ISO 27001 handboek: moet je er een schrijven?
Nee, ISO 27001 eist geen apart handboek. De norm vraagt om een beperkte set gedocumenteerde informatie op specifieke punten, zoals je beleid, je scope en je risicobeoordeling. Een handboek is een keuze. Het kan handig zijn als ingang voor het hele ISMS, mits het verwijst naar de echte documenten en niet een dikke tekst wordt die niemand leest. Welke documenten verplicht zijn, lees je op verplichte documenten. Hoe het geheel samenhangt, staat bij het ISMS, en de eerste stappen vind je in het stappenplan.
Wat de norm wel eist
De verplichte documenten staan verspreid door de norm. Voor het handboek is het belangrijk te weten dat ze allemaal als zelfstandige documenten kunnen bestaan. De kernpunten:
- de scope van het ISMS (clausule 4.3, zie scope bepalen)
- het informatiebeveiligingsbeleid (clausule 5.2, zie het beleid)
- het proces voor risicobeoordeling en risicobehandeling (clausule 6.1.2 en 6.1.3)
- de Verklaring van toepasselijkheid (SoA), zie verklaring van toepasselijkheid
- de doelstellingen (clausule 6.2)
- bewijs van competentie (clausule 7.2)
- bewijs van monitoring, interne audit en directiebeoordeling (clausules 9.1 tot en met 9.3)
- bewijs van afwijkingen en corrigerende acties (clausule 10.2)
Een handboek mag een inhoudsopgave zijn die naar de echte documenten verwijst. Dan voldoe je aan de norm zonder dubbel werk.
Drie vormen van een ISMS-handboek
Organisaties kiezen meestal een van drie routes. Welke het beste past, hangt af van de omvang en van hoe je al werkt.
| Vorm | Wat het is | Geschikt voor | Valkuil |
|---|---|---|---|
| Geen handboek, wel een index | Eén overzichtspagina met links naar alle documenten | Kleine teams met een goede wiki | De index raakt achter als niemand hem bijhoudt |
| Dun handboek | Twee tot vijf pagina’s: scope, structuur en verwijzingen | Het merendeel van de MKB-bedrijven | Te veel inhoud die al in het beleid staat |
| Uitgebreid handboek | Volledige beschrijving van processen en maatregelen | Grote organisaties met meerdere locaties | Dubbel onderhoud, en veel verouderde tekst |
Voor de meeste organisaties met een paar tientallen medewerkers is het dunne handboek een goede middenweg. Het geeft de auditor één ingang en houdt de inhoud bij de bron.
Voorbeeld: inhoudsopgave van een dun handboek
Dit is een fictief voorbeeld voor “Voorbeeld BV”. Elke sectie verwijst naar het document waar de inhoud werkelijk staat.
| Sectie | Inhoud in het handboek | Verwijst naar | Eigenaar |
|---|---|---|---|
| 1. Doel en scope | Wat het ISMS dekt, in twee zinnen | Scopedocument, versie 2.0 | Security-officer |
| 2. Organisatie en rollen | Wie is verantwoordelijk voor wat | Organogram, RACI-tabel | Directie |
| 3. Beleid | Het beleid in één alinea | Informatiebeveiligingsbeleid, versie 3.1 | Directie |
| 4. Risico’s | Hoe risico’s worden beoordeeld en behandeld | Risicoprocedure, risicoregister | Security-officer |
| 5. Maatregelen | Welke maatregelen zijn van toepassing | Verklaring van toepasselijkheid | Security-officer |
| 6. Doelstellingen | De huidige doelen in een tabel | Doelstellingenoverzicht | Directie |
| 7. Bewaking en audit | Hoe de prestaties worden gemeten en getoetst | Auditplanning, auditrapporten | Security-officer |
| 8. Verbetering | Hoe afwijkingen worden opgelost | Afwijkingenregister | Operations |
| 9. Documentbeheer | Hoe documenten worden gemaakt, goedgekeurd en bewaard | Documentprocedure | Security-officer |
De tabel is het handboek. Het is kort, de inhoud blijft bij de bron, en de auditor kan doorklikken naar elk onderdeel.
Wat de auditor wil zien
Het handboek zelf is zelden het punt van de audit. De auditor controleert of de documenten die je noemt bestaan, actueel zijn en onder beheer staan. Clausule 7.5 gaat daarover: elk document heeft een versie, een goedkeuring, een datum van herziening en een plek waar het bewaard wordt. Een handboek dat op versie 1.0 staat en drie jaar oud is, terwijl het beleid op versie 3.1 staat, kan een afwijking opleveren. Zie de auditvragen en checklist voor de vragen die hierbij horen.
Wanneer is een handboek wel handig?
- Je hebt meerdere locaties of teams die dezelfde afspraken moeten kennen.
- Je moet de werking van het ISMS uitleggen aan klanten of een aanbesteding.
- Je combineert ISO 27001 met andere normen en wilt één ingang voor het geïntegreerde systeem. Zie ISO 27001 vs andere normen.
- Je nieuwe medewerkers moet inwerken in het informatiebeveiligingssysteem.
Wanneer kun je het overslaan?
Als je ISMS klein is, de documenten goed vindbaar zijn in een wiki en iedereen ze kent, dan voegt een handboek weinig toe. Dan is een index van één pagina genoeg. Het stappenplan laat zien welke documenten je in welke fase opstelt, zonder dat er een handboek bij hoeft.
Veelgemaakte fouten
- Het handboek kopieert het beleid. Dan staan er twee versies van dezelfde tekst, en ontstaat verschil.
- Een sjabloon van internet. Auditors herkennen generieke handboeken. Ze passen niet bij jouw processen.
- Het handboek blijft na de certificering liggen. Het moet worden bijgehouden zoals elk ander document.
- Verwijzingen die niet kloppen. Een link naar een document dat is hernoemd of verplaatst, is een kleine maar zichtbare fout.
Zo maak je een dun handboek
Het maken van een dun handboek kost meestal minder tijd dan mensen verwachten, als je de documenten al hebt.
Inventariseer wat je al hebt
Maak een lijst van alle documenten die het ISMS raken, ook als ze in een map of wiki staan. Dat is vaak meer dan je denkt.
Kies je structuur
Neem de negen onderdelen uit de tabel hierboven als uitgangspunt. Schrap wat niet van toepassing is.
Verwijs in plaats van te kopiëren
Per sectie schrijf je twee of drie zinnen en een link naar het bronnendocument. Herhaal geen beleidstekst.
Zet een eigenaar en een datum op het handboek
Net als elk ander document: versie, goedkeuring en datum van de volgende herziening.
Veelgestelde vragen
Vraagt de certificerende instelling om een handboek? Niet als zodanig. Ze willen de documenten zien die de norm eist, en bewijs dat ze werken.
Is een handboek verplicht voor ISO 9001 en ISO 27001 tegelijk? Ook dan niet. Een gecombineerd handboek is wel mogelijk. Zie ISO 27001 en ISO 9001 combineren voor de overlap.
Hoe lang moet een handboek zijn? Zo kort als je kunt. Liever twee pagina’s die kloppen dan veertig die verouderd zijn.