Waarom zoveel vragenlijsten op ISO 27001 lijken
ISO 27001 is de meest gebruikte norm voor informatiebeveiliging, en Annex A ervan is een lijst beheersmaatregelen, gegroepeerd in thema's. Wanneer het beveiligingsteam van een klant een vragenlijst schrijft, is Annex A de checklist waarmee het begint, ook als de vragenlijst ISO nooit noemt. De vragen komen dus in een herkenbare volgorde: beleid en organisatie, mensen, fysiek, technologie.
De thema's, en wat elk thema vraagt
Organisatorische beheersmaatregelen. Hebt u een informatiebeveiligingsbeleid, wie is eigenaar van beveiliging, hoe zijn rollen gedefinieerd, hoe beheert u leveranciers, hoe classificeert u informatie, hoe gaat u om met incidenten, hoe plant u continuïteit, wat zijn uw wettelijke en contractuele verplichtingen. Dit is de grootste groep en de groep waarin geschreven beleid het zwaarst weegt.
Mensgerichte beheersmaatregelen. Screening vóór indiensttreding, arbeidsvoorwaarden, training in beveiligingsbewustzijn, disciplinaire procedure, wat er gebeurt als iemand vertrekt, geheimhoudingsovereenkomsten, regels voor thuiswerken.
Fysieke beheersmaatregelen. Beveiligde zones, toegangscontrole, bescherming tegen omgevingsdreigingen, beveiliging van apparatuur, clear desk en clear screen, veilige verwijdering. Voor een cloudbedrijf wordt het meeste hiervan beantwoord door de certificering van de hostingprovider, plus wat u doet aan laptops en kantoren.
Technologische beheersmaatregelen. Eindapparaten, bevoorrechte toegang, toegangsbeperking, authenticatie, capaciteitsbeheer, bescherming tegen malware, kwetsbaarhedenbeheer, logging en monitoring, back-up, redundantie, netwerkbeveiliging, cryptografie, veilige ontwikkeling, wijzigingsbeheer, testdata, codereview.
Antwoorden met een certificaat
Bent u gecertificeerd, dan beantwoorden het certificaat, de scope ervan en de verklaring van toepasselijkheid een groot deel van elke ISO-achtige vragenlijst. Voeg het certificaat bij, citeer de scope exact (beoordelaars controleren of de dienst die ze afnemen erbinnen valt) en beantwoord elk thema vanuit de verklaring van toepasselijkheid: welke maatregelen van toepassing zijn, hoe ze zijn geïmplementeerd en wie er eigenaar van is. Reken op vragen over de laatste surveillance-audit en eventuele afwijkingen.
Antwoorden zonder certificaat
U kunt nog steeds elke rij beantwoorden. Zeg per beheersmaatregel of u die hebt, hoe die is geïmplementeerd, wie er eigenaar van is en waar het bewijs staat; en zeg bij de maatregelen die u niet hebt dat dat zo is, en wat u in plaats daarvan doet of wanneer ze gepland staan. Een leverancier met duidelijke, eerlijke antwoorden en een plan komt vaak door de beoordeling van een klant; een leverancier met een certificaat en vage antwoorden soms niet.
Bewaar de mapping, niet de vragenlijsten
Dezelfde beheersmaatregel uit Annex A wordt vanaf nu in elke vragenlijst bevraagd, in andere woorden. Bewaar één goedgekeurd antwoord per maatregel, met het bewijs en de datum, en stel elke vragenlijst daaruit op. In Responsemate staat dat antwoord één keer in de kennisbank, met het bestand en de vervaldatum, en elke vragenlijst wordt eruit opgesteld met de bron zichtbaar op elke rij. Kennis in Responsemate.
Veelgestelde vragen
Hebben wij ISO 27001-certificering nodig om een ISO 27001-vragenlijst te beantwoorden?
Nee. De vragenlijst vraagt of u de beheersmaatregelen hebt, niet of een auditor ze heeft gecontroleerd. Met een certificaat kunt u veel rijen beantwoorden met “gecertificeerd, zie het certificaat en de verklaring van toepasselijkheid”; zonder certificaat beantwoordt u elke rij op zijn eigen merites.
Wat is de verklaring van toepasselijkheid?
Het document in een ISO 27001-systeem dat elke beheersmaatregel uit Annex A opsomt en zegt of die op u van toepassing is en hoe die is geïmplementeerd. Beoordelaars die ISO kennen, vragen ernaar omdat het in één document het grootste deel van hun vragenlijst beantwoordt.