ISMS (Informationssicherheits-Managementsystem)

Informatiebeveiliging ontstaat niet door afzonderlijke maatregelen, maar door een systeem dat risico's herkent, regels vastlegt en regelmatig toetst. Dit systeem heet ISMS. Het bepaalt ook hoe veilig oude apparaten en gegevensdragers uw bedrijf verlaten.

Wat is een ISMS?

Een ISMS is geen softwareproduct, maar een managementsysteem. Het legt vast welke informatie beschermenswaardig is, welke risico's bestaan en wie welke maatregelen uitvoert. Doel is om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie duurzaam te waarborgen. Zoals andere managementsystemen volgt een ISMS een cyclus van plannen, uitvoeren, controleren en verbeteren. Vakmensen spreken van de PDCA-cyclus (Plan, Do, Check, Act).

Bouwstenen van een ISMS

Onderdeel	Inhoud
Beleidslijn	Toezegging van de leiding aan informatiebeveiliging, doelen en uitgangspunten
Toepassingsgebied	Welke locaties, processen en systemen het ISMS omvat
Rollen	Verantwoordelijken, bijvoorbeeld een informatiebeveiligingsfunctionaris
Risicobeoordeling	Bedreigingen en kwetsbaarheden herkennen, risico's beoordelen, Beveiliging nodig vaststellen
Maatregelen	Technische en organisatorische maatregelen die de risico's verlagen
Documentatie	Richtlijnen, procedures en bewijzen
Toetsing en verbetering	Interne audits, directiebeoordeling, corrigerende maatregelen

ISO/IEC 27001 en BSI IT-Grundschutz

De internationale norm ISO/IEC 27001 beschrijft de eisen aan een ISMS. Bedrijven kunnen zich daarnaar door een onafhankelijke instantie laten certificeren. Bijlage A bevat in de versie van 2022 een catalogus van 93 maatregelen in vier thema's: organisatorisch, persoonsgebonden, fysiek en technologisch.

In Duitsland is daarnaast de BSI IT-Grundschutz wijdverbreid. De BSI-standaard 200-1 beschrijft de eisen aan een ISMS, de BSI-standaard 200-2 de werkwijze. Het IT-Grundschutz-Kompendium levert concrete bouwstenen met eisen, bijvoorbeeld over wissen en vernietigen.

Het ISMS en uit gebruik genomen IT

Aan het einde van de levenscyclus blijkt of een ISMS echt wordt toegepast. ISO/IEC 27001 bevat in bijlage A eigen maatregelen voor opslagmedia, voor de veilige afvoer of het hergebruik van apparaten en voor het wissen van informatie. Een goed ISMS legt daarom vast:

• wie beslist of een gegevensdrager wordt gewist of vernietigd,
• hoe oude apparaten tot de ophaling worden beveiligd,
• aan welke eisen een dienstverlener moet voldoen,
• welke bewijzen per apparaat worden opgeslagen.

De maatregelen overlappen sterk met de technische en organisatorische maatregelen (TOM) van de AVG. Een ISMS beschermt echter alle informatie, niet alleen persoonsgegevens.

ISMS bij Second IT

Second IT is gecertificeerd volgens ISO/IEC 27001 en wordt minstens drie keer per jaar extern geaudit. Voor klanten met een eigen ISMS levert Second IT de bewijzen die daar nodig zijn: digitaal ondertekende wiscertificaten per apparaat, vernietigingscertificaten, auditrapporten in het klantenportaal en een sluitende registratie per serienummer. De medewerkers zijn tot gegevensgeheimhouding verplicht, op verzoek worden geheimhoudingsovereenkomsten gesloten. Meer over Gegevensgeheimhouding en vertrouwelijkheid. Welke vragen u vooraf aan een dienstverlener moet stellen, laat onze gids zien Een ITAD-aanbieder kiezen.

Veelgestelde vragen over het ISMS

Wat is het verschil tussen een ISMS en ISO 27001?

Het ISMS is het managementsysteem zelf. ISO/IEC 27001 is de norm die beschrijft aan welke eisen een ISMS moet voldoen. Een bedrijf kan een ISMS ook opzetten volgens BSI IT-Grundschutz.

Is een ISMS verplicht?

Niet voor elk bedrijf. Voor bepaalde sectoren en instellingen eisen wetten een risicomanagement voor informatiebeveiliging, en veel klanten eisen het contractueel. Een ISMS is daarvoor de gebruikelijke weg.

Wat heeft een ISMS te maken met de afvoer van hardware?

Een ISMS regelt de volledige levenscyclus van informatie. Daartoe hoort dat apparaten en gegevensdragers aan het einde veilig worden gewist of vernietigd en dat dit wordt gedocumenteerd. ISO/IEC 27001 bevat daarvoor eigen maatregelen.

Wie is in het bedrijf verantwoordelijk voor het ISMS?

De bedrijfsleiding legt beleidslijn, doelen en uitgangspunten vast en zegt zich toe aan informatiebeveiliging. De taken in het dagelijks werk nemen aangewezen verantwoordelijken over, bijvoorbeeld een informatiebeveiligingsfunctionaris. De rollen worden in het ISMS schriftelijk vastgelegd.

Wat is het verschil tussen een ISMS en gegevensbescherming?

Een ISMS beschermt alle informatie van een bedrijf, de AVG alleen persoonsgegevens. De maatregelen overlappen echter sterk met de technische en organisatorische maatregelen (TOM) van de AVG. Beide eisen bijvoorbeeld veilige gegevensverwijdering en bewijzen.