ISO 27000 Certificering: Een Uitgebreide Gids voor Informatiebeveiliging

Vervolgens ontwikkelt de organisatie het ISMS. Dit kan onder meer bestaan uit:

• Het vaststellen van een informatiebeveiligingsbeleid
• Het bepalen van beveiligingsdoelstellingen
• Het identificeren van informatiebeveiligingsrisico's
• Het uitvoeren van een risicobeoordeling
• Het vaststellen van maatregelen voor risicobehandeling
• Het definiëren van verantwoordelijkheden
• Het ontwikkelen van procedures
• Het trainen en bewustmaken van medewerkers
• Het monitoren van beveiligingsprocessen

Een belangrijk onderdeel is het risicobehandelingsproces. Niet ieder risico kan op dezelfde manier worden behandeld. Een organisatie kan risico's bijvoorbeeld verminderen, vermijden, overdragen of accepteren, afhankelijk van de context en het vastgestelde beleid.

Na implementatie worden interne audits uitgevoerd. Deze audits helpen om te controleren of het ISMS daadwerkelijk wordt toegepast en waar verbeteringen nodig zijn.

De resultaten worden vervolgens door het management beoordeeld. Tijdens een managementreview kunnen onder andere auditresultaten, beveiligingsincidenten, prestaties en verbeterpunten worden besproken.

Daarna kan een onafhankelijke certificatie-instelling de certificatieaudit uitvoeren. Wanneer het ISMS voldoet aan de toepasselijke eisen, kan ISO/IEC 27001-certificering worden verleend.

Certificering betekent niet dat een organisatie nooit meer een beveiligingsincident kan ervaren. Het toont aan dat de organisatie een systematische aanpak heeft geïmplementeerd voor het beheren van informatiebeveiligingsrisico's.

Voor wie is ISO 27000 certificering geschikt?

ISO 27000-gerelateerde normen kunnen relevant zijn voor organisaties van verschillende omvang en uit uiteenlopende sectoren.

Voorbeelden zijn:

• IT- en softwarebedrijven
• Cloudserviceproviders
• Datacenters
• Financiële instellingen
• Banken en verzekeringsorganisaties
• Zorgorganisaties
• E-commercebedrijven
• Telecommunicatiebedrijven
• Consultancybedrijven
• Overheidsorganisaties
• Technologiebedrijven
• Organisaties die klantgegevens verwerken
• Outsourcing- en managed service providers

Vooral organisaties die grote hoeveelheden vertrouwelijke of bedrijfskritische informatie verwerken kunnen voordeel hebben bij een gestructureerd ISMS.