ISO 27001-certificering
Een klant of aanbesteding vraagt om ISO 27001 en je weet niet waar je moet beginnen. Ik begeleid het hele traject, van de eerste inventarisatie tot de audit door de certificerende instelling.
Wat ISO 27001 van je vraagt
ISO 27001 gaat niet over een map met documenten. De norm vraagt om een managementsysteem: je weet welke risico's je loopt, je kiest daar bewust maatregelen bij, je controleert of die werken en je stuurt bij als dat niet zo is. Een auditor toetst of dat systeem echt draait, niet of het beschreven is.
Dat is meteen de plek waar trajecten misgaan. Er wordt een set beleidsstukken gekocht of geschreven, iedereen tekent voor kennisname en een jaar later blijkt er niets van in de praktijk terecht te zijn gekomen. Dan valt het bij de eerste audit alsnog om.
Hoe ik het aanpak
- 01 Nulmeting
- We toetsen wat er ligt aan de eisen van de norm en brengen in kaart wat er ontbreekt. Je krijgt een overzicht van de gaten en een inschatting van het werk.
- 02 Plan
- Scope bepalen, risico's beoordelen en de verklaring van toepasselijkheid opstellen. Daarna een planning met prioriteiten, zodat duidelijk is wat eerst moet.
- 03 Uitvoeren
- Beleid en procedures schrijven die passen bij hoe jullie werken, maatregelen implementeren samen met IT en de business, en de mensen meenemen die ermee moeten werken.
- 04 Borgen
- Interne audit, directiebeoordeling en het oplossen van bevindingen. Daarna de begeleiding bij de fase 1 en fase 2 audit van de certificerende instelling.
Wat je krijgt
Een ISMS dat past bij je omvang en dat blijft draaien na de certificering, plus een documentatieset die klopt met wat er in de praktijk gebeurt. En iemand die naast je zit tijdens de audit.
En SOC 2?
Krijg je vooral vragen van Amerikaanse klanten, dan komt SOC 2 vaker voorbij dan ISO 27001. De onderliggende maatregelen overlappen sterk, dus veel van het werk is dubbel bruikbaar. Wat het juiste startpunt is, hangt af van wie erom vraagt en waarom. Dat kunnen we in een kort gesprek uitzoeken.
Ik ben ook auditor
Ik ben Lead Auditor ISO 27001 (DNV GL, 2021). Dat betekent dat ik weet waar een toetser op let en welke bewijslast er verwacht wordt. Bij dezelfde organisatie doe ik overigens niet allebei: bouwen en auditen gaan niet samen zonder de onafhankelijkheid te ondermijnen.
Andere diensten
CISO-as-a-service
Een vaste securityverantwoordelijke zonder iemand in dienst te nemen. Ik neem de rol op me voor een afgesproken aantal uur per maand.
Nulmeting en audit
Een onafhankelijke beoordeling van waar je staat, getoetst aan ISO 27001, NIS2 of de BIO, met een prioriteitenlijst die maandag bruikbaar is.
AVG en privacy
Verwerkingsregister, DPIA en datalekprocedure, zo ingericht dat privacy in je dagelijkse processen zit en niet alleen op papier staat.
Benieuwd wat dit voor jou betekent?
Vertel me waar je tegenaan loopt, dan kijken we in een kort gesprek of ik je verder kan helpen.