Annex A van ISO 27001: de beheersmaatregelen

Annex A van ISO 27001 is de bijlage met beheersmaatregelen. Er staan er drieënnegentig in, verdeeld over vier thema’s. Uit die lijst kiest u wat past bij uw risico’s, en wat u niet toepast onderbouwt u.

Dat kiezen is het hele punt. Annex A is geen afvinklijst waar u alles op groen moet krijgen. Het is een catalogus waaruit u samenstelt wat in uw situatie zinvol is.

Hieronder loopt u de vier thema’s langs, ziet u hoe u bepaalt wat van toepassing is, en leest u wat u wel en niet mag uitsluiten.

De vier thema’s

Sinds de laatste herziening zijn de maatregelen niet meer verdeeld over veertien hoofdstukken maar over vier thema’s. Dat maakt het overzichtelijker en het sluit beter aan op hoe organisaties zijn ingericht.

Het valt op dat het grootste thema organisatorisch is en niet technologisch. Dat past bij het karakter van de norm: informatiebeveiliging is voor het grootste deel een kwestie van afspraken en verantwoordelijkheden, niet van techniek.

Organisatorisch: waar de meeste tijd in gaat

Dit thema bevat het beleid, de rolverdeling, de afspraken met leveranciers, de omgang met incidenten en de naleving van wet- en regelgeving.

Twee onderdelen leveren in de praktijk het meeste werk op. Het eerste is leveranciersbeheer: weten wie er toegang heeft tot uw gegevens, wat er contractueel is afgesproken en hoe u dat controleert. Het tweede is incidentbeheer: niet alleen een procedure, maar ook een register waaruit blijkt dat er echt iets mee gebeurt.

Ook nieuw is de aandacht voor dreigingsinformatie en voor het gebruik van clouddiensten. Dat waren onderwerpen die eerder verspreid stonden of ontbraken.

Mensen: het kleinste thema met de grootste opbrengst

Acht maatregelen, over screening bij indiensttreding, afspraken in de arbeidsvoorwaarden, bewustwording, thuiswerken en het melden van gebeurtenissen.

Dit thema wordt vaak onderschat omdat het er weinig zijn. Toch is het de plek waar maatregelen het snelst effect hebben. Een medewerker die weet hoe hij iets meldt en dat ook durft, vangt meer af dan menige technische maatregel.

Let bij de invulling op bewijs. Een training zonder aanwezigheidsregistratie is voor een auditor niet aantoonbaar. Hetzelfde geldt voor afspraken die wel in het personeelshandboek staan maar nooit zijn gedeeld.

Fysiek: minder van toepassing dan vroeger

Veertien maatregelen over toegang tot ruimtes, beveiliging van apparatuur, omgang met opslagmedia en het opgeruimd houden van werkplekken.

Voor organisaties zonder eigen serverruimte is een deel hiervan niet van toepassing, of het ligt bij de hostingpartij. Dat is een legitieme uitsluiting, mits u vastlegt bij wie het dan wel ligt en wat daarover is afgesproken.

Wat wel van toepassing blijft is de eigen werkomgeving: wie komt er binnen, hoe gaat u om met laptops die mee naar huis gaan, en wat gebeurt er met apparatuur die wordt afgevoerd.

Technologisch: waar de meeste maatregelen zitten

Vierendertig maatregelen over toegangsbeheer, versleuteling, logging, back-up, netwerkbeveiliging en veilige ontwikkeling.

Ontwikkelt u zelf geen software, dan valt een flink deel hiervan af. Doet u dat wel, dan is dit het zwaarste thema en raakt het direct aan hoe uw teams werken.

Onderdelen die bij vrijwel iedereen terugkomen zijn toegangsbeheer, back-up met een beproefd herstel, en logging waarmee u achteraf kunt reconstrueren wat er is gebeurd. Die laatste wordt vaak vergeten tot het moment dat hij nodig is.

Hoe u bepaalt wat van toepassing is

Begin niet bij de lijst maar bij uw risico’s. Per risico bepaalt u welke maatregelen u ertegen inzet. Dan vult u het grootste deel van de lijst vanzelf, met een onderbouwing die klopt.

Wat overblijft zijn maatregelen die geen enkel risico afdekken. Per stuk is de vraag: mis ik een risico, of is deze maatregel echt niet van toepassing? Beide antwoorden zijn goed zolang u ze vastlegt in de verklaring van toepasselijkheid.

De methode voor die risicobeoordeling staat in ISO 27005. Wilt u hem laten uitvoeren, dan is de risicoanalyse informatiebeveiliging de bijbehorende dienst.

De maatregelen die bij vrijwel iedereen terugkomen

Hoewel u zelf kiest, is er een kern die bij vrijwel elke organisatie van toepassing blijkt. Uitsluiting daarvan roept bij een auditor bijna altijd vragen op.

Het gaat om beleid dat is vastgesteld en gedeeld, toegangsbeheer met een periodieke beoordeling van rechten, back-ups waarvan het herstel is beproefd, een werkende incidentprocedure met een register, afspraken met leveranciers die toegang hebben, en bewustwording bij medewerkers.

Die zes zijn niet toevallig ook de maatregelen die het meeste effect hebben. Wie alleen die op orde brengt, heeft het grootste deel van de praktische risicoreductie al te pakken.

Begin daar dus, ook als u nog niet weet of u gaat certificeren. Het is werk dat sowieso nodig is en het maakt een later traject aanzienlijk korter.

Nieuw sinds de laatste herziening

Bij de herziening zijn elf maatregelen toegevoegd die eerder ontbraken of verspreid stonden. Ze zijn de moeite waard om apart langs te lopen, want ze gaan over onderwerpen die de laatste jaren zijn opgekomen.

Het gaat onder meer om dreigingsinformatie, om beveiliging bij het gebruik van clouddiensten, om gereedheid voor continuïteit, om het monitoren van activiteiten, om webfiltering en om veilig programmeren.

Vooral clouddiensten en monitoring leveren in de praktijk werk op. Bij cloud gaat het om de vraag wie waarvoor verantwoordelijk is, en dat blijkt vaak minder helder dan gedacht. Bij monitoring gaat het om de vraag of u achteraf kunt reconstrueren wat er is gebeurd, en dat merkt u pas op het moment dat u het nodig heeft.

Werkt u met documentatie van voor de herziening, neem die elf dan als eerste door. Dat is doorgaans het echte verschil, de rest is vooral hernummeren.

Veelgestelde vragen over Annex A

Moet ik alle 93 maatregelen invoeren?

Nee. U kiest wat past bij uw risico’s. Bij de meeste organisaties is een flink deel niet van toepassing, bijvoorbeeld omdat ze zelf geen software ontwikkelen of geen eigen serverruimte hebben. Wat u niet toepast, onderbouwt u.

Welke maatregelen mag ik uitsluiten?

Elke maatregel, mits de reden concreet en verifieerbaar is. “Wij ontwikkelen zelf geen software” is een goede onderbouwing. “Niet relevant voor ons” is dat niet, want daar kan een auditor niets mee.

Waar staat per maatregel hoe ik hem invul?

In ISO 27002. Annex A geeft per maatregel weinig meer dan een titel en een zin; de uitgebreide toelichting staat in de zusternorm. Zie het verschil tussen ISO 27001 en ISO 27002.

Waarom is de nummering veranderd?

Bij de laatste herziening zijn de maatregelen opnieuw ingedeeld, van veertien hoofdstukken naar vier thema’s. Overlappende maatregelen zijn samengevoegd en er kwamen enkele nieuwe bij. Documentatie met de oude nummering moet daarom worden gelijkgetrokken.

Zijn er maatregelen die altijd van toepassing zijn?

De norm wijst er geen aan als verplicht, maar in de praktijk komen beleid, toegangsbeheer, back-up, incidentafhandeling en bewustwording bij vrijwel elke organisatie terug. Uitsluiten daarvan roept bij een auditor vrijwel altijd vragen op.