De PDCA-cyclus: continu verbeteren in uw ISMS

De PDCA-cyclus is de vaste verbetercyclus die onder ISO 27001 ligt. PDCA staat voor Plan, Do, Check en Act: u plant wat u gaat doen, u voert het uit, u controleert of het werkt en u stuurt bij. Daarna begint hij opnieuw.

Die cyclus is geen theorie uit een handboek. Het is de reden dat de norm om een managementsysteem vraagt en niet om een lijst maatregelen. Beveiliging die u een keer inricht en daarna laat staan, sluit binnen een jaar niet meer aan op wat uw organisatie doet.

Hieronder leest u wat er in elke fase gebeurt, hoe vaak de cyclus rondgaat bij een organisatie van uw formaat, en waar het in de praktijk vastloopt.

Wat de PDCA-cyclus is

PDCA komt uit de kwaliteitskunde en zit in vrijwel elke ISO-norm. Het idee erachter is eenvoudig: verbeteren doet u in kleine rondes, niet in een groot project dat een keer af is.

In ISO 27001 zit de cyclus verwerkt in de hoofdstukken 6 tot en met 10. Planning valt onder Plan, uitvoering onder Do, de interne audit en de directiebeoordeling onder Check, en corrigerende maatregelen onder Act. U hoeft de letters dus niet apart in te richten. Doet u wat de norm vraagt, dan draait de cyclus al.

Plan: bepalen wat er moet gebeuren

In deze fase legt u vast wat u wilt beschermen en waartegen. U stelt de scope vast, voert de risicoanalyse uit en kiest op basis daarvan uw maatregelen. Ook bepaalt u de doelen: wat wilt u komend jaar bereiken, en waaraan ziet u dat het gelukt is.

Dat laatste wordt vaak overgeslagen. Een doel als “de beveiliging verbeteren” is niet toetsbaar. “Alle medewerkers hebben de awarenesstraining gevolgd” of “geen openstaande kritieke kwetsbaarheden ouder dan dertig dagen” wel.

De keuze welke maatregelen u toepast en welke niet, legt u vast in de verklaring van toepasselijkheid. Dat document is het scharnier tussen uw risicoanalyse en uw maatregelen.

Do: invoeren en laten werken

Nu voert u uit wat u heeft gepland. Beleid wordt vastgesteld en gedeeld, rollen worden belegd, technische maatregelen worden ingevoerd en mensen worden getraind.

De valkuil hier is dat invoeren wordt verward met opschrijven. Een wachtwoordbeleid dat in een map staat maar dat niemand kent, is niet ingevoerd. De norm vraagt om bewijs dat het werkt: aanwezigheidslijsten van een training, logbestanden, een verwerkte melding.

Verzamel dat bewijs meteen, niet achteraf. Wie een week voor de audit gaat zoeken naar wat er het afgelopen jaar is gebeurd, maakt het zichzelf onnodig zwaar.

Check: kijken of het werkt

In deze fase toetst u of uw systeem doet wat het moet doen. Dat gebeurt op drie manieren.

• Meten. U volgt uw eigen doelen: hoeveel incidenten waren er, hoe snel zijn ze afgehandeld, staan de updates bij.
• Interne audit. Iemand die niet over zijn eigen werk oordeelt, loopt na of de praktijk overeenkomt met wat er is afgesproken.
• Directiebeoordeling. De leiding kijkt naar het geheel en besluit wat er moet veranderen.

Die drie horen bij elkaar. Alleen meten zonder audit levert een blinde vlek op, en een audit zonder directiebeoordeling levert bevindingen op waar niemand een besluit over neemt. Hoe een interne audit precies verloopt staat in de ISMS-audit.

Act: bijsturen en vastleggen

Uit Check komen bevindingen, en in Act doet u er iets mee. Per bevinding bepaalt u de oorzaak, de maatregel, wie hem uitvoert en wanneer hij af is.

Let op het verschil tussen een symptoom oplossen en de oorzaak wegnemen. Een medewerker die op een phishingmail klikte, is geen bevinding op zichzelf. De vraag is waarom die mail binnenkwam, waarom de melding niet eerder kwam en of de training aansluit bij wat mensen echt tegenkomen.

Wat u besluit, legt u vast. Een auditor kijkt bij de volgende ronde of de bevindingen van vorig jaar zijn opgevolgd. Openstaande punten zonder toelichting vallen op.

Hoe vaak de cyclus rondgaat

De norm schrijft geen frequentie voor, maar in de praktijk draait de grote cyclus een keer per jaar. Dat sluit aan op de jaarlijkse controleaudit. Zo ziet een werkbare jaarplanning eruit.

Binnen dat jaar lopen kleinere rondes. Een risicoanalyse herziet u bij een grote verandering, bijvoorbeeld een nieuwe dienst of een verhuizing naar een andere cloudleverancier. Incidenten voert u direct door. En de interne audit hoeft niet in een keer: veel organisaties verdelen die over het jaar, per onderwerp.

Het volledige tijdpad van een certificeringstraject staat in het ISO 27001 stappenplan.

Waar het in de praktijk misgaat

Drie dingen komen steeds terug.

Het eerste is dat de cyclus stilvalt zodra het certificaat binnen is. Het traject was een project met een doel, en dat doel is gehaald. Elf maanden later moet alles alsnog in twee weken. Dat is te voorkomen door de momenten meteen in de agenda te zetten, niet in een plan.

Het tweede is dat Check bij een interne audit blijft steken. Er wordt getoetst, er komen bevindingen, en daar houdt het op. Zonder Act draait de cyclus niet rond en verbetert er niets.

Het derde is dat de directiebeoordeling een formaliteit wordt. Een half uur met een presentatie erbij, zonder besluiten. Dan mist u precies het moment waarop iemand met mandaat kan bepalen dat er iets anders moet. Hoe het geheel samenhangt leest u in wat een ISMS is, en de volledige uitleg over de norm staat in onze gids wat is ISO 27001.

Veelgestelde vragen over de PDCA-cyclus

Waar staat PDCA voor?

Plan, Do, Check en Act. Het is een verbetercyclus uit de kwaliteitskunde die in vrijwel elke ISO-norm terugkomt. U plant, voert uit, controleert en stuurt bij, en daarna begint de ronde opnieuw.

Is de PDCA-cyclus verplicht binnen ISO 27001?

De letters staan niet als eis in de norm, maar de fasen wel. De hoofdstukken 6 tot en met 10 vragen om planning, uitvoering, beoordeling en verbetering. Wie daaraan voldoet, draait de cyclus, of hij hem nu zo noemt of niet.

Hoe vaak moet de cyclus rondgaan?

Minimaal een keer per jaar een volledige ronde, aansluitend op de jaarlijkse controleaudit. Daarbinnen lopen kortere rondes: incidenten pakt u direct op en de risicoanalyse herziet u bij elke grote verandering in uw organisatie.

Wat is het verschil tussen Check en de certificeringsaudit?

Check is uw eigen toetsing: de interne audit en de directiebeoordeling, uitgevoerd door of namens uzelf. De certificeringsaudit wordt gedaan door een onafhankelijke geaccrediteerde instelling. Uw eigen Check-fase is de voorbereiding waarmee u zorgt dat er bij die externe audit geen verrassingen zijn.

Wie is verantwoordelijk voor de cyclus?

De directie is eindverantwoordelijk, want die stelt het beleid vast en neemt de besluiten in de directiebeoordeling. De dagelijkse coördinatie ligt meestal bij een security officer of kwaliteitsmanager. Het werkt het beste als een persoon de planning bewaakt en de opvolging van bevindingen agendeert.