ISMS-software: tools vergeleken

ISMS-software is een verzamelnaam voor pakketten die helpen bij het beheren van een managementsysteem voor informatiebeveiliging. Ze houden risico’s, maatregelen, taken en bewijs bij en signaleren wanneer iets aan herziening toe is.

Ze zijn nuttig, maar ze maken het systeem niet. Dat onderscheid is belangrijk, want het is de meest gemaakte denkfout bij de aanschaf. Een pakket vol lege velden brengt u niet door een audit.

Hieronder leest u wat zulke tools wel en niet oplossen, wanneer een spreadsheet volstaat en waar u op let als u toch iets aanschaft.

Wat een tool wel oplost

Het echte probleem dat software wegneemt is niet het opschrijven maar het bijhouden. Een systeem bestaat uit onderdelen die naar elkaar verwijzen, en die verwijzingen lopen na verloop van tijd uit de pas.

Drie dingen gaan met een tool merkbaar beter. Ten eerste de koppeling: een risico hangt aan een maatregel, die maatregel aan een verantwoordelijke en aan bewijs. Wijzigt er een, dan ziet u meteen wat er meebeweegt.

Ten tweede de termijnen. Een tool signaleert dat een beoordeling verloopt of dat een taak open blijft staan. In een spreadsheet moet iemand daar zelf aan denken.

Ten derde het verzamelen van bewijs. In plaats van bestanden op een netwerkschijf hangt het bewijs aan de maatregel waar het bij hoort. Dat scheelt bij een audit het meeste tijd.

Wat een tool niet oplost

De inhoudelijke keuzes blijven van u. Welke risico’s u ziet, welke maatregelen daarbij passen en wat u aanvaardt: daar helpt geen pakket bij.

Ook het draaiende houden blijft mensenwerk. Een tool herinnert u eraan dat de interne audit gepland moet worden, maar hij voert hem niet uit en hij neemt geen besluiten in de directiebeoordeling.

En let op de sjablonen die de meeste pakketten meeleveren. Ze zijn een handig startpunt, maar een ingevuld sjabloon dat niet klopt met uw praktijk is erger dan een leeg document. Een auditor toetst de werkelijkheid, niet de template.

Wanneer een spreadsheet volstaat

Bij een beperkte scope en een overzichtelijke organisatie is een set documenten met een spreadsheet prima werkbaar. Goedkoper, sneller aan te passen en niemand hoeft een nieuw systeem te leren.

Vier signalen dat u die grens nadert. Uw risicoregister wordt zo groot dat niemand het meer overziet. Verwijzingen kloppen niet meer met elkaar. U mist termijnen omdat er geen signalering is. Of u bent bij elke audit dagen kwijt aan het zoeken naar bewijs.

Herkent u er twee of meer, dan verdient een tool zich waarschijnlijk terug. Herkent u er geen, dan lost een aanschaf een probleem op dat u niet heeft.

Waar u op let bij de keuze

Kijk verder dan de demo. Vier punten bepalen in de praktijk of een pakket bevalt.

• Sluit het aan op uw werkwijze? Niet andersom. Een tool die u dwingt uw proces te veranderen kost meer dan hij oplevert.
• Krijgt u uw gegevens er weer uit? Vraag dit expliciet. Bij een overstap wilt u niet opnieuw beginnen.
• Ondersteunt het de huidige versie van de norm? Met de vier thema’s uit Annex A, niet de oude indeling.
• Wie beheert het? Een tool zonder eigenaar loopt binnen een jaar leeg, precies zoals een spreadsheet zonder eigenaar.

Let er ook op waar uw gegevens staan. U zet er risico’s en zwakke plekken in, en dat is informatie die zelf beschermd moet worden. Dat maakt uw ISMS-leverancier een leverancier zoals elke andere, met dezelfde beoordeling. Dat hoort in uw verklaring van toepasselijkheid terug te komen.

De volgorde die werkt

Eerst bepalen hoe u wilt werken, dan pas een tool kiezen. Andersom richt u uw werkwijze in naar wat het pakket toevallig kan, en dat wreekt zich bij de eerste audit.

Praktisch betekent dat: doe de eerste ronde in documenten en een spreadsheet. Dan weet u wat u nodig heeft en kunt u gericht zoeken. Zie wat een ISMS is voor waar het uit bestaat.

Vier vragen die u stelt in de demo

Elke demo ziet er goed uit, want die wordt gegeven met een gevulde omgeving. Vier vragen halen het verschil boven tussen een pakket dat past en een pakket dat mooi oogt.

Kan ik mijn eigen risicomethode gebruiken? Sommige pakketten dwingen een vaste scoremethode af. Werkt u al met een methode die uw auditor accepteert, dan is dat een reden om af te haken.

Hoe komt mijn bestaande register erin? Vraag om een import van uw eigen spreadsheet, niet om een demobestand. Dan ziet u meteen hoeveel handwerk de overstap kost.

Hoe krijg ik alles er weer uit? Vraag naar een volledige export in een leesbaar formaat. Een pakket dat daar vaag over doet, is een pakket waar u aan vastzit.

Wie beheert het bij ons? Dat is geen vraag aan de leverancier maar aan uzelf. Zonder eigenaar loopt een tool binnen een jaar leeg, precies zoals een spreadsheet zonder eigenaar.

Uw tool is zelf een leverancier

Dit punt wordt bijna altijd over het hoofd gezien. In uw ISMS-tool staan uw risico’s, uw zwakke plekken en uw openstaande maatregelen. Dat is precies de informatie die u probeert te beschermen.

Daarmee is de leverancier van dat pakket een leverancier zoals elke andere, met dezelfde beoordeling. Waar staan de gegevens, wie heeft er toegang, welke onderaannemers zijn erbij betrokken en wat gebeurt er als de dienst uitvalt.

Neem die beoordeling op in uw leveranciersoverzicht en laat de uitkomst terugkomen in uw verklaring van toepasselijkheid. Een auditor die ziet dat u uw eigen ISMS-tool bent vergeten te beoordelen, heeft daar terecht een opmerking over.

Het omgekeerde is trouwens ook waar: een leverancier die zelf gecertificeerd is en dat kan aantonen, scheelt u werk in uw eigen dossier.

Veelgestelde vragen over ISMS-software

Heb ik software nodig voor ISO 27001?

Nee. De norm stelt geen eisen aan de vorm waarin u uw systeem bijhoudt. Documenten en een spreadsheet voldoen prima, zeker bij een beperkte scope. Software is een hulpmiddel, geen verplichting.

Levert een tool sjablonen die ik zo kan gebruiken?

De meeste wel, en ze zijn een handig startpunt. Neem ze alleen niet over zonder ze aan te passen aan uw praktijk. Een ingevuld sjabloon dat niet klopt is bij een audit slechter dan een eigen document dat wel klopt.

Versnelt software het certificeringstraject?

Beperkt. Het inhoudelijke werk, de scope bepalen, risico’s beoordelen en maatregelen kiezen, blijft even groot. Waar een tool tijd wint is in het onderhoud daarna en bij het verzamelen van bewijs voor de audit.

Kan ik later overstappen van spreadsheet naar tool?

Ja, en dat is vaak de verstandigste route. U weet dan precies wat u nodig heeft en u kunt uw bestaande register importeren. Vraag bij de keuze wel na hoe die import werkt.

Is mijn ISMS-leverancier zelf een risico?

Die verdient in elk geval een leveranciersbeoordeling zoals elke andere. U vertrouwt hem uw risico’s en zwakke plekken toe, dus de vragen over locatie van de gegevens, toegang en onderaanneming zijn hier extra relevant.