ISO 27001 / BIO / NEN 7510
- informatiebeveiliging: steeds meer gevraagd -

Informatiebeveiliging, waar draait het om? Waar het bij ISO 9001 draait om de kwaliteiteisen van klanten en andere belanghebbenden, draait het bij ISO 27001 om de eisen die aan informatiebeveiliging moeten worden gesteld. De steeds groter wordende aandacht voor informatiebeveiliging, de meldplicht datalekken betekent dat de norm ISO 27001 steeds meer wordt gevraagd.

ISO 27000 is een internationale norm (eigenlijk een familie van normen) waarin eisen zijn vastgelegd voor een management systeem om de informatiebeveiliging te beheersen. Het ISMS (Information Security Management System - management systeem voor informatiebeveiliging) is de spil in de beheersing van de informatiebeveiliging. De norm specificeert het vaststellen, implementeren, uitvoeren, controleren, beoordelen, bijhouden en verbeteren van dit managementsysteem.

BIO is een recente baseline informatiebeveiliging voor de overheid. Het vervangt eerdere baselines voor gemeenten, rijk, waterschappen en provincies. De baseline is een uitwerking van de ISO 27001 normenfamilie, specifiek ISO 27001:2013.

Voor de zorgsector in Nederland is er de norm NEN 7510 voor informatiebeveiliging. Deze norm is door het Nederlands Normalisatie-instituut ontwikkeld en dus nationaal gericht. De norm is gebaseerd op de Code voor informatiebeveiliging. NEN 7510 biedt zorginstellingen een leidraad voor het formuleren, vastleggen en controleren van de interne informatiebeveiliging. Feitelijk is NEN 7510 een bundeling van ongeveer 150 paragrafen (verdeeld over 11 hoofdstukken) waarin allerlei zaken die informatiebeveiliging raken, worden beschreven. De uitvoering wordt ook hier weer beschreven in een ISMS.

Met het ISMS moet binnen de eigen organisatie een aantoonbare beheersing op het gebied van informatiebeveiliging aanwezig zijn. Het betreffend een groot aantal gebieden, zoals bijvoorbeeld: fysieke beveiliging, eigen en extern personeel, bedrijfscontinuïteit, toegangsbeleid, incidentenbeheer, ontwikkeling en onderhoud van informatiesystemen en nog veel meer. Centraal staat het terugbrengen van het risico tot een aanvaardbaar niveau. Dit aanvaardbare risico-niveau dient te worden geklassificeerd t.a.v. beschikbaarheid, integriteit en vertrouwelijkheid van de data.

Een ISMS is met het managementsysteem Proware makkelijk in te richten: HLS struktuur, labelling met norm-items, geïntegreerd risico-management, etc. Voorbeelden van diverse ISO 27001 - gecertificeerde klanten zijn er.
Voor inhoudelijke vragen of ondersteuning voor een ISO27001 / NEN7510 certificatie-traject verwijzen we naar onze collega's van Meta-audit. Interessant is de lijst met verplichte documenten.