Waarom organisaties deze twee normen vaak verwarren tijdens ISO 27001-trajecten
Tijdens ISO 27001-trajecten ontstaat regelmatig verwarring over aanvullende normen. Vooral ISO 27002 en ISO 27017 worden vaak door elkaar gebruikt.
Dat is begrijpelijk. Beide gaan over beveiligingsmaatregelen en beide horen bij dezelfde ISO-27000 familie.
Toch hebben ze een heel andere rol in een audit.
ISO 27001 is de norm waarop u wordt gecertificeerd. ISO 27002 en ISO 27017 helpen de auditor beoordelen hoe u de maatregelen invult.
Een auditor controleert ISO 27001 via de zogeheten Annex A controls. Dit zijn beveiligingsmaatregelen zoals:
Maar ISO 27001 beschrijft alleen wat u moet regelen, niet hoe u dat doet.
Daar komen 27002 en 27017 in beeld.
ISO 27002 is feitelijk een praktische uitleg van de maatregelen uit ISO 27001.
Het bevat:
Je kunt het zien als een handboek voor de maatregelen uit Annex A.
ISO 27002 helpt beantwoorden:
"Hoe kan een organisatie deze beveiligingsmaatregel inrichten?"
Bijvoorbeeld:
ISO 27001 zegt dat toegangsrechten moeten worden beheerst.
ISO 27002 beschrijft hoe je dat kunt doen met procedures, reviews en rollen.
Belangrijk: ISO 27002 is niet verplicht en je wordt er niet op gecertificeerd.
Toch gebruiken auditors het bijna altijd als referentie.
ISO 27017 heeft een andere functie.
Deze norm is een aanvulling op ISO 27002 specifiek voor cloudomgevingen.
Hij richt zich op situaties waarin IT niet meer volledig in eigen beheer is, maar draait bij:
ISO 27017 probeert vooral één probleem op te lossen:
Wie is verantwoordelijk voor beveiliging — de organisatie of de cloudleverancier?
Daarom introduceert 27017 extra richtlijnen over:
ISO 27002 beschrijft hoe je beveiligingsmaatregelen uitvoert.
ISO 27017 beschrijft hoe je beveiligingsmaatregelen uitvoert wanneer IT in de cloud staat.
Of anders gezegd:
Steeds meer organisaties gebruiken:
Tijdens audits ontstaat dan een cruciale vraag:
"Welke beveiligingsmaatregelen voert u zelf uit, en welke de leverancier?"
Wanneer dit niet duidelijk is, ontstaat vaak een auditbevinding.
Organisaties gaan er namelijk vaak vanuit dat de cloudleverancier alles beveiligt, terwijl ISO 27001 uitgaat van eigen verantwoordelijkheid voor informatie.
Een organisatie ziet dat een leverancier ISO 27001 gecertificeerd is en concludeert:
"Dan voldoen wij ook."
Voor een auditor is dat onjuist.
De leverancier beveiligt het platform. Uw organisatie moet aantonen dat zij het platform veilig gebruikt.
ISO 27017 helpt precies bij dat onderscheid.
Lees meer: Leveranciers en SaaS bij ISO 27001
De auditor kijkt of de organisatie begrijpt:
ISO 27002 helpt beoordelen of maatregelen bestaan. ISO 27017 helpt beoordelen of ze ook in de cloud werken.
Alle organisaties met ISO 27001 gebruiken impliciet ISO 27002. Dit geldt ook wanneer het niet expliciet wordt genoemd.
ISO 27017 wordt relevant zodra systemen buiten de eigen IT-omgeving draaien.
Bijvoorbeeld:
Vrijwel elk modern MKB krijgt hier dus mee te maken.
ISO 27001 is een managementsysteemnorm.
ISO 27002 en ISO 27017 zijn geen extra verplichtingen, maar interpretatiekaders.
Ze helpen auditors vaststellen of beveiligingsmaatregelen niet alleen bestaan op papier, maar ook logisch zijn ingericht.
Organisaties die alleen naar ISO 27001 kijken, missen vaak hoe maatregelen in de praktijk worden verwacht. Organisaties die ISO 27002 en 27017 begrijpen, ervaren audits meestal als bevestiging in plaats van verrassing.
Wij helpen u met het beoordelen van cloudleveranciers, het vaststellen van gedeelde verantwoordelijkheden en het inrichten van cloudspecifieke beveiligingsmaatregelen volgens ISO 27017.