ISO 27001 – 9: Prestatie-evaluatie

ISO 27001 Sectie 9.1 – Monitoring, meting, analyse en evaluatie

De ISO 27001 vereist dat organisaties evalueren hoe de ISMS presteert en hoe effectief is het managementsysteem voor informatiebeveiliging.

Hiervoor moet u:

1. beslissen wat moet worden gemonitord;
2. maak afspraken over de methoden die u gaat gebruiken voor monitoring en analyse;
3. wanneer u gaat monitoren en meten;
4. beslissen wie de meting gaat uitvoeren;
5. beslissen wanneer u de resultaten van de meting gaat analyseren; En
6. wie verantwoordelijk is voor de evaluatie van de resultaten.

ISO 27001 Sectie 9.3 – Managementbeoordeling

Het is de verantwoordelijkheid van het senior management om de uitvoering ervan uit te voeren managementbeoordeling voor ISO 27001. Deze beoordelingen moeten vooraf worden gepland en vaak genoeg zijn om de informatiebeveiliging te garanderen managementsysteem effectief blijft en de doelstellingen van het bedrijf bereikt.

Managementbeoordelingen moeten het volgende omvatten:

• Details van eerdere managementbeoordelingen met bijgewerkte acties
• Eventuele wijzigingen aan de interne en externe kwesties die zich bezighouden informatiebeveiliging
• Feedback op eventuele corrigerende maatregelen, audit- en meetresultaten
• Geïnteresseerde partijen
• Risicobeoordeling 
• Voortdurende verbeteringen kansen voor de ISMS