Wat is een ISMS en hoe werkt het?

Wat is een ISMS? Het is een managementsysteem voor informatiebeveiliging: de manier waarop u als organisatie besluit wat u beschermt, hoe u dat doet en hoe u controleert of het werkt. De afkorting staat voor Information Security Management System.

Het woord systeem doet veel mensen aan software denken, en dat is de meest voorkomende misvatting. Een ISMS is geen pakket dat u aanschaft. Het is een werkwijze: rollen, afspraken, documenten en een ritme waarin u bijstuurt.

Hieronder leest u waar het uit bestaat, wat het oplevert en hoe u er een opzet die past bij uw formaat.

Waar een ISMS uit bestaat

In de kern zijn het vier dingen die in elkaar grijpen.

• Een scope. Welke onderdelen, locaties en diensten vallen eronder. Zonder duidelijke afbakening is de rest niet te beoordelen.
• Een risicobeoordeling. Wat kan er misgaan en hoe erg is dat. Daaruit volgt wat u gaat doen.
• Maatregelen en beleid. De keuzes die uit de beoordeling volgen, vastgelegd zodat mensen weten wat er van hen wordt verwacht.
• Een ritme van beoordelen en bijsturen. Meten, auditen, en besluiten wat er anders moet.

Die laatste is wat het een managementsysteem maakt in plaats van een verzameling maatregelen. Zonder dat ritme heeft u wel beveiliging, maar geen systeem.

Wat het oplevert

De directe aanleiding is meestal extern: een klant die ernaar vraagt, een aanbesteding, of wetgeving die iets verlangt. Dat is een geldige reden, maar het is niet de opbrengst.

De opbrengst zit in overzicht. In vrijwel elke eerste inventarisatie komen dingen boven water die niemand meer wist: een oud systeem dat nog aan het netwerk hangt, een leverancier met toegang die er allang niet meer zou moeten zijn, een map met gegevens waarvan onduidelijk is wie erbij kan.

De tweede opbrengst is dat beslissingen ergens landen. Zonder systeem worden securitykeuzes gemaakt door wie er toevallig bij is. Met een systeem is duidelijk wie waarover gaat en waarop de keuze is gebaseerd.

De derde is rust bij een incident. Niet omdat er niets meer misgaat, maar omdat vastligt wie wat doet. Dat scheelt in de praktijk de meeste schade. Hoe u dat inricht staat op de pagina over het incident response plan.

Hoe groot moet het zijn?

Zo klein als verantwoord is. Dit is de belangrijkste keuze in het hele traject en hij wordt vaak te ruim gemaakt.

Een organisatie van twintig mensen heeft geen tientallen procedures nodig. Beleid van een paar pagina’s, een risicobeoordeling met twintig regels, een handvol werkafspraken en een jaarplanning volstaan. Wat telt is dat het klopt en dat mensen het kennen.

De scope werkt hetzelfde. Beperkt u zich tot de dienst waar uw klanten naar vragen, dan is het traject korter, de audit goedkoper en het onderhoud lichter. Uitbreiden kan altijd nog.

Een goede toets: kunt u iemand die net binnenkomt in een half uur uitleggen hoe het werkt? Zo nee, dan is het te zwaar geworden.

Software of documenten?

Bij een beperkte scope werkt een set documenten en een spreadsheet prima. Dat is goedkoper en makkelijker aan te passen dan een tool.

Naarmate uw organisatie groeit, wordt het handmatig bijhouden van risico’s, maatregelen, taken en bewijs lastiger. Dan kan een tool helpen, vooral bij het bewaken van termijnen en het verzamelen van bewijs. Wat zulke pakketten wel en niet oplossen staat in ISMS-software.

De volgorde is wel belangrijk: eerst weten hoe u wilt werken, dan pas een tool kiezen. Andersom richt u uw werkwijze in naar wat het pakket toevallig kan.

Van systeem naar certificaat

Een ISMS en een certificaat zijn niet hetzelfde. U kunt prima een werkend systeem hebben zonder u te laten certificeren, en dat is voor organisaties die het voor zichzelf doen een prima keuze.

Wilt u wel certificeren, dan toetst een geaccrediteerde instelling of uw systeem aan ISO 27001 voldoet. Het traject daarnaartoe staat in het ISO 27001 stappenplan, en de cyclus die het systeem draaiende houdt in de PDCA-cyclus.

Wat het onderscheidt van een verzameling maatregelen

Bijna elke organisatie heeft beveiligingsmaatregelen. Wachtwoorden, back-ups, een virusscanner, afspraken over wie waar bij mag. Dat maakt nog geen managementsysteem.

Het verschil zit in de vraag waarom. Bij een verzameling maatregelen is het antwoord meestal historisch: het is ooit zo ingericht, of een leverancier adviseerde het. Bij een systeem is het antwoord een risico dat u heeft benoemd en gewogen.

Dat lijkt een formaliteit maar het heeft praktische gevolgen. Zonder die koppeling weet u niet welke maatregel u mag laten vallen als er iets verandert, en ook niet welke maatregel ontbreekt als er een nieuw risico bij komt. U kunt dan alleen maar toevoegen, nooit opruimen.

Het tweede verschil is dat het systeem zichzelf corrigeert. Er is een moment waarop wordt gekeken of het nog werkt, en een plek waar besluiten landen. Zonder dat blijft een maatregel bestaan tot iemand er toevallig over struikelt.

De rollen die u minimaal nodig heeft

Ook een klein systeem heeft drie rollen nodig, en die mogen bij dezelfde persoon liggen zolang de onafhankelijkheid bij de interne audit is geborgd.

Er is iemand die het systeem bewaakt: die plant de momenten, bewaakt de opvolging van bevindingen en houdt de documenten actueel. Meestal een security officer of kwaliteitsmanager, vaak als taak naast een andere rol.

Er zijn risico-eigenaren: mensen die per onderwerp kunnen besluiten wat er gebeurt en die de gevolgen dragen. Dat is geen securityrol maar een lijnrol, want de afweging tussen risico en kosten hoort bij wie over het onderwerp gaat.

En er is iemand vanuit de leiding die het geheel draagt, het beleid vaststelt en de directiebeoordeling voorzit. Zonder dat mandaat loopt het systeem vast op het eerste besluit dat geld of tijd kost.

Veelgestelde vragen over een ISMS

Is een ISMS software?

Nee. Het is een werkwijze: rollen, afspraken, documenten en een ritme van beoordelen en bijsturen. Er bestaat software die helpt bij het bijhouden, maar die software is niet het systeem. Een tool vol lege velden brengt u niet door een audit.

Hoe lang duurt het om er een op te zetten?

Voor een organisatie die bij nul begint is een half jaar tot een jaar gebruikelijk tot aan certificering. Ligt er al beleid en zijn er werkende procedures, dan gaat het sneller. De grootste variabele is de beschikbaarheid van uw eigen mensen.

Moet ik certificeren als ik een ISMS heb?

Nee. Certificeren is zinvol als u het moet kunnen aantonen aan klanten of opdrachtgevers. Doet u het vooral voor uzelf, dan levert een werkend systeem zonder certificaat dezelfde beheersing op, zonder de jaarlijkse auditkosten.

Wie moet het ISMS beheren?

Iemand met overzicht en mandaat, meestal een security officer of kwaliteitsmanager. Bij kleinere organisaties is dat vaak een taak naast een andere rol. De directie blijft eindverantwoordelijk, want die stelt het beleid vast en neemt de besluiten.

Wat is het verschil tussen een ISMS en informatiebeveiligingsbeleid?

Het beleid is een onderdeel van het systeem. Het beschrijft de uitgangspunten en wat er van mensen wordt verwacht. Het ISMS is het geheel: het beleid plus de risicobeoordeling, de maatregelen, de rollen en het ritme waarin u bijstuurt.