ISO 27001 onderhouden na certificering

Het ISO 27001  certificaat is binnen. Maar daarmee begint het eigenlijk pas. Het certificaat is 3 jaar geldig, met jaarlijkse surveillance-audits waarin een geaccrediteerde instantie  controleert of je ISMS nog werkt. De NEN-versie  van de norm beschrijft in hoofdstuk 10 de eis van continue verbetering. Zonder actief onderhoud loop je het risico je certificaat te verliezen.

De 3-jarige ISO 27001 certificeringscyclus

Over 3 jaar moet de auditor alle onderdelen van je ISMS hebben gezien. Bij elke surveillance kiest de auditor een andere selectie. Meer over kosten: kosten en tijdlijn.

Wat moet je jaarlijks doen voor ISO 27001?

Verplichte activiteiten

Interne audit

De interne audit is je eigen controle voordat de externe auditor komt. Je checkt of procedures worden gevolgd, of maatregelen werken, en of het ISMS actueel is.

Wie voert het uit?

• Een getrainde interne auditor (mag niet zijn eigen werk auditen)
• Of een externe partij die je interne audit uitvoert

Wat check je?

• Worden de 93 Annex A-maatregelen die je hebt geselecteerd nageleefd?
• Zijn procedures actueel en worden ze gevolgd?
• Zijn risico-beoordelingen up-to-date?
• Worden incidenten gemeld en afgehandeld?
• Is er bewijs van continue verbetering?

Managementreview

De directie bespreekt minimaal jaarlijks de status van het ISMS. Vaste agendapunten:

• Status van acties uit vorige review
• Veranderingen in dreigingen en risico’s
• Resultaten van interne audits
• Incidenten en hun afhandeling
• Prestatie van het ISMS (KPI’s)
• Verbetermogelijkheden
• Zijn beleid en doelen nog actueel?

Output: Besluiten en acties, vastgelegd in notulen. De auditor vraagt altijd om deze notulen.

Je ISO 27001 ISMS actueel houden bij veranderingen

Je ISMS moet meebewegen met je organisatie. Bij deze veranderingen moet je je ISMS bijwerken:

Veelgemaakte fouten na ISO 27001 certificering

Het ISMS in de la leggen

Na de intensieve certificeringsperiode is de verleiding groot om even te ontspannen. Maar als je 11 maanden niets doet en dan in maand 12 alles moet inhalen voor de surveillance-audit, wordt het stressvol en oppervlakkig.

Oplossing: Plan vaste momenten (maandelijks of per kwartaal) voor ISMS-onderhoud. Spreek het af met het team en zet het in de agenda.

Interne audit als formaliteit behandelen

Een interne audit die bestaat uit “alles is in orde, geen bevindingen” is een rode vlag voor de auditor. Een goed werkend ISMS vindt altijd verbeterpunten.

Oplossing: Neem de interne audit serieus. Laat het uitvoeren door iemand die kritisch durft te kijken. Externe hulp is een optie.

Bewustzijnstraining vergeten

Bij de implementatie train je iedereen. Maar nieuwe medewerkers krijgen geen training, en bestaande medewerkers zijn het na een jaar vergeten.

Oplossing: Integreer beveiligingsbewustzijn in het onboardingproces. Plan jaarlijkse opfriscursus of phishing-simulatie.

Incidenten niet registreren

Kleine incidenten (fout gestuurde e-mail, verloren USB-stick) worden niet geregistreerd omdat ze “niet ernstig genoeg” lijken. Maar de auditor verwacht een incidentregistratie met trendanalyse.

Oplossing: Maak melden laagdrempelig. Elk incident registreren, hoe klein ook. Analyseer trends per kwartaal.

Risicoanalyse niet actualiseren

De risicoanalyse uit jaar 1 beschrijft nog steeds een on-premise serveromgeving, terwijl je inmiddels volledig naar de cloud bent gemigreerd.

Oplossing: Herzie de risicoanalyse minimaal jaarlijks en bij elke significante verandering.

Wat kost ISO 27001 onderhoud per jaar?

Meer over kosten: kosten en tijdlijn.

Meer informatie

• Het auditproces — Wat kun je verwachten bij surveillance en hercertificatie
• ISMS uitgelegd — Het systeem dat je onderhoudt
• Risicoanalyse — Hoe je risico’s actueel houdt
• Annex A maatregelen — De 93 beheersmaatregelen
• Kosten en tijdlijn — Volledige kosteninschatting
• Eisen van ISO 27001 — Alle normeisen per hoofdstuk