Een laptop die zoekraakt. Een medewerker die op een verkeerde link klikt. Een bestand met vertrouwelijke gegevens dat bij de verkeerde ontvanger belandt. Drie verschillende situaties, maar ze roepen dezelfde vraag op: hoe zorgvuldig gaat je softwarepartner om met jouw bedrijfsinformatie, en wat gebeurt er als er toch iets misgaat? Precies daarom is ISO 27001 belangrijk: het certificaat laat zien dat een onafhankelijke partij heeft getoetst hoe je partner informatiebeveiliging organiseert.Â
Je vertrouwt je softwarepartner meer toe dan je denktÂ
In Microsoft Dynamics 365 Business Central werkt je dagelijks met verkooporders, voorraadstanden, financiële gegevens en klantinformatie. Je softwarepartner heeft, afhankelijk van de afspraken, mogelijk toegang tot die omgeving om je te ondersteunen. Dat brengt verantwoordelijkheid met zich mee. Wie heeft toegang tot welke gegevens? Hoe wordt die toegang beveiligd? En wie onderneemt actie als er iets verdachts gebeurt?
Van vanzelfsprekende afspraken naar aantoonbare beveiligingÂ
ISO 27001 is de internationale norm voor informatiebeveiliging. De norm helpt organisaties om risico’s in kaart te brengen, passende maatregelen te treffen en hun beveiliging voortdurend te verbeteren.
Voor Nick Snapper, Manager Service & Support bij SucceedIT, begint goede informatiebeveiliging bij het bewust omgaan met precies die vragen. Veel beveiligingsmaatregelen hadden we bij SucceedIT al getroffen. Maar dat betekent niet dat alles automatisch goed is vastgelegd.
“De certificering forceert je om er ook echt beleid op te maken.” – Nick Snapper
Tijdens het traject merkten we dat bepaalde afspraken voor iedereen vanzelfsprekend waren, maar niet altijd formeel waren beschreven. Bijvoorbeeld wie toegang heeft tot bepaalde informatie of hoe we omgaan met bezoekers op kantoor.
Ook extern werd kritisch meegekeken. Ian Koch van OpenSight B.V., de partij die SucceedIT tijdens het certificeringstraject ondersteunde, benadrukt het belang van die frisse blik:
“We stelden de vragen die intern nog niet aan bod waren gekomen: waarom gebeurt dit zo, wie is eigenaar, en hoe toon je aan dat het werkt?” – Ian Koch, OpenSight B.V.Â
ISO 27001 vraagt niet simpelweg om meer regels. Het vraagt dat je bewust kiest welke beveiligingsmaatregelen nodig zijn, die keuzes vastlegt en controleert of je er ook naar handelt.
Een certificeringstraject dat ons ook kritisch naar onszelf liet kijken
Van de eerste voorbereidingen tot de uiteindelijke certificering zijn we ongeveer twee jaar bezig geweest. Niet omdat we vanaf nul moesten beginnen, maar omdat het zorgvuldig vastleggen, toetsen en verbeteren van onze werkwijze tijd kost. En niet alles was meteen op orde.
Tijdens de externe audit kwamen verbeterpunten naar voren. Zo hadden we bepaalde toegangsbeperkingen al ingericht, maar konden we onvoldoende duidelijk aantonen hoe die precies werkten. Ook bleek dat ons beheer van mobiele apparaten en laptops verder moest worden ingericht.
Daar hebben we concrete stappen in gezet. Met Microsoft Intune kunnen we bijvoorbeeld een beheerde laptop op afstand wissen wanneer die kwijtraakt of wordt gestolen. Ook hebben we toegangsvoorwaarden verder aangescherpt.
Andere veranderingen zijn minder technisch. Bezoekers registreren zich bij binnenkomst en vertrek, en nieuwe collega’s volgen als onderdeel van hun onboarding een cybersecuritytraining.
Bij het doorvoeren van die verbeteringen hielp OpenSight ons om de eisen uit de norm te vertalen naar maatregelen die aansluiten op onze dagelijkse werkwijze. Zoals Ian het omschrijft:
“Geen papieren werkelijkheid, maar maatregelen die het team in de praktijk kan dragen.” – Ian Koch, OpenSight B.V.Â
Het zijn misschien geen spectaculaire maatregelen. Maar juist zulke afspraken helpen om risico’s in het dagelijkse werk te beperken.
Goede beveiliging betekent ook weten wat je moet doen als het misgaatÂ
Hoe zorgvuldig je ook werkt, je kunt beveiligingsincidenten nooit volledig uitsluiten. Er kan een kwetsbaarheid in software ontstaan, een medewerker kan een fout maken of een leverancier kan onbedoeld gegevens delen.
Daarom gaat informatiebeveiliging niet alleen over het voorkomen van incidenten, maar ook over hoe je ermee omgaat.
“Het kan altijd misgaan en je hebt het niet altijd in de hand. Maar het zijn die vervolgstappen die zo belangrijk zijn.” – Nick SnapperÂ
Binnen SucceedIT leggen we beveiligingsincidenten vast, ook wanneer de uiteindelijke impact beperkt blijkt. We beoordelen wat er is gebeurd, welke risico’s er zijn en of aanvullende maatregelen nodig zijn.
Daarnaast hebben we mogelijke incidenten en de bijbehorende acties in kaart gebracht. Met het ISMS-platform Cyberday houden we beleid, risico’s en taken op één plek bij. Zo is vooraf duidelijker welke stappen nodig zijn en wie waarvoor verantwoordelijk is. Dat is minstens zo belangrijk als de techniek zelf. Want als er iets gebeurt, wil je niet op dat moment pas moeten bedenken wat je moet doen.
ISO 27001 is geen eindpuntÂ
SucceedIT is inmiddels ISO 27001-gecertificeerd. Daarmee heeft een onafhankelijke partij beoordeeld hoe we binnen de scope van onze certificering informatiebeveiliging organiseren en beheersen.
Maar een certificaat betekent niet dat er nooit meer iets kan misgaan. Ook nieuwe ontwikkelingen, zoals AI, brengen vraagstukken met zich mee over de bescherming en het gebruik van informatie. Dat vraagt blijvende aandacht. Voor jou als klant betekent dit dat je meer hebt dan alleen de belofte dat je partner zorgvuldig met jouw informatie omgaat.
Met het certificaat weet je dat er onafhankelijk is getoetst hoe risico’s worden beheerst, verantwoordelijkheden zijn vastgelegd en verbeteringen worden opgepakt. Dat geeft je een concretere basis om je softwarepartner te beoordelen. ISO 27001 voor ons geen einddoel, maar een bevestiging van hoe we willen werken. Met duidelijke afspraken, bewuste keuzes en de bereidheid om onszelf voortdurend te verbeteren.