ISO-certificeringen, wat zijn het en wat is de toegevoegde waarde?

• Door
• Isabelle Walter, Managed Hosting Specialist (Shock Media)
• geplaatst op
• 14 april 2016 10:00 uur

Sinds 2015 zijn wij ISO27001:2013 en NEN7510:2011 gecertificeerd. Een zeer waardevolle toevoeging voor voor ons en onze klanten, maar wat houdt zo’n certificering nou eigenlijk in?
Door de jaren heen zijn er wereldwijd verscheidende normen ontwikkeld voor systemen, producten en werkwijzen. Deze doorgaans verschillende normen die specifiek per land werden ontwikkeld, hadden als gevolg dat landen verschillende eisen en richtlijnen hanteerden. Dit resulteerde in veel onduidelijkheden bij handel en overleg tussen verschillende landen. Om meer uniformiteit en duidelijkheid te creëren zijn ISO-normen in het leven geroepen. In een ISO-norm worden eisen gesteld waaraan een organisatie met al haar processen en procedures dient te voldoen. Wanneer een organisatie voldoet aan de gestelde eisen komt zij in aanmerking voor een ISO-certificering. Echter, moet een organisatie hiervoor een streng certificeringstraject doorlopen wat wordt geleid door een erkende certificatie-instelling.

De certificeringen

De ISO27001 is de internationale norm voor informatiebeveiliging en omvat een scala aan eisen met betrekking tot het beheer van informatieveiligheidsrisico’s. Deze norm draagt zorg voor een uniform beleid waardoor er op een betrouwbare manier met informatie wordt omgegaan en dat de beschikbaarheid en integriteit van informatie te allen tijde wordt gewaarborgd.
De NEN7510:2011 is de Nederlandse norm voor informatiebeveiliging in de zorg en staat voor het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van alle informatie die benodigd is om patiënten verantwoordelijke zorg te bieden. Door het behalen van de NEN7510 certificering toont Shock Media aan dat zij voldoet aan de internationale wettelijke bepalingen voor patiëntengegevens en de wettelijke eisen rondom de informatiebeveiliging van het Elektronisch Patiënten Dossier. Doordat Shock Media is gecertificeerd voor deze norm wordt het voor zorginstellingen eenvoudig om ook uitbestede diensten te laten conformeren aan deze standaard.

Waarborging van de normen

Wij hebben een Security Officer aangesteld die toezicht houdt op de waarborging van de normen. De normen gaan namelijk veel verder dan alleen het nemen van praktische maatregelen zoals bijvoorbeeld security updates en firewalling. De normen focussen zich met name op de procedures, de organisatie, haar medewerkers en continue verbetering. Het gehele managementsysteem van een organisatie moet in lijn zijn met de eisen van de normen. Daarnaast moet het managementsysteem zo worden ingericht dat het op lange termijn effectief en efficiënt is, ook moet het mee kunnen veranderen bij interne en externe veranderingen. Wij zetten dit managementsysteem ook in voor de continue verbetering van onze gehele dienstverlening.

Het managementsysteem

Om het managementsysteem vorm te geven hebben wij het Plan-Do-Check-Act (PDCA) principe gebruikt, oftewel; plannen, uitvoeren, controleren en bijsturen. Middels deze methode wordt continue verbetering van informatieveiligheid gewaarborgd en verankerd in de gehele organisatie. In de ‘Plan’ fase wordt het managementsysteem ingericht. Hierbij worden potentiële risico’s en passend beleid in kaart gebracht. In de ‘Do’ fase wordt dit beleid geïmplementeerd en wordt de werking hiervan getoetst. In de ‘Check’ fase wordt de efficiency en effectiviteit van het managementsysteem getoetst en geëvalueerd. In de laatste fase, de ‘Act’ fase, worden eventuele noodzakelijke wijzigingen doorgevoerd die ervoor moeten zorgen dat het managementsysteem zo optimaal mogelijk functioneert.

In het verlengde van het PDCA-principe worden elk jaar nieuwe informatieveiligheid doelstellingen gesteld, welke worden vormgegeven middels het SMART-principe (Specifiek, Meetbaar, Acceptabel, Realistisch, Tijdsgebonden). Deze doelstellingen worden onder andere bepaald op basis van een risicoanalyse. Door het inventariseren van risico’s met betrekking tot informatieveiligheid worden alle mogelijke risico’s in kaart gebracht. Hierbij wordt ook rekening gehouden met de wet- en regelgeving zoals die op dat moment van toepassing is. Het behalen en behouden van de certificeringen zijn dan ook geen eenmalig project, maar zijn een doorlopend proces in een organisatie. Enkele praktische zaken die bij ons voortvloeien uit ons managementsysteem zijn:

• Registratie en classificatie van incidenten;
• Strenge controle op identiteit en bevoegdheid van de klant bij telefoongesprekken, e-mails en bezoek kantoor;
• Vernietiging van data op harde schijven en andere datadragers, ook als deze bijvoorbeeld voor een RMA-procedure wordt verzonden;
• Classificatie van documenten en regels met betrekking tot voor wie deze documenten zichtbaar mogen zijn.
• Door incidentenregistratie, security analyses en structurele overleggen is er beter bekend welke zaken er op security gebied spelen en worden incidenten altijd opgevolgd. Als voortvloeisel hieruit word, indien nodig, het beleid en/of procedures weer verbeterd;
• Duidelijke procedures voor calamiteiten vastgelegd als onderdeel van Continuity Management;
• Medewerkers zijn, door middel van trainingen en beleid zich continu bewust van de implicaties van acties op security gebied. Dit is vaak ook weer een voedingsbron voor overleg en het continu verbeteren van het managementsysteem.

De toegevoegde waarde

Het moge duidelijk zijn dat een certificering enerzijds veel inspanning vergt van een organisatie, maar dat het anderzijds een grote toegevoegde waarde heeft zowel voor een organisatie zelf als voor haar klanten. Middels de ISO27001 en de NEN7510 certificering kunnen wij onze klanten namelijk vertrouwelijkheid garanderen, waarbij (online) informatie alleen toegankelijk is voor de betreffende geautoriseerde personen. Daarnaast kunnen wij garanderen dat de data en de bijbehorende omgeving van onze klanten op adequate wijze worden beveiligd en dat processen continue worden bewaakt en verbeterd.

Geschreven door Isabelle Walter, Managed Hosting Specialist (Shock Media)

Stuur ook uw blog, achtergrond artikel of andere bijdrage in!