ISO 27001 is geen checklist. Toch behandelen veel organisaties het wel zo.

Binnen Norvault werken we met verschillende security-, AI- en kwaliteitsnormen, waaronder ISO 27001. Bij implementaties, audits en het onderhouden van bestaande ISMS'en zien we daarbij opvallend vaak hetzelfde misverstand terug: ISO/IEC 27001:2022 wordt behandeld alsof het een grote checklist is. Er staan 93 controls in Annex A, dus ontstaat al snel het idee dat er ook 93 dingen gedaan moeten worden. Vervolgens komen er spreadsheets, maandelijkse controles, aparte overlegmomenten en beleidsdocumenten die vooral bestaan omdat "ISO dat vereist". Alleen werkt ISO 27001 niet zo.

ISO 27001 gaat over het opzetten en onderhouden van een managementsysteem voor informatiebeveiliging, waarbij risicomanagement het uitgangspunt is. De vraag is dus niet welke control uit Annex A vandaag moet worden afgevinkt, maar welke risico's een organisatie heeft en wat nodig is om die goed te beheersen. Dat verschil klinkt misschien theoretisch, maar bepaalt in de praktijk of ISO 27001 onderdeel wordt van de normale bedrijfsvoering of een administratief systeem dat ieder jaar vlak voor de audit weer afgestoft moet worden.

Proportionaliteit wordt vaak vergeten

Een bedrijf met 25 medewerkers heeft geen ISMS voor 2.500 medewerkers nodig. Toch gaat het daar bij kleinere organisaties regelmatig mis. Er wordt een template overgenomen, er ontstaan twintig verschillende policies, iemand bouwt een risicoregister met zestig risico's en voor iedere control wordt een aparte activiteit bedacht. Voor al die activiteiten moet vervolgens natuurlijk ook weer bewijs worden verzameld. Een jaar later weet niemand meer precies waarom de helft ervan bestaat en wordt het vooral bijgehouden omdat het er nu eenmaal is.

Dat is geen teken van een volwassen managementsysteem, maar vaak vooral van een systeem dat te groot is geworden voor de organisatie waarvoor het bedoeld was. Een softwarebedrijf met 25 medewerkers kan uiteraard serieuze beveiligingsrisico's hebben, maar dat betekent niet dat dezelfde governance nodig is als bij een internationale onderneming met meerdere securityteams en honderden leveranciers. Een goed ISMS hoort bij de organisatie te passen en moet vooral proportioneel zijn aan de risico's, complexiteit en omvang van die organisatie.

Zijn er vijf belangrijke leveranciers, dan kan supplier management relatief eenvoudig worden ingericht. Worden toegangsrechten al goed beheerd binnen bestaande IT-processen en zijn er geen structurele afwijkingen, dan hoeft daar geen tweede "ISO-proces" naast te bestaan. En als patchmanagement onderdeel is van de normale operatie, hoeft iemand niet iedere maand een Excel-bestand af te vinken om te bewijzen dat patchmanagement bestaat. Een belangrijk uitgangspunt is daarom dat ISO zoveel mogelijk onderdeel wordt van het normale werk, in plaats van een proces dat ernaast bestaat.

Eén vraag helpt daarbij verrassend goed: waarom?

Iedere periodieke activiteit binnen een ISMS zou eigenlijk een simpele vraag moeten kunnen beantwoorden: waarom doen we dit? Als daarmee een relevant risico wordt beheerst, een concrete klanteneis wordt ingevuld of aan wet- en regelgeving wordt voldaan, is de aanleiding duidelijk. "Omdat we dit vorig jaar ook deden" of "omdat de auditor er ooit naar vroeg" is een stuk minder overtuigend.

In bestaande managementsystemen komen we regelmatig activiteiten tegen waarvan niemand nog precies weet waarom ze bestaan. Toch worden ze ieder kwartaal of ieder jaar netjes uitgevoerd, omdat ze ooit onderdeel zijn geworden van het ISMS. Op dat moment begint compliance vooral zichzelf in stand te houden. Hetzelfde kan gebeuren na audits: een auditor stelt een vraag waarop niet direct een goed antwoord komt en als reactie wordt een nieuw formulier, register of periodieke controle toegevoegd. Dat kan een prima oplossing zijn, maar niet iedere auditvraag hoeft automatisch tot een nieuw proces te leiden. De auditor beoordeelt het managementsysteem, maar de organisatie blijft zelf verantwoordelijk voor het ontwerp ervan.

ISO 27001 hoeft niet simpel te zijn. Wel proportioneel.

Een organisatie met complexe risico's kan een complex ISMS nodig hebben. Sommige controls kosten nu eenmaal tijd en bepaalde activiteiten moeten aantoonbaar plaatsvinden. Maar meer documenten, meer controles en meer uren betekenen niet automatisch betere informatiebeveiliging. Een goed ISMS beheerst de relevante risico's zonder onnodig een tweede organisatie naast de bestaande bedrijfsvoering te bouwen.

Als ISO 27001 structureel veel tijd kost, is de eerste vraag daarom niet hoe al die activiteiten sneller uitgevoerd kunnen worden, maar waarom ze allemaal bestaan.