Een ISMS brengt losse beveiligingsmaatregelen, documenten en verantwoordelijkheden bij elkaar. Daardoor wordt duidelijk waarom een maatregel nodig is, wie eigenaar is, welk bewijs de werking ondersteunt en wanneer de organisatie moet bijsturen.
Waar staat ISMS voor?
ISMS staat voor Information Security Management System, in het Nederlands managementsysteem voor informatiebeveiliging. Het woord managementsysteem is belangrijk: een ISMS bestaat niet uit één tool of handboek, maar uit afspraken, besluitvorming, uitvoering en controle.
Wat betekent ISMS in de praktijk voor een organisatie?
Het ISMS verbindt organisatiedoelen en kritieke processen aan informatiebeveiligingsrisico’s. De directie bepaalt kaders en prioriteiten. Risico-eigenaren besluiten over behandeling en restrisico. Proceseigenaren en IT voeren maatregelen uit. Rapportages, tests en audits maken zichtbaar of dat werkt.
Welke onderdelen bevat een ISMS?
- context, belanghebbenden, scope en doelstellingen
- rollen, bevoegdheden en bestuurlijke rapportage
- risicoanalyse, risicobehandeling en acceptatie van restrisico
- beleid, procedures en de Verklaring van Toepasselijkheid
- opleiding, leveranciersbeheer en incidentmanagement
- monitoring, interne audit, directiebeoordeling en verbetering
Wat is de relatie tussen een ISMS en ISO 27001?
ISO/IEC 27001 bevat eisen voor het opzetten, onderhouden en verbeteren van een ISMS. De norm schrijft niet ieder technisch detail voor. De organisatie kiest maatregelen op basis van context, risico’s en verplichtingen en onderbouwt die keuzes.
Is een ISMS alleen nodig voor ISO 27001-certificering?
Nee. Een organisatie kan een ISMS gebruiken zonder certificering. Dat kan nuttig zijn voor klantafspraken, de Cyberbeveiligingswet, interne governance of om informatiebeveiliging minder afhankelijk te maken van enkele personen. Certificering voegt onafhankelijke toetsing toe, maar is niet het enige doel.
Hoe onderhoudt u een ISMS?
Plan vaste momenten voor risico-evaluatie, managementrapportage, interne audit en directiebeoordeling. Beoordeel daarnaast wijzigingen wanneer diensten, leveranciers, technologie, wetgeving of dreigingen veranderen. Een werkbaar ISMS volgt het ritme van de organisatie en levert besluiten op; het produceert niet uitsluitend documenten.
Veelgestelde vragen
Veelgestelde vragen
Waar staat de afkorting ISMS voor?
ISMS staat voor Information Security Management System, in het Nederlands: managementsysteem voor informatiebeveiliging.
Is een ISMS hetzelfde als ISO 27001?
Nee. Een ISMS is het managementsysteem. ISO/IEC 27001 bevat eisen waaraan zo’n systeem kan worden getoetst.
Is een ISMS alleen nodig voor certificering?
Nee. Ook zonder certificeringsdoel helpt een ISMS om cyberrisico’s, verantwoordelijkheden, maatregelen en verbetering samenhangend te besturen.
Bronnen
