Beveiligingsnormen: ISO 27001, SOC 2

ISO/IEC 27001 is de internationale norm voor het werken met een managementsysteem voor informatiebeveiliging: een herhaalbare manier waarop een organisatie bepaalt welke beveiligingsrisico’s ertoe doen, die aanpakt en blijft verbeteren. Ze schrijft geen vaste set tools voor. Ze eist wel dat u uw context en verplichtingen begrijpt, het management betrekt en verantwoordelijkheden toewijst, risico’s beoordeelt, maatregelen kiest om ze te behandelen, die uitvoert, meet hoe ze werken, interne audits en directiebeoordelingen houdt en tekortkomingen herstelt. De bijlage noemt referentiemaatregelen, van beleid en leveranciersbeheer tot logging, monitoring en netwerkbeveiliging, en u legt uit welke u toepast. Een organisatie kan zich laten auditen door een geaccrediteerde certificatie-instelling die een certificaat afgeeft, en daar vragen klanten meestal naar. Certificering geldt voor een afgebakend toepassingsgebied; controleer dus altijd welke locaties, diensten en teams het certificaat echt omvat. Voor een middelgroot bedrijf is het een serieus project, vooral over mensen en processen en minder over techniek.

Het is het geheel van beleid, rollen, processen en vastleggingen waarmee een organisatie informatiebeveiliging bewust stuurt in plaats van bij toeval. Een managementsysteem voor informatiebeveiliging (ISMS) beantwoordt doorlopend een paar vragen: welke informatie en systemen zijn belangrijk, welke risico’s bedreigen ze, welke maatregelen nemen we, wie is verantwoordelijk, hoe weten we dat de maatregelen werken, en hoe verbeteren we als dat niet zo is? Concreet bestaat het uit documenten zoals een beveiligingsbeleid, een risicobeoordeling en een risicobehandelplan, een verklaring welke maatregelen van toepassing zijn, procedures voor incidenten en leveranciers, en uit bewijs dat ze worden nageleefd: trainingsregistraties, toegangsreviews, auditresultaten en notulen van directiebeoordelingen. Het heet een systeem omdat het in een cyclus van plannen, doen, controleren en bijsturen draait. ISO/IEC 27001 bepaalt de eisen, maar ook bedrijven die nooit certificering zoeken, hebben baat bij de structuur, en de NIS2-plichten voor risicobeheer passen er vanzelf in. Een monitoringtool is één maatregel binnen het systeem en een bron van bewijs, niet het systeem zelf.

Het is het document dat elke referentiemaatregel uit de bijlage van de norm opsomt en per maatregel zegt of u hem toepast, waarom, en hoe hij is ingevoerd. De verklaring van toepasselijkheid (VvT, Engels SoA) verbindt uw risicobeoordeling met uw maatregelen: een maatregel is opgenomen omdat hij een vastgesteld risico behandelt of een wettelijke of contractuele plicht invult, en alleen met een opgegeven reden uitgesloten, bijvoorbeeld omdat u geen eigen bedrijfsruimte hebt. Auditors gebruiken haar als kaart van uw ISMS en toetsen de maatregelen die erin staan; klanten vragen er soms om om te begrijpen wat uw certificaat echt dekt. Houd haar kort en feitelijk, noem het bewijs voor elke ingevoerde maatregel en werk haar bij als uw risico’s of opzet veranderen. Een goede vermelding over monitoring noemt de tool, de gedekte systemen, wie de uitkomsten beoordeelt en waar de vastleggingen staan. Is NetSenX deel van uw monitoring, dan kunnen de netwerkkaart, de meldingshistorie en het auditlog als bewijs worden genoemd; de verklaring zelf is uw document.

SOC 2 is een assurancerapport, gedefinieerd door het AICPA, de Amerikaanse beroepsorganisatie van accountants, waarin een onafhankelijke auditor de beheersmaatregelen van een dienstverlener toetst aan de Trust Services Criteria. Beveiliging valt er altijd onder; beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy kunnen worden toegevoegd. Het rapport beschrijft het systeem, de beheersmaatregelen die het bedrijf claimt, de tests van de auditor en gevonden afwijkingen, en wordt meestal onder een geheimhoudingsovereenkomst met klanten gedeeld. Klanten, vooral in Noord-Amerika, vragen erom omdat ze dan kunnen steunen op een onafhankelijke beoordeling in plaats van elke leverancier zelf te auditen. Het is geen certificering en er is geen voldoende-grens: u leest het oordeel van de auditor, de reikwijdte en de afwijkingen. Stuurt een leverancier u er een, controleer dan de periode, welke diensten en locaties binnen de reikwijdte vallen, welke criteria zijn meegenomen en welke aanvullende maatregelen u zelf moet uitvoeren. NetSenX heeft vandaag geen SOC 2-rapport; SOC 2 Type I is in voorbereiding.

Een type 1-rapport kijkt of beheersmaatregelen op één moment passend zijn ontworpen en aanwezig zijn; een type 2-rapport toetst daarnaast of ze over een periode, meestal enkele maanden, effectief hebben gewerkt. Type 1 beantwoordt ‘hebt u op deze datum de juiste maatregelen?’, type 2 ‘hebben ze echt de hele tijd gewerkt?’, en daarom geven klanten die op een leverancier steunen meestal de voorkeur aan type 2. Een type 2 vraagt bewijs over de hele periode: toegangsreviews op tijd uitgevoerd, wijzigingen vóór livegang goedgekeurd, incidenten volgens de procedure afgehandeld, monitoringmeldingen beoordeeld. Bedrijven beginnen vaak met type 1 om het ontwerp op orde te brengen, voeren daarna de maatregelen uit en verzamelen bewijs voor type 2. Controleer bij beide de data, de reikwijdte, de gedekte criteria en elke afwijking die de auditor noemt, en vraag hoe die is opgelost. NetSenX zegt zijn eigen stand duidelijk: SOC 2 Type I is in voorbereiding, er is nog geen SOC 2-rapport van welk type ook uitgebracht, en Type II zou volgen zodra maatregelen een periode hebben gewerkt.

Dat hangt vooral af van wie uw klanten zijn en wat ze vragen. ISO/IEC 27001 is een internationale certificering van uw managementsysteem, breed erkend in Europa en bij overheidsaanbestedingen; SOC 2 is een assurancerapport op basis van Amerikaanse auditstandaarden, gebruikelijk bij softwareverkoop in Noord-Amerika. Veel Europese middelgrote bedrijven krijgen eerst de vraag naar ISO 27001, terwijl bedrijven die software in de Verenigde Staten verkopen SOC 2-vragenlijsten tegenkomen. Beide kijken grotendeels naar dezelfde maatregelen, dus het onderliggende werk overlapt sterk: risicobeoordeling, toegangsbeheer, wijzigingsbeheer, leveranciersbeheer, incidentrespons, logging en monitoring. Hebt u op termijn beide nodig, bouw dan één set maatregelen en koppel die aan elk kader in plaats van twee programma’s te draaien. Vraag vóór de start uw grootste klanten en prospects wat ze accepteren, ga na of een ingevulde beveiligingsvragenlijst voorlopig volstaat en baken de reikwijdte zo af dat u het project afrondt. Geen van beide vervangt NIS2-plichten. NetSenX heeft vandaag geen van beide: SOC 2 Type I en ISO/IEC 42001 zijn in voorbereiding.

ISO/IEC 42001 is de internationale norm voor een managementsysteem voor AI: het beleid, de rollen, risicobeoordelingen en maatregelen waarmee een organisatie AI verantwoord ontwikkelt, levert of gebruikt. Ze volgt dezelfde managementsysteemstructuur als ISO/IEC 27001, zodat bedrijven met een ISMS de cyclus van context, leiderschap, planning, uitvoering, evaluatie en verbetering herkennen. Specifiek voor AI is de inhoud: de impact van AI-systemen op mensen en samenleving beoordelen, data voor training en tests beheren, systemen over hun levenscyclus documenteren, menselijk toezicht vastleggen en AI-onderdelen van derden afhandelen. Een geaccrediteerde instelling kan haar certificeren. Ze is niet de AI-verordening van de EU, en een certificaat alleen toont niet aan dat u aan de eisen van de verordening voldoet, maar veel van het governancewerk dat ze vraagt, ondersteunt die eisen wel. Voor een bedrijf dat alleen AI-tools gebruikt, kan een volledig managementsysteem te veel zijn; een overzicht, een gebruiksbeleid en training van medewerkers zijn een verstandig begin. NetSenX bereidt zich voor op ISO/IEC 42001; de certificering is niet toegekend.

IEC 62443 is een reeks internationale normen voor de beveiliging van industriële automatiserings- en besturingssystemen, de operationele technologie (OT) die machines, installaties en gebouwsystemen aanstuurt. De reeks verdeelt verantwoordelijkheden tussen eigenaren die de systemen bedrijven, integrators die ze in een locatie inbouwen en productleveranciers die de componenten maken, en stelt elk eigen eisen. Kernideeën zijn het verdelen van het installatienetwerk in zones met gecontroleerde verbindingen daartussen, conduits genoemd; het vastleggen van beoogde beveiligingsniveaus per zone op basis van de dreiging; en beveiliging gedurende de hele levenscyclus, van ontwerp tot buitengebruikstelling. U hebt haar nodig als klanten, verzekeraars of toezichthouders in uw sector erom vragen, of als u industriële componenten bouwt of levert; veel exploitanten gebruiken haar ook zonder certificering als structuur voor hun eigen OT-beveiliging. Netwerkmonitoring past bij de nadruk op weten wat tussen zones met wat communiceert. Vanaf het Pro-abonnement leest NetSenX Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm passief mee en ondervraagt het OT-apparaten nooit; het is geen veiligheidssysteem en grijpt niet in het proces in.

Niet automatisch, al dekt het veel. ISO/IEC 27001 geeft een risicogebaseerd managementsysteem en maatregelen die sterk overlappen met de maatregelen voor het beheer van cyberbeveiligingsrisico’s die NIS2 eist, zoals incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, toegangsbeheer en cryptografie. Maar NIS2 is wet en het certificaat gaat over een vrijwillige norm, en op sommige punten verschillen ze. NIS2 heeft een eigen gefaseerde incidentmelding aan een nationale autoriteit volgens artikel 23, specifieke plichten voor bestuursorganen waaronder training en verantwoordelijkheid, registratie bij de autoriteit en nationale regels die verder kunnen gaan. Een certificaat geldt bovendien alleen voor het opgegeven toepassingsgebied, dat juist de diensten kan missen waarop NIS2 van toepassing is. Gebruik uw ISMS als ruggengraat: koppel elke NIS2-maatregel aan uw maatregelen, dicht gaten zoals de meldprocedure en de bestuurstraining, en zorg dat het toepassingsgebied elke betrokken dienst omvat. Controleer uw nationale NIS2-wet en of die naar normen verwijst. NetSenX volgt NIS2-meldtermijnen per incident; het beoordeelt uw certificaat of uw NIS2-positie niet.

Vooral bij de maatregelen voor logging en monitoringactiviteiten, en bij de maatregelen voor netwerkbeveiliging en incidentbeheer eromheen. In de editie 2022 van de bijlage vraagt logging (8.15) om activiteitsregistraties te maken, te beschermen en te analyseren, en monitoringactiviteiten (8.16) om netwerken, systemen en applicaties te bewaken op afwijkend gedrag en daarop te handelen. Netwerkdetectie levert voor beide direct bewijs. Het ondersteunt ook netwerkbeveiliging (8.20), door te tonen welke apparaten tussen segmenten communiceren, en de maatregelen voor incidentbeheer, door een gedateerd startpunt te geven voor het beoordelen van gebeurtenissen, het reageren en het verzamelen van bewijs. Ook de inventaris van bedrijfsmiddelen profiteert, want een netwerkkaart toont apparaten die niet in uw lijst staan. Monitoring dekt geen toegangsrechten, back-ups, veilige ontwikkeling of leverancierscontracten; rek de koppeling dus niet op. Noem in uw verklaring van toepasselijkheid de tool, de gedekte segmenten, wie meldingen beoordeelt en waar de vastleggingen staan. De netwerkkaart, de meldingshistorie en het auditlog van NetSenX, in elk abonnement, en de pdf-compliancerapporten vanaf het Starter-abonnement kunnen als dat bewijs dienen.

Vandaag niet, en dat zeggen we ronduit. NetSenX heeft geen ISO/IEC 27001-certificaat en geen SOC 2-rapport. SOC 2 Type I en ISO/IEC 42001 zijn in voorbereiding: het werk loopt en er is niets toegekend; we werken deze pagina bij zodra een onafhankelijke instelling iets afgeeft dat u kunt controleren. Wat u nu al kunt nagaan: de verwerkersovereenkomst op de website, met de lijst van subverwerkers en hun locaties; waar klantgegevens staan, met de database in Ierland en de API in Frankfurt en Parijs; de beveiligingspagina; en ons beleid voor verantwoorde melding van kwetsbaarheden. We beantwoorden beveiligingsvragenlijsten, en als uw inkoop een certificaat eist dat we nog niet kunnen leveren, zeg het ons dan vroeg, zodat u met volledige informatie beslist in plaats van het laat te ontdekken. Sommige subverwerkers hebben eigen certificeringen, die de verwerkersovereenkomst noemt; die gelden voor hun diensten, niet voor NetSenX. Beroept een leverancier zich op een certificaat, vraag dan om het certificaat zelf, het toepassingsgebied en de uitgevende instelling, en controleer het bij die instelling.

Het is een gratis raamwerk van het Amerikaanse National Institute of Standards and Technology (NIST) dat cyberbeveiligingsresultaten beschrijft waar een organisatie naar zou moeten streven, ingedeeld in de functies Govern, Identify, Protect, Detect, Respond en Recover. Versie 2.0 voegde Govern toe, dat strategie, rollen, beleid, risicobeheer en ketenrisico omvat, en verbreedde het raamwerk van kritieke infrastructuur naar organisaties van elke omvang en sector. Het is geen certificering en schrijft geen tools voor; u beschrijft uw huidige profiel, bepaalt een doelprofiel en plant hoe u het gat dicht, waarbij implementatieniveaus de volwassenheid van uw aanpak beschrijven. Europese bedrijven gebruiken het als heldere structuur, ook al is het geen EU-recht, vaak naast ISO/IEC 27001 en NIS2, waarop het goed aansluit. Netwerkdetectie hoort vooral bij Detect, via doorlopende monitoring en analyse van ongewenste gebeurtenissen, en ondersteunt Respond met informatie over wat er gebeurde. NetSenX dekt op de bewaakte segmenten een deel van Detect: beaconing, scans, laterale beweging en ongebruikelijk grote uitgaande volumes, in elk abonnement. Govern, Protect en Recover vragen andere maatregelen.

IT-Grundschutz is de beveiligingsmethodiek van het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI), breed gebruikt door Duitse overheden en bedrijven. Ze bestaat uit BSI-standaarden die beschrijven hoe u een managementsysteem voor informatiebeveiliging opbouwt, de beschermingsbehoefte vaststelt en risico’s behandelt, plus een compendium van bouwstenen met concrete eisen voor typische onderdelen zoals servers, netwerken, applicaties, gebouwen en processen. In plaats van elke risicoanalyse vanaf nul te beginnen, modelleert u uw omgeving met de passende bouwstenen en past u hun eisen toe; een aparte risicoanalyse is alleen nodig waar de beschermingsbehoefte hoog is of geen bouwsteen past. Via het BSI is een ISO 27001-certificering op basis van IT-Grundschutz mogelijk, die beide benaderingen combineert. De methodiek is gedetailleerd en kan zwaar zijn voor een klein bedrijf, maar de bouwstenen zijn een gratis, praktische checklist, ook zonder certificeringsdoel, en helpen bij de Duitse NIS2-plichten onder de BSIG. De netwerkbouwstenen bevatten eisen voor logging en detectie waarvoor netwerkmonitoring bewijs levert. Conformiteit met Grundschutz beoordeelt NetSenX niet.

Een certificering is de beslissing van een geaccrediteerde instelling dat u aan een norm voldoet, vastgelegd in een certificaat; een assurancerapport is het oordeel van een auditor over uw beheersmaatregelen, met de details van wat is getest. ISO/IEC 27001 werkt met certificering: een geaccrediteerde certificatie-instelling auditeert uw managementsysteem, geeft een certificaat af voor een afgebakend toepassingsgebied en blijft controleren met tussentijdse audits tot de hercertificering. SOC 2 werkt met assurance: een onafhankelijke auditor test uw maatregelen aan criteria en schrijft een rapport met zijn oordeel en eventuele afwijkingen, dat u onder geheimhouding deelt. In de praktijk is een certificaat makkelijk te controleren en te vergelijken maar zegt het weinig over details; een rapport zegt veel meer, maar moet gelezen worden, inclusief reikwijdte, periode, afwijkingen en de maatregelen die u zelf moet uitvoeren. Beide zijn alleen nuttig als hun reikwijdte past bij de dienst die u koopt. Wees op uw hoede voor leveranciers die een zelfbeoordeling, een beleidsdocument of een gereedheidscheck van een adviseur als het een of het ander presenteren. NetSenX heeft vandaag geen van beide; SOC 2 Type I en ISO/IEC 42001 zijn in voorbereiding.

Begin met reikwijdte en bewijs, niet met documenten om de documenten. Leg eerst het toepassingsgebied vast: welke organisatie, locaties, diensten en systemen het certificaat dekt, zo gekozen dat het voor klanten telt en af te ronden is. Doe dan het kernwerk dat de norm eist: risicobeoordeling en behandelplan, verklaring van toepasselijkheid, de verplichte beleidsdocumenten en procedures, toegewezen rollen, bewustwording van medewerkers en maatregelen die echt draaien. Laat ze lang genoeg draaien om vastleggingen op te leveren, zoals toegangsreviews, goedkeuringen van wijzigingen, incidenttickets, leverancierscontroles en monitoringreviews, want auditors toetsen bewijs van werking, geen voornemens. Voer vóór de externe audit een interne audit en een directiebeoordeling uit en herstel wat die opleveren. Certificeringsaudits verlopen meestal in twee fasen: eerst een beoordeling van documentatie en gereedheid, daarna een toets of het systeem in de praktijk werkt. Kies een geaccrediteerde certificatie-instelling en houd de adviseur die u helpt gescheiden van de auditor. Voor de monitoringmaatregelen kunnen de netwerkkaart, de meldingshistorie, het auditlog en de pdf-compliancerapporten van NetSenX deel van uw bewijs zijn; NetSenX auditeert of certificeert niets.