Hoe Paymenttools de ISO 27001-certificering behaalde en uniform compliancebeheer implementeerde.

"Het IO-platform is nu ons strategische overkoepelende systeem voor het beheer van ons gehele beveiligings- en compliance-landschap."

Jan Oetting CISO, Paymenttools

Key Takeaways

Leer hoe Paymenttools werkt:

• ISO 27001-certificering behaald in negen maanden
• Het IO-platform is gebruikt om een ​​robuust ISMS te implementeren en te zorgen voor naleving van ISO 27001.
• Dankzij de ondersteuning en expertise van SGG heb ik mijn certificering succesvol kunnen behalen.
• Blijf het IO-platform gebruiken om hun volledige beveiligings- en compliance-landschap te beheren.

Over Paymenttools

Paymenttools bestaat uit technologie- en betaalexperts met een uitgebreide achtergrond in de detailhandel. De missie van het bedrijf is om betaalsystemen te ontwerpen die het leven voor alle betrokkenen, van kassamedewerkers tot eindklanten, gemakkelijker maken en de winkelervaring op de lange termijn verbeteren.

Dankzij de commerciële achtergrond van Paymenttools begrijpt het team dat betalingstransacties geen bijzaak zijn, maar een strategisch instrument voor moderne bedrijfsmodellen. Ze hanteren een holistische aanpak en houden rekening met alles, van betalingsprocessen en loyaliteitsprogramma's tot hun visie op een onafhankelijk Europees betalingssysteem.

Ze worden gedreven door een gemeenschappelijk doel: betalingen toekomstbestendig maken met oplossingen die vandaag betrouwbaar werken en morgen echte onafhankelijkheid creëren.

De Uitdaging

Met beperkte middelen voor beveiliging en risicobeheer had het Paymenttools-team een ​​gestroomlijnde en pragmatische oplossing nodig die door een klein, gefocust team kon worden beheerd om de ISO 27001-certificering succesvol te behalen. Als cloud-native bedrijf met een sterke focus op engineering waren veel traditionele, bureaucratische beveiligingsmaatregelen niet van toepassing op de bedrijfsvoering. Het was daarom van cruciaal belang om relevante maatregelen eenvoudig te kunnen identificeren en implementeren.

"Onze uitdaging was om een ​​hoog beveiligingsniveau en naleving van de regelgeving te handhaven zonder onze engineers te vertragen."

Jan Oetting CISO, Paymenttools

Jan en het team gebruikten tools zoals Google Workspace voor het definiëren van beleid en het beheren van risico's, maar ze realiseerden zich dat dit geen efficiënte aanpak was. Ze hadden een speciaal platform nodig om hun informatiebeveiligingsbeheersysteem (ISMS) te beheren en te onderhouden, in plaats van losse tools en documentatie.

Ze hadden ook deskundige ondersteuning en begeleiding nodig om het ISO 27001-nalevings- en certificeringsproces te doorlopen. Het team zocht iemand die aansloot bij hun kernfilosofie van beveiliging als 'co-piloot': iemand die als partner optrad, niet als obstakel, en die succes mogelijk maakte en veilige wegen naar 'ja' vond.

"Dit algehele werk maakt deel uit van onze strategische verschuiving van reactieve naleving naar proactieve controle over ons defensielandschap."

Jan Oetting CISO, Paymenttools

De Oplossing

Paymenttools schakelde de expertise van SGG in voor de implementatie van een ISO 27001-conform ISMS en het uitvoeren van audits voorafgaand aan de certificering, zowel fase 1 als fase 2. Het bedrijf maakte tevens gebruik van het IO-platform, met de vooraf gebouwde ISO 27001-sjablonen en -workflows, om een ​​snelle implementatie en afstemming te garanderen.

"SGG heeft essentiële begeleiding geboden bij het begrijpen van de norm en hoe het certificeringsproces op een pragmatische, bedrijfsgerichte manier aan te pakken."

Jan Oetting CISO, Paymenttools

Dankzij het IO-platform kon Paymenttools hun ISO 27001-naleving stroomlijnen en de bijbehorende controles en processen efficiënt implementeren en beheren. Chris Gill, hoofd Cybersecurity, GRC en Auditing bij SGG, zei: "De vooraf gebouwde sjablonen en workflows die zijn afgestemd op ISO 27001 hebben het bedrijf aanzienlijk tijd bespaard en de complexiteit verminderd."

Met de ondersteuning van SGG heeft Paymenttools het intuïtieve, gebruiksvriendelijke IO-platform en de 11-stappenmethode voor gegarandeerde resultaten (ARM) van IO ingezet om strategisch aan de certificeringsvereisten te voldoen.

“De Assured Result Methods (ARM) werkten perfect zoals beloofd en gaven ons een enorme voorsprong, aangezien ongeveer 70% van de beleidsregels direct goed genoeg was om te gebruiken. Dit stelde ons in staat om ons te concentreren op onze beveiligingsstrategie: vaststellen wat je doet, risico's evalueren en vervolgens verbeteren.”

Jan Oetting CISO, Paymenttools

De vooraf gebouwde elementen van het platform vormden een basis waarop Paymenttools een op maat gemaakt en zeer specifiek ISMS kon bouwen en verder ontwikkelen. Kernonderdelen die het bedrijf gebruikte, waren onder meer het risicoregister, de inventaris van activa, de kaart met belanghebbenden, het beveiligingsbeheer en het overzicht van corrigerende maatregelen en verbeteringen.

Samenwerking was ook een essentieel onderdeel van het partnerschap. Om blijvend succes te garanderen, stemden SGG en Paymenttools de nalevingsinspanningen van het bedrijf voortdurend op elkaar af, zodat de ISO 27001-naleving naar verwachting vorderde.

“Het SGG-team organiseerde, indien nodig, workshops met medewerkers van Paymenttools om ervoor te zorgen dat de concepten van ISO 27001:2022 duidelijk en begrijpelijk waren.”

Chris Gill Hoofd Cybersecurity, GRC en Auditing, SGG

Het resultaat

Paymenttools heeft binnen negen maanden de ISO 27001-certificering behaald. Jan schat dat het bedrijf door de samenwerking met IO en SGG ongeveer 100 man-dagen heeft bespaard bij de initiële installatie in vergelijking met een handmatige aanpak, plus de tijd die is bespaard op het doorlopende onderhoud.

"De tijd die nodig is voor het beheren van verschillende regelgevingen en audits wordt aanzienlijk verminderd."

Jan Oetting CISO, Paymenttools

Voor Paymenttools waren de meest waardevolle elementen van het IO-platform de moderne beleidsdocumentatie en de inventarisatie van activa die in de ISO 27001-projectstructuur werden geboden: "Het belangrijkste element van het IO-platform waren de vooraf gedefinieerde beleidsregels, met name omdat ze geoptimaliseerd zijn voor een modern bedrijf zoals het onze."

Het Paymenttools-team profiteerde ook van de gecentraliseerde informatiebeveiligingsaanpak van het platform, die risicobeheer, activabeheer, corrigerende maatregelen en incidentrespons omvatte. Hierdoor kon het bedrijf de compliance-werkzaamheden consolideren en het gebruik van gespecialiseerde tools uitstellen tot het absoluut noodzakelijk was.

Het strategisch advies en de deskundige begeleiding van SGG waren cruciaal voor het behalen van de ISO 27001-certificering door Paymenttools. Door het beveiligingsbeheer van het bedrijf in de juiste richting te sturen, werd het succes van de certificering gewaarborgd.

“Chris van SGG gaf cruciale begeleiding bij het begrijpen van de norm en hoe het certificeringsproces op een pragmatische, bedrijfsgerichte manier aan te pakken. Hij fungeerde als een ware co-piloot. Hij besprak belangrijke punten met de externe auditors, onderbouwde onze beslissingen en bood ook aanzienlijke hulp bij risicomanagement.”

Jan Oetting CISO, Paymenttools

En Verder?

Hoewel het bedrijf met succes de ISO 27001-certificering heeft behaald, is continue verbetering een vereiste voor blijvende naleving. Daarom blijven Paymenttools en SGG zich richten op het verder ontwikkelen van het ISMS van het bedrijf en het oplossen van eventuele tekortkomingen.

"Sinds Paymenttools de ISO 27001:2022-certificering heeft behaald, heeft SGG Paymenttools geholpen bij het verder ontwikkelen van een aantal processen, waaronder leveranciersbeheer, het teruggeven van activa en informatiebeveiliging in projectmanagement."

Chris Gill Hoofd Cybersecurity, GRC en Auditing, SGG

Sinds het behalen van de ISO 27001-certificering hebben Jan en zijn team de reikwijdte van hun compliance uitgebreid met PCI DSS en de Duitse KRITIS-regelgeving, allemaal binnen het IO-platform. Paymenttools begint het IO-platform nu te gebruiken als een algemeen instrument voor beleid en risicobeheer binnen de organisatie, waardoor het gebruik ervan verder reikt dan alleen beveiliging.

"Het IO-platform is nu ons strategische overkoepelende systeem voor het beheer van ons gehele beveiligings- en compliance-landschap."

Jan Oetting CISO, Paymenttools

Het team integreert momenteel NIS 2 om afstemming met de regelgeving te garanderen, het NIST Cybersecurity Framework (CSF) om de volwassenheid te meten, en CoBit als algemeen controlekader.

"We zetten onze reis voort om onze beveiligingsaanpak te ontwikkelen van 'naleving' naar 'bevelvoering'."

Jan Oetting CISO, Paymenttools