De implementatie van ISO 27001 is een belangrijk proces voor elke organisatie die haar informatiebeveiliging wil verbeteren. Het is een proces dat tijd, moeite en commitment vergt van alle betrokkenen. Bij de certificering van ISO 27001 kunnen talloze problemen ontstaan. Wat zijn de grootste valkuilen en hoe ontloop je ze?

Inhoud

1. Certificering ISO 27001 is een noodzaak
2. Valkuil 1: De organisatie schuift alles op het bord van de IT-manager
3. Valkuil 2: De organisatie onderschat de consequenties voor de bedrijfsprocessen
4. Valkuil 3: De organisatie geeft weinig prioriteit aan certificering

Certificering ISO 27001 is een noodzaak

ISO 27001 is de internationale norm voor informatiebeveiliging. Certificering is tegenwoordig een noodzaak. Zo voorkom je met ISO 27001-beleid datalekken en cyberaanvallen. Daarnaast ben je optimaal voorbereid op aanbestedingstrajecten en is je organisatie toekomstproof. Wil je als ambitieuze organisatie ISO 27001 succesvol implementeren? Vermijd dan deze 3 valkuilen.

Valkuil 1: de organisatie schuift alles op het bord van de IT-manager

Certificering van ISO 27001 is een complex proces dat veel tijd en energie kost. Organisaties onderschatten dat vaak.

In het slechtste geval schuift het management alle verantwoordelijkheden op het bord van de IT-manager. Die mag het allemaal regelen. Dat is niet terecht, want implementatie van ISO 27001 gaat veel verder dan alleen IT.

Waarom het niet terecht is dat de IT-manager alles moet doen:

De IT-manager is verantwoordelijk voor de technische aspecten van informatiebeveiliging. Hij of zij is verantwoordelijk voor het technisch beschermen van informatie.

Informatiebeveiliging gaat veel verder dan techniek. Het is ook een organisatorische kwestie. Hoogwaardige informatiebeveiliging gaat om het creëren van een cultuur waarin iedereen zich bewust is van de risico's. Van HR tot de receptie, en van callcentermedewerkers tot de CEO.

Implementatie van ISO 27001 is een team effort. Je wilt alle belanghebbenden binnen de organisatie betrekken bij het proces en de uiteindelijke audit. Anders is het gedoemd te mislukken.

Oplossing valkuil 1

Zo maak je van informatiebeveiliging een team effort:

• Creëer een projectteam met vertegenwoordigers van alle relevante afdelingen. Maak ze verantwoordelijk voor de planning, uitvoering en monitoring van de implementatie van ISO 27001. De IT-manager is lid van het team en niet de enige verantwoordelijke.
• Train alle medewerkers in informatiebeveiliging. Iedereen moet zich bewust zijn van de risico's en weten hoe ze die kunnen beperken.
• Schakel een externe consultant in. Met zijn kennis doorloop je het implementatieproces sneller en succesvoller.

Lees ook: Checklist ISO 27001: maak je bedrijf toekomstproof 

Valkuil 2. De organisatie onderschat de consequenties voor de bedrijfsprocessen

ISO 27001 is een ingrijpende norm. Het heeft een impact op alle aspecten van een organisatie, van de IT-infrastructuur tot de bedrijfsprocessen. Certificering is kortom veel ingrijpender dan ‘een stempel halen en weer door’.

Als een organisatie de organisatieverandering die aan ISO 27001 vastzit onderschat, kan dit grote consequenties hebben, zoals:

• De implementatie van ISO 27001 mislukt.
• De organisatie behaalt zijn certificering niet.
• Informatie is onvoldoende beveiligd.
• De organisatie kan reputatieschade oplopen.
• De organisatie kan niet meedoen aan aanbestedingstrajecten.

Dit kost vroeg of laat klanten en brengt de continuïteit van de organisatie in gevaar.

Implementatie ISO 27001 vereist ingrijpende veranderingen

De implementatie van ISO 27001 vereist dat een organisatie een aantal veranderingen doorvoert. Denk daarbij aan:

• Het identificeren en beoordelen van informatierisico's.
• Het implementeren van maatregelen om deze risico's te beperken.
• Het opzetten van een proces voor het beheer van beveiligingsincidenten etc.

Deze veranderingen hebben impact op de hele organisatie.

Organisaties moeten ervoor zorgen dat hun IT-infrastructuur voldoet aan de eisen van de ISO 27001 norm. Ze moeten bijvoorbeeld nieuwe beveiligingsmaatregelen implementeren of hun IT-infrastructuur herstructureren.

Binnen de organisaties moet een cultuur van informatiebeveiliging ontstaan. Dit betekent dat iedereen binnen de organisatie zich bewust moet zijn van de risico's en zich aan de maatregelen moet houden.

Dit alles kost tijd, geld en inzet van alle betrokkenen.

Oplossing valkuil 2

Dit kun je als IT-manager doen om onderschatting te voorkomen:

• Betrek alle stakeholders bij het proces. Praat niet alleen met de IT-afdeling, maar ook met het management en andere belanghebbenden.
• Maak een realistische risicobeoordeling. Neem de tijd om alle mogelijke risico's voor de bedrijfsprocessen te identificeren en te beoordelen.
• Communicatie is cruciaal. Doordring alle betrokkenen van de risico's en de consequenties voor de bedrijfsprocessen.
• Maak een plan voor het beheer van incidenten.
• Test de beveiligingsmaatregelen om te controleren of ze effectief zijn.

Valkuil 3. De organisatie organisatie geeft weinig prioriteit aan certificering

De meeste organisaties onderkennen de noodzaak van informatiebeveiliging. ISO 27001 is de internationale norm en met certificering toon je aan dat je je informatiebeveiliging serieus neemt. Toch is niet elke organisatie doordrongen van de noodzaak van certificering

Niet voldoen aan strenge beveiligingseisen kan leiden tot diverse gevolgen, zoals:

• Verlies van vertrouwen. Klanten, partners en leveranciers kunnen minder vertrouwen hebben in een organisatie die niet gecertificeerd is. Dit leidt mogelijk tot verlies van klanten en omzet.
   
• Verhoogde risico's. Een organisatie die niet gecertificeerd is, loopt een groter risico op incidenten. Daardoor liggen financiële verliezen, reputatieschade en zelfs juridische procedures op de loer.
   
• Toenemende regelgeving. De overheid vereist steeds vaker dat organisaties gecertificeerd zijn op het gebied van informatiebeveiliging. Ben je dat niet, dan kun je bijvoorbeeld niet meedoen aan een aanbestedingstraject.

Certificering is niet verplicht. Het is wel een belangrijke manier om te laten zien dat je je informatiebeveiliging serieus neemt. Bovendien voorkom je dat opdrachtgevers om aanvullende informatie vragen. Wat kan leiden tot onenigheden, vertraging en onduidelijkheid.

ISO 27001-certificering is ‘licence to operate’

Steeds meer opdrachtgevers eisen dat hun leveranciers en klanten ISO 27001 gecertificeerd zijn. Het is echt een ‘license to operate’.

Een overheidsinstantie kan eisen dat haar leveranciers ISO 27001 gecertificeerd zijn. Zo garandeert de overheid veilige verwerking van zijn informatie.

Een financiële instelling kan eisen dat een bedrijf een ISO 27001 certificaat heeft voor zijn financiële systemen. Dit zorgt ervoor dat de uitwisseling van klantgegevens veilig verloopt.

Een IT-dienstverlener kan ISO 27001 certificering eisen voor een samenwerking. Zo garandeert de IT-dienstverlener dat data van gebruikers veilig is.

Oplossing valkuil 3

Dit kun je als IT-manager doen om certificering hoog op de agenda te krijgen:

• Maak het management bewust van de risico's van niet certificeren.
• Bied training en bewustwording aan voor alle medewerkers.
• Maak een risicoanalyse om de specifieke risico's van jouw organisatie te identificeren.

ISO 27001: kosten en tijdsbestek

De totale kosten van ISO 27001 certificering zijn afhankelijk van de organisatie en de complexiteit van de verwerkte informatie. In het algemeen duurt de certificering tussen de zes en twaalf maanden.

ISO 27001-certificering is een team effort

De implementatie van ISO 27001 is een ingrijpend proces dat veel tijd en energie kost. Wees je als IT-manager - en organisaties - bewust van deze belangrijke aandachtspunten. Implementatie is een team effort. De IT-manager is verantwoordelijk voor de technische aspecten, maar de implementatie gaat veel verder dan alleen IT.

ISO 27001 is een ingrijpende norm. Het heeft een impact op alle aspecten van een organisatie, van de IT-infrastructuur tot de bedrijfsprocessen. Certificering is niet verplicht, maar wel belangrijk. Steeds meer opdrachtgevers eisen dat leveranciers en klanten ISO 27001 gecertificeerd zijn. Certificering is een belangrijke manier om te laten zien dat je je informatiebeveiliging serieus neemt.

Vermijd de valkuilen bij de implementatie van ISO 27001 en maak je organisatie klaar voor de toekomst.