ISO/IEC 27001

ISO/IEC 27001 is de bekendste norm voor informatiebeveiliging. Veel klanten eisen haar van hun dienstverleners – ook van degenen die uit gebruik genomen hardware ophalen, wissen en vernietigen. Hier leest u wat de norm regelt, hoe een certificering verloopt en welke eisen het uit gebruik nemen van IT raken.

Wat regelt ISO/IEC 27001?

De norm is afkomstig van ISO en IEC en ligt momenteel voor in de versie ISO/IEC 27001:2022. Ze beschrijft hoe een bedrijf een ISMS opzet, exploiteert en voortdurend verbetert. Het hoofdgedeelte bevat eisen aan context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Daarbij komt bijlage A met een catalogus van 93 maatregelen (controls) in vier thema's: organisatorisch, persoonsgebonden, fysiek en technologisch.

De norm schrijft geen bepaalde techniek voor. Het bedrijf beslist op basis van een risicobeoordeling welke maatregelen het toepast en motiveert dat in de toepasselijkheidsverklaring. De zusternorm ISO/IEC 27002 geeft aanwijzingen voor de uitvoering van de afzonderlijke maatregelen.

ISO 27001 en het uit gebruik nemen van IT

Meerdere maatregelen uit bijlage A raken rechtstreeks het einde van de levensduur van hardware:

Maatregel (bijlage A, 2022)	Inhoud	Praktijk bij het uit gebruik nemen
5.9 Inventaris	Inventaris van informatie en bijbehorende activa	Apparatenlijst met serienummers
5.11 Teruggave van activa	Teruggave bij vertrek of einde van de overeenkomst	Terugname van notebooks en telefoons bij offboarding
7.10 Opslagmedia	Omgang met opslagmedia gedurende de hele levenscyclus	Veilige inzameling, transport en opslag
7.14 Veilige afvoer of hergebruik van apparatuur	Apparaten vóór afvoer of hergebruik controleren, gegevens verwijderen	Wissen of vernietiging vóór wederverkoop of recycling
8.10 Verwijdering van informatie	Informatie verwijderen wanneer ze niet meer nodig is	Gedocumenteerde wismethoden en bewijzen
5.19 tot 5.22 Leveranciers	Beveiliging in leveranciersrelaties	Eisen aan dienstverleners contractueel vastleggen en bewaken

Welke vragen u een dienstverlener voor het uit gebruik nemen moet stellen, laat de gids zien Een ITAD-aanbieder kiezen.

Zo verloopt een ISO 27001-certificering

Certificeren mag een certificeringsinstelling die daarvoor is geaccrediteerd, in Duitsland door de DAkkS (zie Accreditatie). De eerste audit verloopt in twee fasen: toetsing van de documentatie, daarna toetsing van de uitvoering. Het certificaat is drie jaar geldig. In de tussenliggende jaren vinden toezichtaudits plaats, daarna een hercertificering. Of een certificaat geldig is en welk gebied het dekt, staat in het certificaat zelf: let op het toepassingsgebied en de vervaldatum.

Afbakening ten opzichte van verwante begrippen

De BSI IT-Grundschutz is een Duits procesmodel met gedetailleerde bouwstenen. Een certificering "ISO 27001 op basis van IT-Grundschutz" wordt door de BSI zelf afgegeven. TISAX is een toetsings- en uitwisselingsprocedure van de auto-industrie die op ISO/IEC 27001 voortbouwt. NIS2 is een wet, geen norm: een certificering kan helpen om de wettelijke verplichtingen aan te tonen, maar vervangt ze niet.

ISO/IEC 27001 bij Second IT

Second IT is gecertificeerd volgens ISO/IEC 27001 en daarnaast volgens ISO 9001, ISO 14001 en ISO 45001. Daar komen toegangscontrole en camerabewaking, de verplichting van medewerkers tot gegevensgeheimhouding, NDA's en procedures voor VS-NfD bij. Meer over Gegevensgeheimhouding en vertrouwelijkheid bij Second IT.

Veelgestelde vragen over ISO/IEC 27001

Wat is het verschil tussen ISO 27001 en ISO 27002?

ISO/IEC 27001 bevat de certificeerbare eisen aan een ISMS. ISO/IEC 27002 is een leidraad die de maatregelen uit bijlage A nader toelicht. Gecertificeerd wordt alleen volgens ISO/IEC 27001.

Hoe lang is een ISO 27001-certificaat geldig?

In de regel drie jaar. Voorwaarde zijn succesvolle toezichtaudits in de tussenliggende jaren. Daarna volgt een hercertificering.

Eist ISO 27001 een bepaalde wismethode?

Nee. De norm eist dat informatie wordt verwijderd wanneer ze niet meer nodig is en dat apparaten vóór afvoer of hergebruik worden gecontroleerd. Welke methode passend is, volgt uit de risicobeoordeling. Voor de uitvoering verwijzen veel bedrijven naar standaarden zoals NIST SP 800-88 of naar DIN 66399 voor de vernietiging.

Is ISO 27001 verplicht voor bedrijven?

Nee, de certificering is vrijwillig. Veel klanten eisen haar echter van hun dienstverleners. NIS2 is een wet en geen norm. Een certificering kan helpen om wettelijke verplichtingen aan te tonen, maar vervangt ze niet.

Wat is de toepasselijkheidsverklaring bij ISO 27001?

Daarin legt een bedrijf vast welke maatregelen uit bijlage A het toepast en waarom. Basis is de risicobeoordeling. De norm schrijft geen bepaalde techniek voor, het bedrijf beslist en motiveert zijn keuze.