werk en dubbele kosten.
Hoe Ritzky helpt
Niet meer maatregelen dan uw risico's vragen, niet minder dan de norm eist. Techniek organiseren wij samen met uw ICT-partner.
Voor wie
Welke informatie, processen, locaties en leveranciers vallen binnen het ISMS, en welke eisen stellen klanten, wetgeving en contracten?
Een gestructureerde risicobeoordeling van vertrouwelijkheid, integriteit en beschikbaarheid: welke risico's accepteert u, welke beheerst u en hoe.
Een compact informatiebeveiligingsbeleid, de procedures die ertoe doen en een maatregelenplan op basis van Annex A, vastgelegd in de Statement of Applicability.
Medewerkers zijn de eerste verdedigingslinie. Afspraken over wachtwoorden, toegang, thuiswerken en incidenten maken wij begrijpelijk en controleerbaar.
Wij voeren de interne audit uit of begeleiden uw auditoren en bereiden de directiebeoordeling met u voor.
Wij helpen u een passende certificerende instelling te kiezen, bereiden de audit voor en zijn erbij, ook bij de jaarlijkse controle-audits.
Wij inventariseren wat er ligt aan beleid, techniek en documentatie, bepalen de afstand tot de norm en maken een plan met duidelijke afspraken.
Samen met u en uw ICT-verantwoordelijke brengen wij informatie, systemen, belanghebbenden en risico's in kaart en bepalen wij de risicobehandeling.
Informatiebeveiligingsbeleid, procedures en Statement of Applicability, waar mogelijk geïntegreerd in uw ISO 9001-systeem.
Maatregelen invoeren, medewerkers instrueren, registraties opbouwen en het ISMS toetsen met interne audit en directiebeoordeling.
Begeleiding bij de certificatie-audit in twee fasen en bij de jaarlijkse controle-audits.
Resultaat
Een internationaal erkend certificaat beantwoordt beveiligingsvragen van opdrachtgevers in één keer en opent de deur bij aanbestedingen.
U weet welke informatie kritisch is, waar de risico's zitten en welke maatregelen die afdekken.
Duidelijke afspraken over toegang, wijzigingen, incidenten en leveranciers. Als er iets misgaat, weet iedereen wat te doen.
ISO 27001 integreert zonder dubbel werk met ISO 9001 en is de basis voor NEN 7510 en de NIS2-zorgplicht.
Wat klanten zeggen
“Danny en Bert zijn praktisch ingesteld, oplossingsgericht en flexibel.”
ISO/IEC 27001 is de internationale norm voor informatiebeveiliging. De norm biedt een raamwerk voor het opzetten, implementeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS). Het ISMS is bedoeld om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te waarborgen: informatie is alleen toegankelijk voor bevoegden, is juist en volledig, en is beschikbaar wanneer de organisatie die nodig heeft.
De norm omvat het identificeren van risico’s, het implementeren van passende beveiligingsmaatregelen en het regelmatig evalueren en bijwerken van het systeem. ISO 27001-certificering toont aan dat een organisatie voldoet aan internationaal erkende eisen voor informatiebeveiliging. De huidige versie is ISO/IEC 27001:2022, met dezelfde hoofdstructuur als andere ISO-managementsysteemnormen.
Het hart van ISO 27001 is de risicobeoordeling. U bepaalt welke informatie en systemen binnen de scope vallen, welke risico’s daarop rusten en hoe u die behandelt: vermijden, beperken, overdragen of accepteren. De maatregelen die u kiest, koppelt u aan die risico’s.
Annex A bevat de referentielijst van beheersmaatregelen. In de 2022-versie zijn die gegroepeerd in vier thema’s:
In de Statement of Applicability (verklaring van toepasselijkheid) legt u vast welke maatregelen u toepast en waarom, en welke u gemotiveerd uitsluit. Dit document is bij de audit het vertrekpunt van de certificerende instelling.
Certificering gebeurt door een onafhankelijke certificerende instelling, in twee fasen: eerst opzet en documentatie, daarna de werking in de praktijk. Een certificaat is drie jaar geldig, met jaarlijkse controle-audits en daarna een hercertificatie-audit.
Heeft uw organisatie al een kwaliteitsmanagementsysteem volgens ISO 9001, dan is het ISMS daar een logische uitbreiding van. Beide normen delen dezelfde hoofdstructuur: context, belanghebbenden, risicogericht denken, interne audit en directiebeoordeling. Wij bouwen informatiebeveiliging in uw bestaande systeem in, zodat u één managementsysteem heeft met één auditcyclus.
Zorgaanbieders en hun leveranciers kijken daarnaast naar NEN 7510, de Nederlandse zorgnorm die op ISO 27001 voortbouwt. Organisaties die onder NIS2 vallen, gebruiken ISO 27001 als praktische route naar de wettelijke zorgplicht.
FAQ
Nee. De norm geldt voor elke organisatie die informatie verwerkt waarvan vertrouwelijkheid, integriteit of beschikbaarheid belangrijk is. Ook technische dienstverleners, zorgleveranciers en industriële bedrijven certificeren.
Nee. U bepaalt op basis van uw risicobeoordeling welke maatregelen van toepassing zijn en legt dat met motivatie vast in de Statement of Applicability.
Dat hangt af van de scope, de volwassenheid van uw huidige beveiliging en de beschikbare tijd. Onze tarieven hangen af van de grootte en complexiteit van uw organisatie; daarnaast betaalt u de certificerende instelling. Na de nulmeting geven wij een realistische planning en een duidelijke indicatie.
Drie jaar. De certificerende instelling voert jaarlijks een controle-audit uit; na drie jaar volgt een hercertificatie-audit. Wij begeleiden u ook in die fase.
Verder lezen
Informatiebeveiliging NEN 7510 De Nederlandse norm voor informatiebeveiliging in de zorg, afgestemd op uw kwaliteitssysteem. Bekijk Informatiebeveiliging NIS2 Impactanalyse, gap-analyse en werkend risicobeheer voor de zorgplicht en meldplicht van NIS2. Bekijk 
Kwaliteit ISO 9001 Een kwaliteitsmanagementsysteem dat past bij uw organisatie én voldoet aan ISO 9001. Bekijk In een vrijblijvend gesprek bekijken wij wat uw organisatie nodig heeft, wat er al ligt en wat een realistische aanpak is. U weet daarna precies waar u aan toe bent.
