ISO 27001 is middel en geen doel

Door twee expliciete uitgangspunten van de nieuwe versie van de norm, die verderop beschreven staan, komen auditors hier echter niet meer mee weg. En dat levert in de praktijk problemen op. Er is immers ook nog een Raad voor de Accreditatie (RvA), die op haar beurt auditors beoordeelt en certificeert. Auditors die de uitgangspunten niet kennen, zullen ervoor zorgen dat ze voldoen aan alle regeltjes voor auditors waaraan de Raad hen maar kan afmeten. Dit dwingt auditors soms in een spagaat.
Met name als de te certificeren organisatie een kleinere MKB-dienstverlener is, speelt dit probleem. De meeste auditors hebben weinig ervaring met dergelijke bedrijven. MKB-dienstverleners stellen de klant echt centraal. Indien nodig en het is in het belang van de klant, passen ze hier de regeltjes op aan. Die flexibiliteit is doorgaans een essentieel punt in hun onderscheidend vermogen voor klanten. Zonder die flexibiliteit hebben ze geen bestaansrecht. Maar veel auditors stellen zich op het standpunt, dat regeltjes altijd nageleefd moeten worden en dat daar geen uitzonderingen op mogen zijn. Op zich hebben auditors hier gelijk in. Door echter de scope scherp af te bakenen kunnen MKB-dienstverleners enerzijds voldoen aan de eisen van hun klanten en anderzijds, binnen de scope, aan de eisen die de norm stelt. Want de spagaat van de auditors mag er nooit toe leiden, dat een organisatie die voldoet aan de ISO 27001:2013 norm, verplicht wordt tot allerlei aanvullende maatregelen.

De uitgangspunten van ISO 27001:2013

Wanneer organisaties ISO 27001 gecertificeerd willen worden, dan willen ze beoordeeld worden op de implementatie van ISO 27001:2013. Dat er regels voor auditors zijn, die in de ISO 27001 niet verplicht zijn, speelt voor de te certificeren organisatie geen rol.
Vooral de maatregelen in bijlage A leiden vaak tot veel discussie met auditors. De eerste opmerking in bijlage A is dat bijlage A verplicht is. Auditors interpreteren dit soms als dat de maatregelen van bijlage A verplicht zijn. Dit is echter een misverstand. In de norm zelf staat in par. 6.1.3 c) wat verplicht is: ‘de beheersmaatregelen die hiervoor in 6.1.3 b) zijn vastgesteld, te vergelijken met die in bijlage A, en om te verifiëren dat geen noodzakelijke beheersmaatregelen zijn weggelaten’. Wat verplicht is, is dus de verificatie. Wanneer maatregelen overbodig zijn, dan moet worden beargumenteerd waarom ze overbodig zijn. En dan komen we bij de twee uitgangspunten van de nieuwe norm. Deze argumentatie is vrijwel altijd gebaseerd op deze uitgangspunten, die in hoofdstuk 0 van de norm worden beschreven:

1. ‘Het managementsysteem voor informatiebeveiliging beschermt de vertrouwelijkheid, de integriteit en de beschikbaarheid van informatie door een risicobeheerproces toe te passen, en geeft belanghebbenden het vertrouwen dat risico’s adequaat worden beheerd.’
2. ‘Het vaststellen en implementeren van een managementsysteem voor informatiebeveiliging wordt beïnvloed door de behoeften en doelstellingen van de organisatie, de beveiligingseisen, de procedures die de organisatie toepast en de omvang en structuur van de organisatie.’

Deze twee uitgangspunten hebben een grote invloed op wat er tijdens de certificeringsaudit relevant is.

Het beheersen van risico’s

Het eerste punt zegt, dat het bij de implementatie van ISO 27001:2013 gaat om een risicobeheersproces. Als maatregelen geen risico’s afdekken die binnen de scope vallen, dan zijn ze voor de ISO 27001 audit niet relevant. Ze vallen buiten de behoefte en doelstelling van de organisatie, waarover in punt 2 wordt gesproken.
De reden waarom kleinere dienstverleners ISO 27001 gecertificeerd willen worden is dat grotere klanten of prospects dit van hun eisen. Die willen voorkomen dat hun vertrouwelijke data op straat komen te liggen. (Zie ook ‘Moet ik als dienstverlener een ISO 27001 certificaat hebben?’.) Zijn ze niet gecertificeerd, dan raken ze grote klanten kwijt of lopen ze orders mis. Dat is doorgaans het cruciale bedrijfsrisico. Daarom wordt als scope genomen ‘de dienstverlening aan klanten waarbij de dienstverlener (mede-) verantwoordelijk is voor vertrouwelijke data, die eigendom zijn van de klant’.
Dat wil niet zeggen dat de organisatie niets doet aan de beveiliging van overige data. Meestal juist heel veel als het gaat om de dienstverlening aan klanten. Alleen is dat vaak moeilijk aantoonbaar. En dat heeft ook geen prioriteit. Want als dit buiten de scope valt, is dat tijdens de audit niet relevant. En door toepassing van security by design zijn vertrouwelijke klantdata goed te scheiden van de overige data, zodat de scope strak getrokken kan worden. (Zie ook ‘Binnen drie maanden een ISO 27001 certificaat halen’.)

Aantoonbaar maken naleving ongeschreven wetten

En in het tweede punt staat beschreven, dat de organisatie uit mag gaan van bestaande procedures, die zij toepast. Zeker in kleinere, wendbare organisaties met veelal ongeschreven wetten zijn deze ‘principle-based’ en niet ‘rule-based’. Natuurlijk moet dan wel aantoonbaar gemaakt kunnen worden, dat deze ongeschreven wetten nageleefd worden. Dat is echter doorgaans niet moeilijk. Door het directe toezicht van de directie (en tevens eigenaar) is de naleving zelf niet het probleem. Het vergt alleen een geringe hoeveelheid administratie om dit aantoonbaar te maken.
Verder is risicobeheersing voor deze organisaties een continu proces. De directie van kleinere dienstverleners bestaat uit ondernemers die gewend zijn om met risico’s om te gaan en dus ook zonder veel bedenktijd beslissen over de risico’s van afwijkingen en veranderingen. Daarom zijn de procedures voor het omgaan met wijzigingen en het afhandelen van incidenten cruciaal. De interne audit is ondersteunend aan deze continue beheersing en toetst vooral ook of het omgaan met veranderingen en afwijkingen aantoonbaar correct verloopt. (Zie ook ‘Toepassing drie cycli van risicobeheersing in de praktijk’.)