Het informatiebeveiligingsbeleid is het kortste document in een ISO 27001-systeem en het document dat het vaakst verkeerd gaat, omdat het het vaakst wordt gekocht. Een sjabloonbeleid is dertig pagina's lang, noemt maatregelen die het bedrijf niet uitvoert, en droeg ooit de naam van een ander bedrijf; een auditor herkent het op de eerste pagina. Paragraaf 5.2 vraagt iets veel kleiners: een beleid van de directie dat past bij waar het bedrijf voor is, de beveiligingsdoelstellingen of het kader om ze te stellen draagt, het bedrijf verbindt aan de eisen waaraan het is onderworpen en aan het verbeteren van het systeem, en dat is opgeschreven, verteld aan de mensen binnen en getoond aan wie buiten het nodig heeft. Dat zijn zeven dingen, en geen ervan is een aantal pagina's. Dit artikel leest de paragraaf voor een softwarebedrijf, zet de negen secties uiteen die een beleid van twee pagina's draagt, somt op wat een auditor aanmerkt, en beschrijft de gratis pagina die het beleid uit tien antwoorden in zes talen schrijft.
Wat de paragraaf vraagt, en wat niet
Vier van de zeven dingen gaan over de inhoud en drie over de omgang ermee. De inhoud: het beleid moet passen bij het doel van het bedrijf, zodat het beleid van een salarisplatform over salarisgegevens en de klanten die ze toevertrouwen spreekt, niet over "de organisatie"; het moet de doelstellingen of het kader om ze te stellen dragen, en daarom noemt het beleid de doelstellingen die het meet; het verbindt het bedrijf aan de eisen die voor het bedrijf gelden, de wet, de regelgeving en de contracten die in de context van het systeem zijn vastgelegd; en het verbindt tot continue verbetering, wat in de praktijk de interne audit, de directiebeoordeling en de corrigerende maatregelen betekent die de rest van de norm vraagt. De omgang: het beleid is gedocumenteerde informatie onder paragraaf 7.5, met een eigenaar, een versie en een goedkeuring; het wordt binnen het bedrijf gecommuniceerd, wat een auditor toetst door een nieuwe medewerker te bevragen; en het is beschikbaar voor belanghebbende partijen waar passend, een klant of een auditor op verzoek. Wat de paragraaf niet vraagt, is een lengte, een sjabloon, een handtekeningceremonie of een lijst van maatregelen: de maatregelen horen in de verklaring van toepasselijkheid, en de regels per onderwerp horen in het onderwerpspecifieke beleid dat A.5.1 onder dit beleid vraagt.
De negen secties van een kort beleid
Een beleid dat aan de paragraaf voldoet en goed leest, past in negen secties. Doel: wat het bedrijf beschermt en waarom, in één alinea die het product noemt. Toepassingsgebied: wie en wat het beleid bindt, met een verwijzing naar de verklaring van het toepassingsgebied van paragraaf 4.3 in plaats van die te herhalen. Waarom het hier telt: de eerlijke drijfveer, of klanten beveiliging tot zakelijke voorwaarde maken, een toezichthouder het verplicht, aanbestedingen het certificaat vereisen of het bedrijf ervoor koos voordat iemand erom vroeg. Toezeggingen: het risicoproces met aanvaardingscriteria die de directie heeft vastgesteld, de geldende eisen, het bewustzijn en de opleiding die mensen krijgen, het meten, auditen, beoordelen en verbeteren van het systeem, en de middelen die het nodig heeft. Doelstellingen: de meetbare regels van paragraaf 6.2, drie tot vijf ervan. Rollen: de directie, de persoon die het systeem beheert, de eigenaren van systemen en informatie, en alle anderen, elk met één regel verantwoordelijkheid. Het beleid eronder: de lijst van onderwerpbeleid, zodat een lezer weet waar de regels over toegang, cryptografie, back-up, ontwikkeling, leveranciers en incidenten staan, en de regel dat dit beleid prevaleert waar ze elkaar tegenspreken. Naleving: hoe die wordt gecontroleerd en wat een schending betekent. Communicatie en beoordeling: waar het is gepubliceerd, dat het deel is van de onboarding, en de cyclus en de aanleidingen voor beoordeling.
Doelstellingen die een auditor kan meten
Paragraaf 6.2 vraagt doelstellingen die uit het beleid volgen, gemeten kunnen worden waar dat haalbaar is, worden gevolgd, aan mensen verteld en actueel gehouden, elk met een plan erachter. Het beleid is de plek waar ze staan, en de fout is ze als bijvoeglijke naamwoorden te formuleren. "Wij nemen beveiliging serieus" is geen doelstelling; "de dienst is beschikbaar op of boven het aan klanten toegezegde niveau, maandelijks gemeten" wel, net als "geen bevestigde ongeoorloofde openbaarmaking van klantinformatie, en elke toegang tot productiegegevens gekoppeld aan een genoemde persoon", "elke wijziging beoordeeld en getest vóór uitgifte, en geen bekende kritieke kwetsbaarheid langer dan de afgesproken hersteltijd in productie", "elke leverancier met toegang beoordeeld vóór onboarding en volgens schema opnieuw beoordeeld", "elk incident vastgelegd, beoordeeld en, waar een meldplicht geldt, binnen de termijn gemeld" en "iedereen doorloopt beveiligingsbewustzijn bij indiensttreding en ten minste jaarlijks, en toegang wordt op de laatste dag ingetrokken". Elk daarvan is een regel waarover de directiebeoordeling van paragraaf 9.3 rapporteert, met een getal ernaast, en dat is wat de auditor zoekt wanneer hij na het beleid de notulen van de beoordeling opent.
De fouten die een auditor aanmerkt
Het sjabloon met de naam van een ander bedrijf nog in een voettekst, of met maatregelen die de verklaring van toepasselijkheid uitsluit. Het beleid van dertig pagina's dat de norm herhaalt, dat niemand las en dat de nieuwe medewerker niet kan samenvatten. De ontbrekende goedkeuring: geen naam, geen datum, geen versie, of een versie ouder dan de laatste verandering in het bedrijf. Doelstellingen geschreven als voornemens, zonder iets in de directiebeoordeling dat ze meet. Geen communicatiebewijs: het beleid bestaat in een map, maar de onboarding noemt het niet en medewerkers hebben het niet gezien, wat faalt op het deel "gecommuniceerd" van de paragraaf. Geen beoordeling sinds de eerste versie, in een bedrijf dat sindsdien van producten, hosting of leveranciers is veranderd. En een topbeleid dat een onderwerpbeleid tegenspreekt, zoals een wachtwoordregel in het ene en een andere in het andere, zonder te zeggen welke prevaleert. Elk is een bevinding bij de eerste audit, en elk wordt vermeden door minder te schrijven en het te dateren.
Wat ermee te doen
Beantwoord de tien vragen op de gratis pagina: wat het bedrijf levert, waarom het het systeem voert, of het persoonsgegevens van klanten verwerkt, software ontwikkelt, ontwikkeling uitbesteedt of panden heeft, wie het systeem beheert, wie het beleid goedkeurt, de beoordelingscyclus en de doelstellingen die het gaat meten. De pagina schrijft de negen secties in gewone woorden en somt het onderwerpbeleid op dat de antwoorden vereisen. Bewerk het tot het klinkt als het bedrijf, laat de goedkeurder het ondertekenen en dateren, publiceer het waar elke nieuwe medewerker het leest, en neem de doelstellingen mee naar de directiebeoordeling. Schrijf daarna de verklaring van het toepassingsgebied waarnaar het verwijst, het risicoregister dat de toezeggingen beloven, en de verklaring van toepasselijkheid die de maatregelen opsomt; StandardOS schrijft het beleid en het onderwerpbeleid eronder uit dezelfde antwoorden, geversioneerd, en maakt van de beoordelingscyclus een datum op de kalender.