Wat is een ISMS en waar begin je?

Information Security Management System — het klinkt groter dan het is. Voor een MKB is het een set documenten en routines, geen platform dat je ergens op installeert.

ISMS = Information Security Management System. In essentie: je manier van werken aan informatiebeveiliging, beschreven en onderhouden. Het is geen software. Het is hoe je denkt en doet.

De vijf bouwstenen

1. Scope. Wat valt er onder je ISMS? Hele bedrijf, specifieke business-unit, alleen bepaalde data? Dit staat vast vóór je iets anders doet.
2. Policy-laag. 8-12 documenten (security policy, access control, incident response, acceptable use, …). Totaal ~40-80 pagina's.
3. Risk management. Risk register met risico's, eigenaar, maatregel, restrisico. Zie risicomanagement.
4. Controls. De Annex A-subset die je implementeert. Statement of Applicability (SoA) is het overzicht.
5. PDCA-cyclus. Plan, Do, Check, Act. Klinkt dramatisch, is: reviews, audits, management-review, lessons learned.

Waar begin je?

1. Scope vastleggen (1 dag).
2. Gap-analyse tegen Annex A (1-3 dagen).
3. Risk register, eerste versie (2 dagen).
4. Access control policy + A.9 (1 week werkend naar evidence).
5. Rest van de policies (2-4 weken, parallel met evidence verzamelen).

De valkuil: perfectie

Je ISMS hoeft niet perfect te zijn. Hij moet werken en bewijsbaar zijn. Versie 1 van je policies mag 80% zijn. Verbetering is onderdeel van de PDCA-cyclus — het hoort erbij dat je ze elk jaar aanpast.

Zie ook: ISO 27001-pillar, PDCA-cyclus uitgelegd.