ISO 27001 handboek: nodig of niet, en hoe bouwt u het op?

Een ISO 27001 handboek is een document dat beschrijft hoe uw managementsysteem voor informatiebeveiliging werkt en waar alles te vinden is. Is het verplicht? Nee. De huidige versie van ISO 27001 eist geen handboek. De norm eist wel gedocumenteerde informatie: vastgelegde keuzes, processen en bewijs.

Toch kiezen veel organisaties voor een handboek. Als ingang werkt het goed. Een auditor, een nieuwe collega of een klant vindt via één document de weg naar beleid, risicoanalyse en registraties. Dat werkt zolang het een wegwijzer blijft, en geen dik naslagwerk dat niemand bijhoudt.

Wie zoekt op ISO 27001 handboek, vindt ook boeken over de norm. Dit artikel gaat over het handboek van uw eigen ISMS. Wat de norm in het geheel inhoudt, leest u in de gids over ISO 27001.

Wat ISO 27001 wel vraagt: gedocumenteerde informatie

De huidige versie, ISO/IEC 27001:2022, spreekt niet van documenten en registraties, maar van gedocumenteerde informatie. Daarmee bedoelt de norm informatie die u vastlegt en beheert, in welke vorm dan ook. Dat kan een tekstdocument zijn, een wiki, een tool of een registratie in een systeem.

Een aantal onderdelen moet u in elk geval vastleggen:

• Scope. Welke onderdelen van de organisatie onder het ISMS vallen.
• Informatiebeveiligingsbeleid. De uitgangspunten, vastgesteld door de directie.
• Risicobeoordeling en risicobehandeling. Hoe u risico’s beoordeelt en behandelt, het plan daarvoor en de uitkomsten.
• Verklaring van toepasselijkheid. Welke maatregelen uit bijlage A u toepast en waarom.
• Doelstellingen. Wat u met informatiebeveiliging wilt bereiken.
• Bewijs van competentie. Dat mensen met een rol in het ISMS daarvoor zijn toegerust.
• Monitoring en meting. Wat u meet en wat eruit komt.
• Interne audit en directiebeoordeling. Het auditprogramma, de uitkomsten en de besluiten van de leiding.
• Afwijkingen en corrigerende maatregelen. Wat er misging en wat u eraan deed.

Verder legt u zoveel vast als nodig is om te laten zien dat uw processen zijn uitgevoerd zoals gepland. Daarnaast bepaalt u zelf wat u nodig heeft voor een goed werkend systeem. Sommige maatregelen uit bijlage A vragen ook om iets op schrift, zoals een overzicht van bedrijfsmiddelen of vastgelegde werkprocedures. Per hoofdstuk van de norm staat dit uitgewerkt bij de ISO 27001 eisen.

Wanneer een ISO 27001 handboek wel handig is

Een handboek is geen eis, maar het kan veel opleveren. In drie situaties helpt het vrijwel altijd:

• Bij de certificeringsaudit. De auditor wil snel zien hoe uw systeem in elkaar zit. Een handboek dat per hoofdstuk van de norm naar het juiste document verwijst, scheelt zoekwerk aan beide kanten.
• Bij nieuwe medewerkers en rollen. Wie het ISMS overneemt of erin meedraait, heeft één ingang nodig.
• Bij klanten en tenders. Een beknopte beschrijving van uw ISMS beantwoordt veel vragen uit leveranciersbeoordelingen in één keer.

Het risico zit in de omvang. Een handboek dat alle beleid en procedures letterlijk herhaalt, veroudert snel en spreekt zichzelf tegen. Houd het daarom kort en laat het verwijzen.

De norm gaat er zelf ook van uit dat de omvang van een ISMS past bij de organisatie. Dat geldt ook voor de documentatie. Een bedrijf van vijftien mensen heeft een ander handboek nodig dan een organisatie met vijf vestigingen.

Een praktische opbouw die de norm volgt

De handigste indeling volgt de hoofdstukken 4 tot en met 10 van de norm. Een auditor werkt in dezelfde volgorde, dus u vindt elkaar snel. Elk hoofdstuk van het handboek beschrijft in een paar alinea’s hoe u het geregeld heeft. Daarna verwijst het naar het document met de details.

Het handboek is zo de inhoudsopgave van uw ISMS, niet de inhoud zelf. Onder het handboek liggen de lagen die het werk doen.

Wat er wel en niet in hoort

Een goed ISO 27001 handboek is beknopt en verwijst door. Dit hoort er wel in:

• Een korte beschrijving per hoofdstuk van de norm. Hoe u het heeft ingericht, in gewone taal.
• Verwijzingen. Naar het beleid, de risicoanalyse, de verklaring van toepasselijkheid en de registraties, met de plek waar ze staan.
• Rollen en eigenaarschap. Wie verantwoordelijk is voor welk onderdeel.
• Versie en goedkeuring. Wie het handboek heeft vastgesteld, en wanneer.

Dit hoort er niet in:

• Kopieën van beleid en procedures. Dan heeft u twee versies die uit elkaar gaan lopen.
• Letterlijke normtekst. Die is auteursrechtelijk beschermd en voegt niets toe. Beschrijf wat u doet.
• Gevoelige details. Wachtwoorden, netwerktekeningen of bekende kwetsbaarheden horen in afgeschermde documenten, niet in een stuk dat breed wordt gedeeld.

De verklaring van toepasselijkheid als hart

Het document waar een auditor het meest naar kijkt, is de verklaring van toepasselijkheid. Daarin staat per maatregel uit bijlage A of u hem toepast en waarom. Bijlage A telt 93 beheersmaatregelen, verdeeld over vier thema’s.

De verklaring verbindt uw risicoanalyse met uw maatregelen. Het handboek legt uit hoe die twee samenhangen en waar de onderbouwing staat. Hoe u de verklaring zelf opstelt, leest u in de verklaring van toepasselijkheid.

Papier, wiki of tool: de vorm kiest u zelf

De norm schrijft geen vorm voor. Gedocumenteerde informatie mag op papier staan, in een wiki, in een documentsysteem of in speciale ISMS-software.

Wel moet u het beheersen. Elk document is herkenbaar, bijvoorbeeld aan een titel, datum en auteur, en is beoordeeld en goedgekeurd. U houdt versies bij. En de informatie is beschikbaar waar die nodig is, en beschermd tegen verlies of oneigenlijk gebruik.

Software kan helpen, vooral als u veel registraties bijhoudt. Een overzicht van de mogelijkheden staat in ISMS-software. Kies wat past bij hoe uw organisatie al werkt. Een handboek in een systeem dat niemand opent, helpt niemand.

Veelgemaakte fouten met een ISO 27001 handboek

Een handboek kan veel opleveren, maar het gaat ook geregeld mis. Dit zijn valkuilen die in de praktijk vaak opduiken:

• Het beschrijft de bedoeling, niet de praktijk. Een auditor toetst wat er werkelijk gebeurt. Staat er iets in dat niemand doet, dan levert dat een bevinding op.
• Een template dat niet is aangepast. Procedures voor processen die u niet heeft, of rollen die niet bestaan, maken het geheel ongeloofwaardig.
• Alles in één bestand. Beleid, procedures en registraties in één document worden onoverzichtelijk en lastig te beheren.
• Geen eigenaar. Zonder vaste eigenaar veroudert het handboek na de eerste audit.

De oplossing is steeds dezelfde. Houd het handboek kort, laat het verwijzen en maak iemand verantwoordelijk voor het bijhouden.

Zo houdt u het ISO 27001 handboek actueel

Een handboek veroudert op het moment dat de organisatie verandert. Koppel het onderhoud daarom aan momenten die er toch al zijn.

• De directiebeoordeling. Maak een korte check van het handboek een vast agendapunt.
• Wijzigingen in scope of organisatie. Een nieuwe vestiging, dienst of leverancier is een reden om het handboek na te lopen. De norm vraagt sowieso dat u wijzigingen in het ISMS gepland doorvoert.
• Na een interne audit. Verwerk bevindingen over de documentatie direct.

Houd in het handboek zelf een wijzigingslog bij. Dan ziet iedereen wat er veranderd is en waarom. Dat onderhoud past vanzelf in de PDCA-cyclus van uw ISMS: plannen, uitvoeren, controleren en bijsturen. Wilt u het systeem en de documentatie laten inrichten, dan is ISMS inrichten de bijbehorende dienst.

Veelgestelde vragen over het ISO 27001 handboek

Is een ISO 27001 handboek verplicht?

Nee. De norm eist gedocumenteerde informatie, zoals de scope, het beleid, de risicobeoordeling en de verklaring van toepasselijkheid, maar geen handboek. Een handboek is wel een handige ingang naar die documenten.

Kijkt een auditor naar het handboek?

Als u er een heeft, gebruikt de auditor het vaak als wegwijzer. Getoetst wordt of het systeem werkt. Is de verplichte informatie er, klopt die met de praktijk en wordt die bijgehouden?

Kan ik een template gebruiken?

Een template kan een begin zijn, maar het handboek moet uw eigen werkwijze beschrijven. Een handboek dat niet past bij hoe u werkt, valt bij de eerste auditvraag door de mand.

Hoe dik moet een ISMS-handboek zijn?

Zo dun als het kan. Het handboek beschrijft hoe het systeem werkt en verwijst naar de documenten met de details. Hoe meer het herhaalt, hoe sneller het veroudert.

Mag het handboek in het Engels?

Ja, de norm schrijft geen taal voor. Hij vraagt wel dat de vorm passend is, en taal hoort daarbij. Kies de taal die uw medewerkers en uw auditor begrijpen, en houd die consequent aan.