Implementatie van ISO 27001 – 4 belangrijke uitdagingen en hoe u deze kunt overwinnen
Als u de voordelen van ISO/IEC 27001:2013, beter bekend als ISO 27001 – van wettelijke, regelgevende en contractuele vereisten tot nieuwe zakelijke kansen – en nu we nadenken over hoe u de implementatie gaat beheren, hebben we een aantal belangrijke uitdagingen geschetst en hoe u deze kunt overwinnen.
- Resourcing van uw implementatie – trainen, werven of aanschaffen?
- Hoe gaan we om met verstoring van de bedrijfsvoering?
- Hoe zorgen we ervoor dat ISO 27001 niet slechts een afvinklijstje is?
- Hoe u de implementatie van ISO 27001 minder lastig kunt maken
1. Middelen voor uw implementatie: opleiden, werven of aanschaffen?
Met aanzienlijk voordelen van het hebben van ISO 27001 certificering, moet u uw opties op het gebied van middelen zorgvuldig overwegen.
De uitdaging voor veel bedrijven is vaak dat ze niet over de interne ervaring en expertise beschikken om de ISO 27001-implementatie te beheren. Dit zijn de opties die doorgaans worden overwogen:
- Train bestaand personeel
- Rekruteer een informatiebeveiligingsexpert
- Schakel adviseurs in
- Te gebruiken ISO 27001-documenttoolkits
- kijk software voor informatiebeveiligingsbeheer
Deze kunnen worden beschouwd als op zichzelf staande of gecombineerde opties, afhankelijk van de omvang en complexiteit van uw bedrijf.
Voor veel bedrijven is er vaak sprake van een externe driver ISO 27001 gecertificeerd waardoor prioriteit wordt gegeven aan een snelle implementatie. Dit kan van invloed zijn op de beslissing hoe informatiebeveiliging van hulpbronnen beheer aanzienlijk.
Informatiebeveiligingsbeheersysteem (ISMS)
Een ISO 27001-conform managementsysteem voor informatiebeveiliging biedt een systematische aanpak voor het bouwen van een solide basis om naleving aan te tonen of de ISO 27001-certificering te behalen, evenals andere nationale en internationale regelgeving.
Een ISMS:
- Toont uw toewijding aan informatiebeveiligingsbeheer
- Integreert informatiebeveiligingsbeheer als een discipline binnen uw business-as-usual-processen
- Moedigt samenwerking en het delen van verantwoordelijkheid aan
- Stuurt een roadmap naar implementatie, exploitatie en continue verbetering
Een op software gebaseerd ISMS biedt een levend geheel van beleid en procedures binnen uw organisatie die centraal worden opgeslagen, bij voorkeur in een cloudgebaseerd platform.
Dit is de reden waarom een ISO 27001-documenttoolkit tekortschiet. Zelfs de meest 'allesomvattende' toolkits zijn in wezen Microsoft Excel- en Word-documenten met ontoereikende versiecontrolemechanismen en geen duidelijke volgende stappen voor de implementatie van ISO 27001.
2. Hoe gaan we om met verstoring van het bedrijf?
Wanneer u begint te werken aan een ISO 27001-certificering, zal de uitdaging vaak zijn hoe je dit naast al het andere kunt laten verlopen met minimale verstoring, terwijl je de vaart erin houdt en binnen de gestelde termijnen certificeringen behaalt.
Werken als een team
ISO 27001 kun je niet alleen implementeren; je zult als een team moeten samenwerken.
Verspreid de verantwoordelijkheid en de lasten door het hele bedrijf, in plaats van een ‘informatiebeveiligingssilo’ te creëren, wat soms kan gebeuren wanneer een informatiebeveiligingsconsulent wordt ingeschakeld. Dit zal de verstoring tot een minimum beperken en het traject naar en na de implementatie van ISO 27001 is vaak efficiënter en effectief.
Niet alleen dit: bedrijven die ISO 27001 op een weloverwogen en holistische manier benaderen, blijven gecertificeerd door aan te tonen dat iedereen correct handelt in hun dagelijkse, ‘business-as-usual’ activiteiten.
Goed communiceren
Communiceer tijdens de implementatie van ISO 27001 vroeg, communiceer duidelijk en communiceer voortdurend – neem iedereen mee op reis. Als het beheer van informatiebeveiliging u in de weg staat, doet u het waarschijnlijk verkeerd.
3. Hoe zorgen we ervoor dat ISO 27001 niet slechts een afvinklijstje is?
Ondersteuning van bovenaf
Om de reis echt effectief te maken, moet een organisatie een cultuur aannemen verandering die van bovenaf moet worden aangestuurd met buy-in van al het senior management.
Stroomlijn met software
Maak gebruik van software voor informatiebeveiligingsbeheer die u begeleidt bij de implementatie van ISO 27001 – met sjablonen, raamwerken en beleid dat u op maat kunt maken.
Tussen uw onafhankelijke ISO 27001-audits wordt van u verwacht dat u uw eigen interne audits uitvoert (Artikel 9.2) en handel naar de bevindingen, dus integreer informatiebeveiligingsbeheer in bedrijfsprocessen door uw ISMS voortdurend te herzien en te optimaliseren om voortdurende volwassenheid te garanderen.
Zet in op certificering
ISO-auditors suggereren doorgaans dat ISO 27001-certificering zes maanden of langer kan duren, maar er zijn snellere en duurzamere manieren om dit te bereiken.
Onze Methode met gegarandeerde resultaten (ARM) is een manier om ervoor te zorgen dat u succes behaalt. Onze methodologie biedt een pragmatische, op risico gebaseerde aanpak die voortbouwt op het beleid dat u al voert, terwijl u toekomstige verbeteringen plant.
Hoe lang het voor u duurt, hangt af van uw doelen. Als u een krappe deadline heeft en er een contract voor een potentiële klant op zit, dan moet u zich inzetten voor een snelle implementatie om de vruchten te plukken beloningen van ISO-certificering.
ISMS.online versnelt de implementatie van ISO 27001. Met zijn bruikbare ISO 27001 beleid en controles documentatie die u snel kunt overnemen, aanpassen en aanvullen, biedt een vooruitgang tot 77% richting de standaard, vanaf het moment dat u zich aanmeldt.
4. Hoe je de implementatie van ISO 27001 minder lastig kunt maken
Hoewel de voordelen opwindend zijn, kan het voor de eerste keer aanpakken van ISO 27001 op zijn zachtst gezegd complex en intimiderend zijn.
Streef niet naar ‘perfecte beveiliging’
Hoewel ISO 27001 eisen stelt aan de manier waarop uw informatiemanagementsysteem moet worden geïmplementeerd en beheerd, hoeft het niet perfect te zijn.
Een goede manier om te beginnen is door te documenteren wat u vandaag doet – en sommige dingen zult u al doen – terwijl u verbeteringen voor de toekomst identificeert en vastlegt die uw risico’s verder tot een aanvaardbaar niveau zullen terugbrengen.
Zolang jij dat ook bent rekening houdend met het relatieve risico niveaus – hoeveel risico als u een controle niet implementeert en hoeveel risico voor het bedrijf als u de controle implementeert – bent u op de goede weg.
Vergeet niet dat u pragmatisch moet zijn en niet ‘perfect’ bij het selecteren en documenteren van uw bedieningselementen.
Het belangrijkste doel is ervoor te zorgen dat uw beveiligingsbeheer volledig in overeenstemming is met ISO 27001 en tegelijkertijd te zorgen voor pragmatische, effectieve en efficiënte controles om uw risico's tot een acceptabel niveau te beheersen.
