Wat is een managementsysteem voor informatiebeveiliging?

Het is het geheel van beleid, rollen, processen en vastleggingen waarmee een organisatie informatiebeveiliging bewust stuurt in plaats van bij toeval. Een managementsysteem voor informatiebeveiliging (ISMS) beantwoordt doorlopend een paar vragen: welke informatie en systemen zijn belangrijk, welke risico’s bedreigen ze, welke maatregelen nemen we, wie is verantwoordelijk, hoe weten we dat de maatregelen werken, en hoe verbeteren we als dat niet zo is? Concreet bestaat het uit documenten zoals een beveiligingsbeleid, een risicobeoordeling en een risicobehandelplan, een verklaring welke maatregelen van toepassing zijn, procedures voor incidenten en leveranciers, en uit bewijs dat ze worden nageleefd: trainingsregistraties, toegangsreviews, auditresultaten en notulen van directiebeoordelingen. Het heet een systeem omdat het in een cyclus van plannen, doen, controleren en bijsturen draait. ISO/IEC 27001 bepaalt de eisen, maar ook bedrijven die nooit certificering zoeken, hebben baat bij de structuur, en de NIS2NIS2: tweede Europese richtlijn voor netwerk- en informatiebeveiliging. De Europese cyberbeveiligingswet (Richtlijn (EU) 2022/2555) met beveiligings- en meldplichten voor veel bedrijven.-plichten voor risicobeheer passen er vanzelf in. Een monitoringtool is één maatregel binnen het systeem en een bron van bewijs, niet het systeem zelf.

← Alle 15 vragen over Beveiligingsnormen: ISO 27001, SOC 2Alle onderwerpen