ISO27001

Wat ISO27001 inhoudt

ISO27001 is de wereldwijde standaard voor informatiebeveiliging. De norm biedt organisaties een raamwerk voor het opzetten en onderhouden van een managementsysteem voor informatiebeveiliging (ISMS). Dit systeem is een procesmatige aanpak om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te waarborgen. Het doel is om data te beschermen tegen ongeautoriseerde toegang en andere dreigingen.

Een ISMS volgens ISO27001 is geen software, maar een verzameling van beleid, procedures en controles. De norm schrijft niet precies voor welke maatregelen een organisatie moet nemen. In plaats daarvan stelt het eisen aan het proces om beveiligingsrisico's te identificeren, te analyseren en te behandelen. Dit maakt de norm toepasbaar op elke soort organisatie.

De kern van de methode is de cyclus van continue verbetering, bekend als Plan-Do-Check-Act (PDCA). Organisaties plannen hun beveiligingsmaatregelen, voeren deze uit, controleren de effectiviteit en sturen bij waar nodig. Deze aanpak zorgt ervoor dat het informatiebeveiligingsbeleid actueel blijft en meegroeit met nieuwe ontwikkelingen en dreigingen.

De toepassing van ISO27001 bij de overheid

Voor de Nederlandse overheid is de toepassing van ISO27001 een verplichting. De norm vormt de basis voor de Baseline Informatiebeveiliging Overheid (BIO). De BIO is het gezamenlijke normenkader voor informatiebeveiliging dat geldt voor alle overheidslagen, van Rijk tot gemeenten en waterschappen.

Overheden gebruiken dit raamwerk om gevoelige gegevens van burgers en kritieke bedrijfsinformatie te beschermen. Het helpt hen te voldoen aan wet- en regelgeving, zoals de Algemene verordening gegevensbescherming (AVG). Een gestructureerde aanpak van informatiebeveiliging draagt bij aan het vertrouwen van burgers in de overheid.

De norm biedt een systematische methode voor risicobeheersing. Dit maakt ook veilige samenwerking tussen verschillende overheidsorganisaties en met externe partijen mogelijk. Door een gezamenlijke standaard te hanteren, weten organisaties dat hun partners aan vergelijkbare beveiligingseisen voldoen.

Gevraagde rollen en vaardigheden

Inhuuropdrachten bij de overheid vragen vaak om kennis van ISO27001 in specifieke functierollen. Dit zijn bijvoorbeeld rollen als CISO, Cybersecurity Engineer, Architect en Functionaris Gegevensbescherming. Deze professionals zijn verantwoordelijk voor het strategische, tactische of operationele niveau van informatiebeveiliging.

Naast kennis van de norm zelf, worden vaak aanvullende vaardigheden gevraagd. Veelvoorkomende combinaties zijn met Risicomanagement, IT-beveiliging, Stakeholdermanagement en kennis van de AVG. Dit duidt op een vraag naar interim professionals die zowel de technische als de organisatorische en juridische kant van informatiebeveiliging begrijpen.

Een interim professional, freelancer of zzp'er met expertise in ISO27001 verbindt beleid met de praktijk. De opdrachten omvatten vaak het uitvoeren van risicoanalyses, het opstellen van beveiligingsbeleid en het begeleiden van implementatietrajecten. Ook het adviseren van het management over beveiligingsvraagstukken is een veelvoorkomende taak.

Kennis van ISO27001 aantonen

Een interim professional, freelancer of zzp'er toont expertise in ISO27001 aan door concrete ervaring te beschrijven. Denk hierbij aan projecten waarin een ISMS is opgezet, geïmplementeerd of onderhouden. Het beschrijven van de eigen rol bij het uitvoeren van risicoanalyses of interne audits is hierbij waardevol.

Het voorbereiden van een organisatie op een externe audit voor certificering is een sterk bewijs van diepgaande kennis. Resultaten zoals een succesvol behaalde certificering of aantoonbaar verbeterde beveiligingsprocessen overtuigen een opdrachtgever. Ook het opstellen van een 'Statement of Applicability' is een relevante ervaring.

Naast praktijkervaring kunnen formele certificeringen de kennis van een professional onderbouwen. Er zijn verschillende certificaten op het gebied van informatiebeveiliging en ISO27001 die aantonen dat een professional de theorie en de toepassing van de norm beheerst.

Verwante normen en kaders

ISO27001 staat niet op zichzelf en heeft een sterke relatie met andere normen. De bekendste is ISO27002, die gedetailleerde richtlijnen en best practices biedt voor de implementatie van de beveiligingsmaatregelen die in ISO27001 worden genoemd. Professionals gebruiken ISO27002 vaak als praktische handleiding.

Binnen de Nederlandse context is de Baseline Informatiebeveiliging Overheid (BIO) de belangrijkste afgeleide norm. De BIO vertaalt de algemene eisen van ISO27001 naar de specifieke situatie van de Nederlandse overheid. Kennis van de BIO is daarom vaak een vereiste voor opdrachten in de publieke sector.

Andere sectoren hebben hun eigen specifieke normen die op ISO27001 zijn gebaseerd. Een voorbeeld is de NEN 7510 voor de zorgsector. Deze norm stelt aanvullende eisen voor de bescherming van persoonlijke gezondheidsinformatie. Een solide basis in ISO27001 is vaak een goede voorbereiding op deze sectorspecifieke kaders.