Wat is ISO 27002?
ISO 27002 is de internationale richtlijn die per beveiligingsmaatregel uitlegt wat het doel is en hoe je hem kunt invullen. De huidige versie, ISO/IEC 27002:2022, beschrijft 93 maatregelen in vier thema’s: organisatorisch, mensen, fysiek en technologisch. Je kunt je niet op ISO 27002 laten certificeren. Je gebruikt hem als naslagwerk bij het invoeren van de maatregelen uit ISO 27001.
De volledige titel is “Information security, cybersecurity and privacy protection: Information security controls”. De norm is te koop bij ISO en in Nederland als NEN-EN-ISO/IEC 27002:2022 bij NEN . Het verschil met de certificeerbare norm lees je op ISO 27001 vs. ISO 27002. Op deze pagina gaat het over ISO 27002 zelf.
Kort gezegd: Annex A van ISO 27001 geeft per maatregel één zin. ISO 27002 geeft per maatregel ongeveer een pagina uitleg. Dezelfde 93 maatregelen, dezelfde nummers, veel meer detail.
ISO 27002 in het kort
| Volledige naam | ISO/IEC 27002:2022, Information security controls |
| Soort document | Richtlijn met implementatie-uitleg, geen eisennorm |
| Certificeerbaar? | Nee |
| Aantal maatregelen | 93, waarvan 11 nieuw ten opzichte van 2013 |
| Indeling | Vier thema’s: hoofdstuk 5 tot en met 8 |
| Extra in 2022 | Vijf soorten attributen per maatregel |
| Gebruikt door | ISO 27001, de BIO2, NEN 7510 en sectorrichtlijnen |
Hoe is ISO 27002 opgebouwd?
ISO 27002:2022 telt acht hoofdstukken en twee bijlagen. Hoofdstuk 1 tot en met 4 zijn inleidend: toepassingsgebied, definities en uitleg over de structuur. Daarna volgen de maatregelen.
| Hoofdstuk | Thema | Aantal maatregelen | Voorbeelden |
|---|---|---|---|
| 5 | Organisatorische maatregelen | 37 | Beleid, rollen, leveranciers, incidenten |
| 6 | Maatregelen voor mensen | 8 | Screening, bewustwording, thuiswerken |
| 7 | Fysieke maatregelen | 14 | Toegang tot gebouwen, clean desk, apparatuur |
| 8 | Technologische maatregelen | 34 | Authenticatie, back-up, logging, veilig programmeren |
Bijlage A legt uit hoe je de attributen gebruikt. Bijlage B is een vergelijkingstabel tussen de versie van 2022 en die van 2013. Handig als je nog oude documenten hebt met nummers als A.9.4.3.
Hoe ziet een maatregel in ISO 27002 eruit?
Elke maatregel heeft dezelfde vaste opbouw. Neem maatregel 8.13 over back-ups als voorbeeld.
| Onderdeel | Wat erin staat | Voorbeeld bij 8.13 Back-up van informatie |
|---|---|---|
| Attributen | Tabel met labels in vijf categorieën | Corrigerend, integriteit en beschikbaarheid, herstellen |
| Maatregel | De korte zin, gelijk aan Annex A van ISO 27001 | Back-ups van informatie, software en systemen worden bewaard en regelmatig getest |
| Doel | Waarom de maatregel bestaat | Herstel mogelijk maken na verlies van gegevens of systemen |
| Richtlijn | De eigenlijke uitleg, vaak een pagina of meer | Wat je vastlegt in een back-upbeleid, hoe vaak je test, waar je kopieën bewaart |
| Overige informatie | Achtergrond en verwijzingen naar andere normen | Verwijzing naar normen voor continuïteit |
De samenvattingen in deze tabel zijn onze eigen woorden. Een ingevuld back-upbeleid op basis van deze maatregel vind je op back-upbeleid volgens ISO 27001.
Wat zijn de attributen in ISO 27002?
Sinds 2022 heeft elke maatregel labels in vijf categorieën. Daarmee kun je de 93 maatregelen filteren en sorteren, bijvoorbeeld voor een rapportage aan de directie of om te zien welke maatregelen je helpen bij detectie.
| Attribuut | Mogelijke waarden | Waar je het voor gebruikt |
|---|---|---|
| Soort maatregel | Preventief, detecterend, corrigerend | Balans checken tussen voorkomen en opmerken |
| Beveiligingseigenschap | Vertrouwelijkheid, integriteit, beschikbaarheid | Koppelen aan je risicoanalyse |
| Cybersecurityconcept | Identificeren, beschermen, detecteren, reageren, herstellen | Aansluiten op het NIST Cybersecurity Framework |
| Operationele capaciteit | Onder meer governance, assetbeheer, toegangsbeheer, continuïteit, leveranciers | Maatregelen per team of eigenaar groeperen |
| Beveiligingsdomein | Governance en ecosysteem, bescherming, verdediging, weerbaarheid | Overzicht voor bestuur en management |
Een voorbeeld: maatregel 8.5 over veilige authenticatie is preventief, raakt vertrouwelijkheid, integriteit en beschikbaarheid, valt onder “beschermen” en hoort bij de capaciteit toegangsbeheer. Filter je je verklaring van toepasselijkheid op “detecterend”, dan zie je meteen of je genoeg maatregelen hebt die een aanval opmerken.
Welke maatregelen zijn nieuw in ISO 27002:2022?
Elf maatregelen bestonden in 2013 nog niet. Ze laten zien waar de dreigingen de afgelopen jaren veranderden.
| Nr. | Maatregel | Waar het over gaat |
|---|---|---|
| 5.7 | Threat intelligence | Informatie over dreigingen verzamelen en gebruiken |
| 5.23 | Informatiebeveiliging bij clouddiensten | Eisen aan inkoop, gebruik en beëindiging van cloud |
| 5.30 | ICT-gereedheid voor bedrijfscontinuïteit | IT voorbereiden op verstoringen |
| 7.4 | Monitoring van fysieke beveiliging | Camera’s en alarmen bij gebouwen |
| 8.9 | Configuratiebeheer | Vaste, veilige instellingen voor systemen |
| 8.10 | Verwijderen van informatie | Gegevens wissen als je ze niet meer nodig hebt |
| 8.11 | Maskeren van gegevens | Persoonsgegevens afschermen, bijvoorbeeld in testomgevingen |
| 8.12 | Voorkomen van datalekken | Technische maatregelen tegen het lekken van gegevens |
| 8.16 | Monitoren van activiteiten | Afwijkend gedrag in netwerken en systemen opmerken |
| 8.23 | Webfiltering | Toegang tot schadelijke websites beperken |
| 8.28 | Veilig programmeren | Veilige principes bij softwareontwikkeling |
Hoe gebruik je ISO 27002 in de praktijk?
Je hoeft ISO 27002 niet van voor naar achter te lezen. Gebruik hem op drie momenten.
- Bij de risicoanalyse. Zoek per risico welke maatregelen het risico verkleinen, en lees in ISO 27002 wat ze inhouden.
- Bij het schrijven van beleid. De richtlijn per maatregel is een goede checklist voor wat er in een beleid of procedure moet staan.
- Bij voorbereiding op de audit. Twijfel je of een maatregel goed genoeg is ingericht, dan geeft ISO 27002 houvast.
Uitbreidingen bouwen op dezelfde structuur voort. ISO 27017 voegt cloudmaatregelen toe en ISO 27018 maatregelen voor persoonsgegevens in de publieke cloud. Ook de overheid gebruikt ISO 27002 als basis, zie BIO2 en ISO 27001.
Wat de auditor wil zien als je ISO 27002 gebruikt
De certificerende instelling toetst je aan ISO 27001, niet aan ISO 27002. Toch zie je de invloed terug. De auditor wil dat je kunt uitleggen waarom een maatregel op jouw manier is ingericht. “We volgen de richtlijn uit ISO 27002, met deze aanpassing omdat…” is dan een sterk antwoord.
Veelgemaakte fouten met ISO 27002
- Alle richtlijnen letterlijk overnemen. De richtlijn is advies. Kies wat past bij je risico’s.
- Een oude versie gebruiken. Werk je nog met de nummering uit 2013, gebruik dan bijlage B om over te stappen.
- ISO 27002 zonder ISO 27001 kopen. Wil je certificeren, dan heb je eerst ISO 27001 nodig.
- De attributen negeren. Ze kosten weinig moeite en maken je rapportages veel overzichtelijker.
Veelgestelde vragen over ISO 27002
Kun je je laten certificeren voor ISO 27002?
Nee. ISO 27002 bevat geen eisen, alleen uitleg en advies. Een certificerende instelling toetst aan ISO 27001. Wie zegt “ISO 27002-gecertificeerd” te zijn, bedoelt meestal dat hij ISO 27001 heeft en de maatregelen volgens ISO 27002 heeft ingericht.
Is ISO 27002 gratis te downloaden?
Nee, de normtekst is auteursrechtelijk beschermd en koop je bij ISO of NEN. Voor overheidsorganisaties heeft het ministerie van BZK ISO 27001 en ISO 27002 gratis beschikbaar gesteld via NEN, zoals beschreven op BIO2 en ISO 27001.
Heb ik ISO 27002 nodig als ik al ISO 27001 heb?
Het is niet verplicht, maar wel nuttig. Annex A van ISO 27001 geeft alleen de titel en één zin per maatregel. Wil je weten wat een auditor redelijk vindt, dan is ISO 27002 de plek om te kijken.
Meer informatie
- ISO 27001 vs. ISO 27002: het verschil tussen eisen en uitleg
- Annex A van ISO 27001: de 93 maatregelen per thema
- Verklaring van toepasselijkheid: waar je je keuzes vastlegt
- Wijzigingen en transitie: wat er in 2022 veranderde