ISO 27001 

Wat is ISO 27001

ISO 27001 is wereldwijd de belangrijkste norm voor informatiebeveiliging. Deze norm is de meest gewaardeerde standaard voor het beschermen van gevoelige gegevens tegen ongeautoriseerde toegang.
De ISO 27001 norm helpt uw organisatie om op een gestructureerde manier om te gaan met het beveiligen van informatie. Deze overal geaccepteerd norm geeft eisen en richtlijnen voor het opstellen en onderhouden van een Information Security Management System, een managementsysteem om systematisch met het beveiligen van informatie om te gaan. Het doel van informatiebeveiliging is de vertrouwelijkheid, integriteit en beschikbaarheid van informatie zoals bedrijfsgegevens en kennis evenals privacy en persoonlijke gegevens te waarborgen en zorg te dragen dat deze informatie gegevens en data beschikbaar en betrouwbaar blijven. 
Deze beveiliging en bescherming gelden vooral bij het voorkomen van incidenten zoals hacks en datalekken, ongeoorloofde toegang of inbraak en andere mogelijke onveilige situaties.

Wanneer uw organisatie een ISO 27001-certificaat behaalt, kunt u aantonen, met het certificaat van deze overal geaccepteerd norm als bewijs, dat u voldoet aan alle internationale eisen voor een gestructureerde informatiebeveiliging. Daarmee geeft u klanten de zekerheid dat hun gegevens veilig worden behandeld en verhoogt u het vertrouwen in uw organisatie.

De ISO 27001 norm voor informatiebeveiliging is ontwikkeld door de International Standardization Organization (ISO) in Genève.
De ISO 27001 norm is overal en in elke organisatie bruikbaar, dus toepassing en beveiliging van informatie met deze gerennomeerde norm is ook in uw bedrijf mogelijk.
De Engelse ISO 27001 norm is in het Nederlands vertaald door het NEderlands Normalisatie instituut (NEN).
De nieuwste versie van deze norm is de NEN-EN-ISO/IEC 27001:2023 nl. 
U kunt de NEN-ISO/IEC 27001:2023 norm voor informatiebeveiliging kopen in de webshop van de NEN voor € 198,75.

ISO 27001 invoeren

De ISO 27001 standaard is een overal gebruikte set basisregels die misbruik, vernietiging of verstoring, van gevoelige data kan voorkomen. Het gebruik van deze standaard heeft als doel de vertrouwelijkheid, integriteit en beschikbaarheid van die informatie te waarborgen. 

ISO 27001 invoeren bestaat uit de volgende stappen:

• Stel een standaard ISMS (Information Security Management System) op en definieer welke gegevensbronnen binnen de organisatie met het Infomation Security Management System moeten worden beveiligd; 
• Breng risico factoren voor de veiligheid van gegevens in kaart;
• Bepaal welke data en systemen belangrijk zijn en prioriteit hebben bij het waarborgen van de bescherming;
• Analyseer bedreigingen en kwetsbaarheden die extra beveiliging van gegevens noodzakelijk maken.
• Stel vast welke maatregelen nodig zijn om beveiligingsincidenten te vermijden en/of gevolgen van  aanvallen te reduceren;
• Stel het informatiebeveiligingsbeleid op en ontwikkel procedures en protocollen om de beveiliging van dat te structureren en voeg deze samen in een Informatie Security Management Systeem;
• Kies passende bescherminsmaatregelen uit de ISO 27001 Annex A voor het beveiligen van data (bijv. toegangsbeheer, encryptie, logging).
• Leg vast waarom en welke bescherminsmaatregelen zijn gekozen in een Statement of Applicability (SoA);
• Voer de maatregelen in om uw gevoelige informatie te beveiligen en controleer de uitvoering van de genomen beveiligingsmatregelen.

Certificatieproces

De certificering van een ISMS volgens de NEN-ISO/IEC 27001:2013 norm voor informatiebeveiliging wordt uitgevoerd via een beoordeling, audit en inspectie door een voor deze norm voor informatiebeveiliging geaccrediteerd bureau. Hierbij wordt gekeken naar beveiligingsrisico's, de vastgesteld procedures om informatie te beveiligen en gevaren te beperken en naar de uitvoering van maatregelen om bedrijfsgegevens en persoonlijke gegevens te beveligen. Een certificaat verlenen voor deze formeel goedgekeurde norm voor informatiebeveiliging volgt pas na verificatie, controle en test. ISO 27001 certificatie geeft klante het vertrouwen dat hun gegevens bij u veilig zijn. 
Met een ISO 27001 certificaat laat u zien dat u voldoet aan alle eisen rondom informatiebeveiliging.

Beveiliging en maatregelen

Om een serieuze beveiliging te garanderen vraagt ISO 27001 om een Information Security Management System (ISMS) dat verantwoordelijkheden voor die beveiliging in processen en maatregelen vastlegt. Dit ISMS zorgt voor een gestructureerde periodieke aanpak voor het beheer en de verbetering van informatiebeveiliging van de organisatie. Een ISMS helpt organisaties bij het systematisch identificeren, beoordelen en verminderen en voorkomen van veiligheidsincidenten.

De ISO 27001 norm voor informatie beveiliging is de basis voor het opzetten van een ISMS (een Information Security Management Systsem) maar is niet compleet zonder de ISO 27002 als het gaat om beveiligingsmaatregelen die moeten worden genomen. De norm ISO 27002 is een aanvullende norm op de ISO 27001 en richt zich op de beheersmaatregelen. Deze beheersmaatregelen staan vermeld in bijlage A van ISO 27001. De ISO 27002 beschrijft van deze behersmatregelen: wat het doel van elke maatrgel is, hoe elke maatregelwerk werkt en hoe elke maatregel wordt ingevoerd.

Bescherming van gegevens kan door middel van preventieve oplossingen, fysieke bewaking en digitale maatregelen, wat kan variëren van toegangscontrole tot cybersecurity. Denk ook aan voorbereiding van reacties op meldingen van alarm bij incidenten door het thema informatiebeveiliging op te nemen in de werknemersvoorlichting.

ISO 27001 informatie

Eigenschappen ISO 27001:

• ISO 27001 beschrijft hoe uw bedrijf zich kan wapenen tegen aanvallen van buiten
• Geeft aandacht aan interne gevaren van binnen de organisatie
• Bewaakt de vertrouwelijkheid, beschikbaarheid en de integriteit van informatie;
• Verwijst naar de ISO 27001 voor het nemen van geëigende beschermingsmaatregelen;
• Is opgebouwd volgens de HLS structuur waardoor integratie van het ISMS met andere systemen wordt vereenvoudigd.

Voordelen ISO 27001 informatiebeveiliging:

• De organisatie is beter voorbereid op aanvallen op uw gegeven;
• Klanten en partners krijgen meer vertrouwen doordat je laat zien dat je informatiebeveiliging serieus neemt;
• Het helpt te voldoen aan de eisen van de NIS2-richtlijn en het naleven van andere relevante regelgeving voor informatiebeveiliging; 
• Het geeft concurrentievoordeel als informatiebeveiliging een vereiste is voor deelname aan aanbestedingen; 
• ISO 27001 beperkt het risico op datalekken en daarmee op juridische en financiële gevolgen en reputatieschade door hacks. 

ISO 27001 beveiligt gegevens die kunnen voorkomen in vele vormen. De beveiliging van deze informatie met ISO 27001 omvat gegevens als: bekende feiten, digitale data, of informatie die op een of ander medium zijn vastgelegd en uitgewisseld kunnen worden. Deze gegevens die volgens ISO 27001 moeten worden beveiligd kunnen ook mondeling worden verspreid via voorlichting of instructie.  ISO 27001 informatiebeveiliging omvat onder andere: persoonsgegevens zoals naam en adres, digitale gegevens vastgelegd in een computersysteem, papieren documenten, productie- en bedrijfsgegevens in bredere betekenissen, en interpretatie van informatie, kennis en feiten.