Column Achmed Bouazza | Bob de Bouwer | Deel 4 van 5

Ontwerp

Net zoals bij het bouwen van een huis begint een ISO certificering met een ontwerp, ook wel de scope van het Information Security Management System (ISMS) genoemd. Met deze scope wordt bepaald welke delen van uw organisatie onder het ISMS zullen vallen en welke informatie u wil beschermen. U beschrijft dus in feite hoe het huis eruit gaat zien, waar de muren komen (afgrenzing van je scope), waar de deuren en ramen komen en hoe de leidingen komen te liggen.

Fundament

Wanneer het ontwerp klaar is, wordt het fundament van het ISMS gelegd: de risicoanalyse. De risicoanalyse vormt de basis van het ISMS. Tijdens de risicoanalyse worden potentiële bedreigingen en kwetsbaarheden die van invloed kunnen zijn op de informatiebeveiliging binnen de scope geïdentificeerd. Dit omvat zowel interne als externe risico's. Op basis hiervan kan bepaald worden welke maatregelen getroffen moeten worden om deze bedreigingen en kwetsbaarheden tegen te gaan. Anders dan bij een fundament van een huis, kan de risicoanalyse periodiek geëvalueerd en bijgesteld worden wanneer dat nodig is. Risico’s kunnen namelijk veranderen.

Metselwerk

En dan begint het metselen! Steen voor steen wordt op basis van het ontwerp (de scope) en het fundament (de risicoanalyse) uw beheersingskader rondom het ISMS opgebouwd. Dit wordt ook wel het risicobehandelplan genoemd. In dit plan wordt beschreven op welke wijze de geïdentificeerde risico’s worden beheerst, gemitigeerd of geaccepteerd. En net zoals bij het bouwen van een huis, moet er rekening gehouden worden met de besteding van het budget. Gaat u voor die mooie Romeinse zuilen aan de voorkant, of besteed u liever tijd, aandacht en geld aan het verstevigen van het hang- en sluitwerk? Afhankelijk van bij welke risico’s de hoogste prioriteit gelegd moet worden, wordt er bepaald waar de middelen naartoe gaan.

Papierwerk

Bij het bouwen van een huis komt veel papierwerk kijken. Zo moeten vergunningen worden aangevraagd en contracten worden afgesloten. Dit is cruciaal binnen het bouwproces om voor iedereen de gemaakte afspraken en werkmethoden duidelijk vastgelegd te hebben. Zo is het ook met het bouwen van het ISMS. Er zijn een aantal belangrijke zaken die vastgelegd moeten worden, waaronder het informatiebeveiligingsbeleid. Hierin worden de uitgangspunten omtrent de wijze waarop u uw informatiebeveiliging hebt ingericht binnen uw organisatie beschreven. Daarnaast zullen er beleidsstukken en procedures moeten worden opgesteld om de dagelijkse uitvoering van het ISMS te ondersteunen op verschillende vlakken, zoals toegangsbeveiliging, wijzigingsbeheer, incidentbeheer en continuïteit. En net zoals bij het papierwerk van een huis, is het raadzaam om een expert in te schakel die hierbij kan ondersteunen.

Monitoring

Wij hebben het ontwerp, het fundament, de stenen en al het papierwerk. Voordat wij de sleutels van het huis kunnen overdragen missen er nog twee belangrijke bouwelementen. U wil namelijk niet alleen comfortabel wonen, maar vooral ook veilig. Een alarmsysteem die binnen en buiten uw huis de boel monitort is cruciaal. Zo ook voor het ISMS. De risico’s en maatregelen zijn geïdentificeerd, maar het is wel zaak om deze te blijven monitoren. Zo blijven de risico’s actueel en kunt u nagaan of de maatregelen effectief zijn. Daarbij wordt niet alleen gebruikgemaakt van het interne alarmsysteem (monitoringtaken en interne audits), maar ook externe monitoring is van belang (externe audits) om ISO 27001 gecertificeerd te worden en blijven. En loop ook af en toe een rondje om het huis heen om na te gaan of alles nog stevig staat en werkt. Dit heet binnen het ISMS het uitvoeren van de directiebeoordeling en is bedoeld om na te gaan of onder andere de doelstellingen van het ISMS nog behaald worden.

Onderhoud

Of het nou een ouder huis of nieuwbouw is, onderhoud is altijd belangrijk. De kraan gaat net lekken wanneer het niet uitkomt en de dakgoten raken verstopt wanneer het buiten koud en miezerig is. Om hierop voorbereid te zijn is een gereedschapskist waarmee het huis kan worden onderhouden om het woonplezier te vergroten essentieel. Het ISMS zit net zo in elkaar. Ook hier gaan weleens dingen mis die gerepareerd moeten worden om de levensduur van uw managementsysteem te verlengen. Vaak komt dit naar voren vanuit incidenten, of een rondje rondom het huis lopen (directiebeoordeling) maar ook de monitoring vanuit (interne of externe) audits kan zulke gebreken aan het licht brengen. Los zulke problemen op doormiddel van correcties, voordat deze de kans krijgen om erger te worden.

Genieten

Wij zijn klaar met bouwen en er staat een stevig huis met een evenzo stevig ISMS. Ook hebben wij de Plan, Do, Check en Act (PDCA) cyclus die onderdeel uitmaakt van je ISMS doorlopen:

• Plan: het ontwerp;
• Do: het fundament leggen, stenen metselen en papierwerk regelen;
• Check: de alarminstallatie aanleggen en rondje om het huis; en
• Act: periodiek onderhoud uitvoeren.

Bewaar stenen die overblijven goed, deze kunnen wellicht gebruikt worden voor het bouwen van het ISAE raamwerk. In het volgende deel zal ik meer vertellen over het bouwen van een ISAE raamwerk, voor nu is het tijd om lekker in de tuin te zitten en genieten van het huis wat wij gebouwd hebben.