U kunt ISO 27001 zonder consultant implementeren, en bedrijven van tien tot tweehonderd mensen doen dat elk jaar. De auditvergoeding is hoe dan ook dezelfde: voor een bedrijf van 20 mensen ruwweg zeven auditordagen van 1.200 € tot 2.000 € elk, vastgesteld door de certificatie-instelling op basis van ISO/IEC 27006 en niet op basis van wie uw beleid schreef.

Wat verandert als u het alleen doet, is uw interne tijd, het oordeel dat u zelf moet absorberen, en het risico dat de eerste audit de dingen vindt waar een beginner niet naar weet te zoeken. Deze pagina is de eerlijke verdeling, dan de volgorde, dan de lijst van wat mensen missen.

Wat een consultant werkelijk verkoopt

Wat u koopt Wat het is
De scope Verkeerd in welke richting ook is duur.
Een risicobeoordeling die het contact overleeft Niet het register zelf, maar een methode die een auditor accepteert, consequent toegepast, met criteria die u kunt verdedigen als iemand vraagt waarom een 3 een 3 is.
Weten wat de auditor gaat vragen Dit is ervaring en die is echt moeilijk uit lezen te halen.
Iemand om mee te discussiëren Een blik van buiten op de vraag of een maatregel is geïmplementeerd of alleen opgeschreven.

Wat een goede consultant eigenlijk verkoopt

Niet de documenten. Beleidssjablonen zijn overal en een gegenereerde beleidsset brengt u ongeveer op dezelfde plek. Wat een goede consultant verkoopt, is oordeel op vier plekken, en het loont ze te benoemen, omdat het de vier plekken zijn waar u het zelf moet leveren.

De scope. Verkeerd in welke richting ook is duur. Te breed, en u betaalt auditordagen voor systemen waar geen klant om geeft. Te smal, en het beveiligingsteam van een klant leest het certificaat, ziet dat het product dat het koopt erbuiten valt, en wijst het af. De scopeverklaring is één alinea; het is de alinea met de grootste gevolgen van het hele systeem.

Een risicobeoordeling die het contact overleeft. Niet het register zelf, maar een methode die een auditor accepteert, consequent toegepast, met criteria die u kunt verdedigen als iemand vraagt waarom een 3 een 3 is.

Weten wat de auditor gaat vragen. Dit is ervaring en die is echt moeilijk uit lezen te halen. Het is het verschil tussen fase 2 halen en te horen krijgen dat u over drie maanden terug mag komen, en drie maanden zonder certificaat zijn aanbestedingen waarop u niet kunt inschrijven en deals die vastlopen bij de beveiligingsbeoordeling. Dat wachten is de echte kostprijs van een mislukte ronde, veel meer dan de vergoeding.

Iemand om mee te discussiëren. Een blik van buiten op de vraag of een maatregel is geïmplementeerd of alleen opgeschreven.

Heeft u intern iemand die al eens door een audit is gegaan, dan heeft u het meeste hiervan. Zo niet, dan zeggen de secties hieronder waar u het haalt, en waar u er een dag van koopt.

De volgorde, want in de verkeerde volgorde gaat de tijd verloren

  1. Scope en context (paragrafen 4.1 tot en met 4.3). Welke delen van het bedrijf, welke locaties, welke systemen, de gegevens van welke klanten. Belanghebbenden en wat zij eisen. Schrijf het op en laat het goedkeuren.
  2. Beleid en rollen (hoofdstuk 5). Eén informatiebeveiligingsbeleid, goedgekeurd en gedateerd, en benoemde eigenaren voor het ISMS, het risicoregister en de interne audit.
  3. Risicobeoordeling en -behandeling (6.1.2, 6.1.3). Uw methode, uw criteria, uw register, en een behandelplan dat voor elk risico dat u besloot te behandelen een maatregel noemt.
  4. De verklaring van toepasselijkheid (6.1.3 d). Voor elk van de 93 beheersmaatregelen van bijlage A: van toepassing of niet, waarom, en of ze is geïmplementeerd. Dit is het document dat de auditor als eerste leest en dat het beveiligingsteam van een klant na het certificaat opvraagt.
  5. Implementeren en uitvoeren (hoofdstuk 8). De maatregelen die daadwerkelijk werken en bewijs met datums opleveren.
  6. Meten, auditen, beoordelen (hoofdstuk 9). Monitoringresultaten, een interne audit, een directiebeoordeling, alles vastgelegd.
  7. Certificatie-audit. Fase 1 beoordeelt de documenten en de gereedheid; fase 2 toetst of het systeem werkt. Daarna elk jaar een surveillance-audit en elke drie jaar hercertificatie.

Stappen in de verkeerde volgorde worden overgedaan. De meest voorkomende versie is beleid schrijven voordat de scope vaststaat, en dan ontdekken dat de helft ervan systemen beschrijft die nu zijn uitgesloten.

De twee plekken waar u toch een dag koopt

Zonder consultant hoeft niet zonder hulp te betekenen. Twee specifieke dingen zijn het waard per dag te kopen, en kostbaar om fout te doen.

De interne audit (paragraaf 9.2). Die moet vóór de certificatie plaatsvinden en de auditor mag niet zijn eigen werk auditen. In een bedrijf van tien mensen waar de persoon die het ISMS bouwde de enige is die het begrijpt, is dat echt moeilijk, en het is de meest voorkomende reden waarom mensen iemand voor een dag inhuren in plaats van voor een programma. Een ingehuurde interne auditor voor één of twee dagen per jaar is normaal, geaccepteerd, en een dag werk in plaats van een programma.

Een generale repetitie van fase 1. Een uur met iemand die aan de kant van de auditor heeft gezeten, die uw scope, uw VvT en uw risicomethode doorloopt, vóór de echte fase 1. Die vindt de uitsluiting die u niet kunt verantwoorden en de criteria die u niet kunt uitleggen. Dat uur is het nuttigste deel van een adviesopdracht, en u kunt het los kopen.

Wat beginners missen

Dit is de lijst waarvoor de lezer eigenlijk hier is. Ze komt uit het beoordelen van vragenlijsten en concept-VvT's van kleine bedrijven, en dezelfde vijf dingen komen bijna elke keer terug.

Beleid dat bestaat maar nooit is goedgekeurd. Beleid zonder goedkeurder en datum is een concept, en een concept is een bevinding. Elk beleid heeft een naam en een datum nodig, en daarna een beoordelingsdatum.

Monitoring en logging beschreven in de toekomende tijd. "We gaan logs centraliseren" is een gat. De maatregelen A.8.15 en A.8.16 willen logs die bestaan en worden beoordeeld, met bewijs dat iemand heeft gekeken.

Leveranciers opgesomd maar nooit beoordeeld. Bijna iedereen kan zijn subverwerkers opsommen. Bijna niemand kan aantonen dat hij er een heeft beoordeeld vóór het tekenen. De maatregelen A.5.19 tot en met A.5.23 willen de beoordeling, de overeenkomst en de periodieke beoordeling, gedateerd.

"Niet van toepassing" zonder reden. In een klantvragenlijst is dat prima. In een verklaring van toepasselijkheid is een onverantwoorde uitsluiting een bevinding, en de verantwoording moet een argument zijn, geen voorkeur. "We zijn met acht mensen en hebben geen fysiek kantoor" is een argument. "Niet relevant" is dat niet.

Bewijs dat één keer heeft gewerkt. Een maatregel die achttien maanden geleden draaide, is niet in werking. Auditors nemen steekproeven op datum, en een schermafbeelding uit de maand vóór de audit vertelt hun precies wanneer het systeem voor het laatst is aangeraakt.

Dan het zesde, dat geen maatregel is maar wel bepaalt of het certificaat zijn eerste jaar overleeft: de registraties stoppen na de audit. Certificatie is niet de finish. Surveillance-audits komen elk jaar en de auditor verwacht dat het register, de beoordelingen en het bewijs tussendoor datums dragen. Bedrijven die alleen met succes certificeren, zijn de bedrijven die hun registraties bijhielden terwijl ze bezig waren, in plaats van ze vóór elk bezoek bij elkaar te zoeken.

Wat ga ik missen? Lees het register

De vraag onder dit alles is "wat ga ik missen", en het eerlijke antwoord is dat elke tool, elk sjabloon en elke consultant sommige paragrafen volledig dekt en andere minder, en het verschil wordt zelden opgeschreven. Wij hebben het onze opgeschreven.

Het ISO 27001-dekkingsregister somt elke paragraaf van de norm op, wat het product ervoor bevat, en waar een post maar gedeeltelijk was gedekt en sindsdien is gesloten, in gewone taal, met de geschiedenis bewaard. Het bestaat omdat "wat ga ik missen" een lijst verdient in plaats van een geruststelling, en omdat een register dat ons vleit niet de moeite van het lezen waard zou zijn.

Gebruik het als checklist, of u het product nu gebruikt of niet. Elke paragraaf erop is een paragraaf waar de auditor naar zal vragen.

De kosten die niet veranderen

De audit. Auditordagen komen uit de tabellen van ISO/IEC 27006 op basis van scope en personeelsomvang, dus een bedrijf van 20 mensen zit rond de zeven dagen, of er nu een consultant bij betrokken was of niet, tegen een dagtarief dat de certificatie-instelling bepaalt. De rekensom, met uitgewerkte voorbeelden. Het zelf doen verandert uw interne kosten en het oordeel dat u absorbeert. Het verandert de auditvergoeding niet, en wie u vertelt dat de software de audit goedkoper maakt, verkoopt u de makkelijke helft.

De aanbeveling

Het zelf doen is een redelijke keuze, vooral als iemand intern het al eens heeft gedaan of de scope klein is. Het meeste zelf doen en de interne audit en een generale repetitie van fase 1 kopen, is wat veel bedrijven werkelijk doen, en het is de regeling met de beste verhouding tussen gekocht oordeel en uitgegeven geld. Een volledige opdracht inhuren is redelijk als niemand intern het kan dragen en het certificaat nu omzet blokkeert.

Wat niet redelijk is, is beslissen op basis van de software. Geen enkele tool vervangt de vier oordelen hierboven. Wat een tool moet doen, is de terugkerende helft draaglijk maken: beleid met datums en eigenaren, bewijs volgens schema verzameld uit de systemen waar het al leeft, een VvT die een levend document is, en een kalender die niet stil valt tussen het certificaat en het eerste surveillancebezoek.

Registraties die compleet, gedateerd en ongewijzigd zijn op de dag dat de auditor erom vraagt. Dat is de hele klus, en die duurt het hele jaar.

Bronnen

  • ISO/IEC 27001:2022, hoofdstukken 4 tot en met 10, 6.1.3 d) (verklaring van toepasselijkheid), 9.2 (interne audit; objectiviteit en onpartijdigheid), beheersmaatregelen van bijlage A 5.1, 5.19 tot en met 5.23, 8.15, 8.16.
  • ISO/IEC 27006-1:2024, bijlage C (audittijd), via Hoeveel auditordagen kost ISO 27001.
  • ISO/IEC 17021-1:2015, paragraaf 9.6 (surveillance ten minste eenmaal per kalenderjaar; hercertificatiecyclus).
  • De lijst "wat beginners missen": de methode van onze gratis vragenlijstbeoordeling, toegepast op VvT's en vragenlijsten van kleine bedrijven.