ISMS
Hoe werkt een ISMS?
Een ISMS biedt een systematische aanpak voor het managen van de informatiebeveiliging binnen een organisatie. Zoals gezegd is een ISMS een systeem, en geen software (hoewel handige software als Normity jou natuurlijk wel kan ondersteunen). Het is in de eerste plaats een management instrument om de informatiebeveiliging te waarborgen en besturen. Integraal onderdeel van de informatiebeveiliging zijn beleidsrichtlijnen die iedereen kent en toepast. Deze richtlijnen zijn erop gericht de beveiligingsrisiconiveaus binnen een organisatie te controleren en beheren.
ISO/IEC 27001 is de internationale standaard voor informatiebeveiliging en voor het opstellen en beheren van een ISMS binnen jouw organisatie. De norm is gepubliceerd door de Internationale Organisatie voor Standaardisatie en de Internationale Elektrotechnische Commissie. De norm zelf schrijft geen specifieke acties voor. De norm bevat een reeks van suggesties op verschillende gebieden, zoals documentatie, interne audits, voortdurende verbetering en corrigerende en preventieve maatregelen.
Wil je als organisatie gecertificeerd worden tegen de ISO 27001 norm, dan moet je een ISMS opzetten en beheren. Dit ISMS moet tenminste het volgende bereiken:
- de risico's op het gebied van informatiebeveiliging zijn geïdentificeerd
- de maatregelen om deze informatie te beschermen zijn vastgesteld
- de maatregelen worden op gestructureerde wijze uitgevoerd en beoordeeld
- er ligt een plan van aanpak wanneer een inbreuk op de beveiliging plaatsvindt
- personen zijn verantwoordelijk gemaakt voor iedere stap in het proces
Het gaat hierbij niet per se over het maximaliseren van de informatiebeveiliging. Dat is ook een utopie. Het gaat erom dat je het gewenste niveau van informatiebeveiliging bereikt. Dit kan per markt, per sector, per organisatie, zelfs per regio verschillen. Zo kan het zomaar zijn dat de eisen voor een leverancier van een Electronisch Cliëntdossier (ECD) behoorlijk hoger liggen dan die van een lokale kapper.
Voordelen van een ISMS
De voordelen van het opzetten en beheren van een ISMS zijn legio. Voorwaarde is natuurlijk wel dat de noodzaak van informatiebeveiliging binnen een organisatie echt gevoeld wordt. Het opzetten van een ISMS alleen voor het behalen van een ISO 27001 of NEN 7510 certificaat is zeker mogelijk, maar dan pluk je niet de vruchten van een goed opzet ISMS. Deze voordelen zijn onder andere:
- Gegevensbescherming
Een ISMS beschermt alle soorten informatie binnen de organisatie, of ze nu op papier staan, digitaal worden bewaard of zich in de cloud bevinden. Ook de inhoud kan van alles zijn: van persoonlijke gegevens tot gegevens omtrent intellectueel eigendom en van financiële gegevens tot klantgegevens. Al deze informatie valt onder de paraplu van het ISMS.
- Compliancy
Compliancy heeft betrekking op het voldoen aan wet- en regelgeving. Een ISMS helpt organisaties te voldoen aan alle wettelijke nalevings- en contractuele vereisten. Het geeft de organisatie een goed inzicht in de wettelijke voorschriften voor informatiesystemen. Denk hierbij ook eens aan de hoge boetes voor overtredingen!
- Bedrijfscontinuïteit
Een investering in een ISMS betekent een investering in beveiliging. Hoewel incidenten nooit kunnen worden uitgesloten, betekent het dat je minder kwetsbaar wordt voor aanvallen en incidenten. Bovendien kun je sneller reageren, mocht zo'n incident zich toch voordoen.
- Kostenvermindering
Een ISMS leidt tot minder kosten voor een organisatie. Je hebt meer grip op kwaliteit, je weet beter waar risico's spelen, je hebt prioriteiten gesteld aan je activiteiten. Je bent beter op de hoogte van je assets, interne en externe communicatie verbetert. Bovendien ben je minder kwetsbaar voor downtime, onnodige uitgaven, incidenten etc.
- Bedrijfscultuur
Een ISMS zorgt voor een uniforme en allesomvattende aanpak op het gebied van beveiliging en asset- en informatiemanagement. En dat is zeker niet beperkt tot de IT afdeling. Medewerkers voelen zich onderdeel van de organisatie en de informatiebeveiliging, begrijpen risico's beter en passen het beleid dagelijks toe.
- Aanpassingsvermogen
Dreigingen ontwikkelen zich, nieuwe risico's verschijnen. Informatiebeveiliging verdient continu aandacht. Een ISMS helpt organisaties zich voor te bereiden op en zich aan te passen aan bedreigingen, risico's en kansen.
ISMS implementeren
Er zijn verschillende manieren om een ISMS op te zetten. Het loont dan ook zeker de moeite om je vooraf goed te laten informeren. Normity kan jou daar overigens prima in adviseren! Vanzelfsprekend biedt de ISO 27001 norm jou veel houvast. Ook de NEN 7510 is een zinvolle norm wanneer je in de zorgsector werkzaam bent. De ISO 27002 bevat een hele reeks best practices. De BIO norm is een toegepaste versie van de ISO 27001 voor overheden. De PDCA cyclus kan jou helpen om continue verbetering te implementeren.
Ga je aan de slag met het opzetten van een ISMS? Doorloop dan de volgende stappen:
- Scope en doelstellingen
Bepaal welke informatie beschermd moet worden, en leg vast waarom je deze moet beschermen. Neem daarbij de belangen van de betrokkenen mee, zoals klanten, aandeelhouders, overheden etc. Definieer duidelijke doestellingen op het gebied van informatiebeveiliging.
- Bedrijfsmiddelen
Maak een inventarisatie van de bedrijfsmiddelen. Denk hierbij aan zaken als hardware, software, diensten, databases etc. Stel daarbij vast welke informatie binnen die bedrijfsmiddelen stroomt.
- Risico's
Heb je je bedrijfsmiddelen in beeld? Leg dan vast welke risico's er spelen. Beoordeel per risico wat de kans en impact is. Ken een eigenaar toe aan alle risico's. Bepaal vervolgens hoe je om wilt gaan met de risico's. Accepteer je het risico? Of ga je ermee aan de slag?
- Maatregelen
Het is tijd om een strijdplan te maken (ook wel risicobehandelplan genoemd). Hoe ga je de niet-geaccepteerde risico's aanpakken? Probeer daarbij overigens niet alles zelf te bedenken: je bent echt niet de eerste organisatie die een procedure voor backup en restore moet verbeteren!
- Verbeteringen
Het is natuurlijk de vraag of jouw strijdplan wel zo succesvol blijkt te zijn als je vooraf had gedacht. Het is dan ook zaak om de effectiviteit regelmatig te controleren. Wellicht constateer je dat het niet zo effectief was, of je ontdekt nieuwe risico's. In dat geval stel je weer nieuwe maatregelen vast.
Gerelateerd
