Hoe bepaal ik welke maatregelen ik moet nemen voor ISO 27001?

ISO 27001 implementatie roept bij veel organisaties dezelfde vraag op: welke maatregelen moet ik nu eigenlijk nemen? De norm geeft geen kant-en-klare checklist die je blindelings kunt afvinken. In plaats daarvan vraagt ISO 27001 om een proces waarbij je zelf bepaalt welke informatiebeveiligingsmaatregelen passend zijn voor jouw specifieke situatie. Dat klinkt ingewikkelder dan het is. In dit artikel doorloop je stap voor stap hoe je van risicoanalyse naar concrete, prioriteitsgestelde maatregelen komt.

Breng eerst je informatiebeveiligingsrisico’s in kaart

Voordat je ook maar één maatregel selecteert, moet je weten wat je beschermt en waartegen. De ISO 27001 risicoanalyse begint met het identificeren van je informatieassets: denk aan klantgegevens, medische dossiers, financiële systemen, contracten en interne processen. Per asset stel je vast welke dreigingen er bestaan en hoe kwetsbaar je daarvoor bent.

1. Stel een lijst op van alle informatieassets binnen je organisatie, inclusief de systemen en processen die deze verwerken of opslaan.
2. Identificeer per asset de relevante dreigingen, zoals datalekken, ransomware, menselijke fouten of ongeautoriseerde toegang.
3. Bepaal de kans dat een dreiging zich voordoet en de impact als dat gebeurt, bijvoorbeeld op het gebied van vertrouwelijkheid, integriteit of beschikbaarheid.
4. Bereken op basis van kans en impact het risiconiveau per asset, zodat je een overzicht krijgt van hoge, gemiddelde en lage risico’s.

Na deze stap heb je een risicoregister met een gerangschikte lijst van risico’s. Controleer of elk risico is beoordeeld op alle drie de aspecten van informatiebeveiliging: beschikbaarheid, integriteit en vertrouwelijkheid. Ontbreekt er een perspectief, dan is de analyse nog niet compleet.

Selecteer maatregelen op basis van je risicobehandeling

Met je risicoregister in de hand bepaal je per risico hoe je ermee omgaat. ISO 27001 onderscheidt vier behandelingsopties: het risico verminderen met een maatregel, het risico overdragen (bijvoorbeeld via een verzekering of contractuele afspraken met een leverancier), het risico vermijden door de activiteit te staken, of het risico accepteren als het onder de drempelwaarde valt.

Voor risico’s die je wilt verminderen, selecteer je vervolgens concrete ISO 27001 maatregelen. Koppel elke maatregel direct aan het risico dat ermee wordt aangepakt. Zo voorkom je dat je maatregelen neemt die nergens op zijn gebaseerd, en voorkom je ook dat echte risico’s onbehandeld blijven. Leg de keuzes vast in een risicobehandelingsplan, inclusief de verantwoordelijke persoon en de geplande implementatiedatum.

Gebruik Annex A als gestructureerde maatregelenbibliotheek

Annex A van ISO 27001 bevat een uitgebreide set van Annex A maatregelen die je als referentie gebruikt bij het selecteren van passende beheersmaatregelen. De huidige versie van de norm (ISO 27001:2022) bevat 93 maatregelen verdeeld over vier thema’s: organisatorische maatregelen, persoonsgebonden maatregelen, fysieke maatregelen en technologische maatregelen.

1. Loop de Annex A maatregelen systematisch door en beoordeel per maatregel of deze relevant is voor jouw risicobehandeling.
2. Markeer maatregelen als van toepassing, niet van toepassing, of reeds geïmplementeerd.
3. Leg voor elke maatregel die je uitsluit vast waarom deze niet van toepassing is op jouw organisatie. Dit vormt de basis voor je Verklaring van Toepasselijkheid (Statement of Applicability).

De Verklaring van Toepasselijkheid is een verplicht document binnen ISO 27001 en wordt door de externe auditor beoordeeld. Zorg dat je motivaties voor in- en uitsluitingen helder en aantoonbaar zijn. Annex A is geen verplichte checklist om volledig af te vinken, maar een bibliotheek om gestructureerd uit te putten op basis van je eigen risicoanalyse.

Prioriteer en faseer de implementatie van maatregelen

Zodra je weet welke maatregelen je wilt implementeren, is de volgende uitdaging het plannen van de uitvoering. Het is praktisch onmogelijk om alles tegelijk te doen, en dat is ook niet nodig. Prioriteer op basis van twee factoren: het risiconiveau dat de maatregel aanpakt, en de haalbaarheid van implementatie binnen jouw organisatie.

1. Rangschik de geselecteerde maatregelen op urgentie: begin met maatregelen die hoge risico’s adresseren of wettelijk verplicht zijn.
2. Verdeel de implementatie over een realistische tijdlijn, rekening houdend met beschikbare capaciteit, budget en afhankelijkheden tussen maatregelen.
3. Wijs per maatregel een verantwoordelijke eigenaar aan die de uitvoering coördineert en voortgang bijhoudt.
4. Documenteer de implementatiestatus per maatregel in je risicobehandelingsplan, zodat je op elk moment een actueel overzicht hebt.

Een gestructureerd implementatietraject helpt je om focus te houden en voorkomt dat je vastloopt in de omvang van het project. Denk ook aan organisatorische maatregelen zoals bewustzijnstraining voor medewerkers: die zijn vaak snel te realiseren en hebben direct effect op het risiconiveau.

Controleer de effectiviteit van geïmplementeerde maatregelen

Maatregelen implementeren is niet het eindpunt. ISO 27001 vereist dat je aantoonbaar bewaakt of de maatregelen ook daadwerkelijk werken zoals bedoeld. Dit doe je door prestatie-indicatoren te definiëren en periodiek te meten of de maatregel het beoogde effect heeft op het risiconiveau.

1. Stel per maatregel een meetbare indicator op, bijvoorbeeld het percentage medewerkers dat een phishing-test doorstaat, of de gemiddelde tijd om een beveiligingsincident te detecteren.
2. Plan periodieke evaluatiemomenten in, minimaal jaarlijks, maar vaker voor hoog-risicogebieden.
3. Voer een interne audit uit om onafhankelijk te beoordelen of maatregelen correct zijn geïmplementeerd en effectief functioneren.
4. Verwerk bevindingen in verbeteracties en actualiseer je risicoregister als de situatie verandert.

Een interne audit geeft waardevolle inzichten en werkt tegelijkertijd als voorbereiding op de externe certificeringsaudit. Zorg dat je bevindingen, verbeteracties en de opvolging daarvan goed gedocumenteerd zijn. Dit toont de auditor aan dat je managementsysteem niet stilstaat, maar continu verbetert.

Hoe wij helpen met ISO 27001 maatregelen

Wij begeleiden organisaties in zorg, ICT en onderwijs door het volledige ISO 27001 traject, van de eerste risicoanalyse tot de voorbereiding op de externe audit. De benodigde inzet en doorlooptijd verschillen per organisatie en zijn afhankelijk van factoren zoals de omvang van de organisatie, het aantal informatieassets, de complexiteit van de bedrijfsprocessen en de volwassenheid van het huidige informatiebeveiligingsbeleid. Concreet bieden wij:

• Risicoanalyse en risicobehandeling op maat, afgestemd op de bedrijfsvoering van jouw organisatie
• Opstellen van de Verklaring van Toepasselijkheid, inclusief onderbouwde selectie van Annex A maatregelen
• Begeleiding bij implementatie via onze eigen ISMS-tool en bewezen Kwinzo-methode
• Interne audits als generale repetitie voor de externe certificeringsaudit
• Maandelijkse workshops voor Security Officers die hun kennis willen verdiepen en praktijkervaringen willen uitwisselen

Wil je weten welke ISO 27001 maatregelen voor jouw organisatie het meest relevant zijn? Neem contact op voor een vrijblijvend adviesgesprek. We maken direct een inschatting van de benodigde inzet, doorlooptijd en wat het traject voor jou betekent.