De scope wordt één keer vastgesteld en elke asset, elk risico en elke control neemt deze over, zodat niets onopgemerkt buiten de scope valt.
Een kant-en-klare set beleidsstukken gekoppeld aan de clausules, elk met een eigenaar en een evaluatiedatum. Je keurt ze goed, ISOPlanner™ houdt ze bij.
Een risicoregister gekoppeld aan de assets die al in je Microsoft 365 staan, zodat de analyse begint bij je eigen omgeving en niet bij een leeg vel papier.
Gegenereerd op basis van je risicobeslissingen, zodat elke opgenomen control een reden heeft en elke uitsluiting een vastgelegde rechtvaardiging.
Alle 93 controls zijn vooraf geladen, verdeeld over de vier thema's, elk met een eigenaar, een status en de bijbehorende bewijslast.
Bewijslast wordt automatisch verzameld vanuit Microsoft 365 terwijl mensen aan het werk zijn. Geen mappen vol screenshots, geen stressvolle bewijslast-sprints in de zes weken voor de audit.
Beide zijn opgenomen in het jaarplan, inclusief bevindingen, acties en notulen die gekoppeld zijn aan de betreffende clausule.
Bevindingen worden gevolgd als acties met verantwoordelijken en deadlines, en het afsluitingsverslag is precies wat de auditor bij de volgende controle wil zien.
Een norm, verplichting of risico dat je hebt geïdentificeerd
De maatregel die het risico aanpakt, bewust gekozen
Een toegewezen persoon die herinneringen van het systeem krijgt
De vervolgactie die een tekortkoming oplost
Gekoppeld aan de voltooide taken van de eigenaar
Altijd inzichtelijk, niet alleen vlak voor een audit
01.
Wat is de reikwijdte van een ISO 27001-ISMS?
De ISMS-reikwijdte legt vast welke processen, locaties en systemen vallen onder je informatiebeveiligingsbeheerssysteem. Clausule 4.3 van ISO 27001 verplicht organisaties deze reikwijdte schriftelijk te definiëren voordat de certificering van start gaat. Een goed afgebakende reikwijdte voorkomt scope creep tijdens de audit en zorgt dat je certificaat aansluit op je bedrijfsactiviteiten. ISOPlanner™ bevat een reikwijdtesjabloon waarmee je dit conform clausule 4.3 kunt documenteren.
02.
Wat is de Verklaring van Toepasselijkheid en waarom is deze verplicht?
De Verklaring van Toepasselijkheid (VvT) is een verplicht document op grond van clausule 6.1.3 van ISO 27001. Het beschrijft welke van de 93 beheersmaatregelen uit Annex A van toepassing zijn op je organisatie, inclusief een motivering voor eventuele uitsluitingen. Auditeurs beoordelen de VvT als centraal bewijsstuk voor je risicobehandelingsaanpak. In ISOPlanner™ kun je de VvT genereren op basis van je risicobehandelbeslissingen.
03.
Hoe werkt het risicobeoordelings- en risicobehandelingsproces van ISO 27001?
Clausule 6.1 van ISO 27001 vereist dat organisaties informatiebeveiligingsrisico’s systematisch identificeren, beoordelen en behandelen. Dit resulteert in een risicoregister met vastgelegde risico-eigenaren en een risicobehandelplan met gekoppelde beheersmaatregelen uit Annex A. Beide documenten zijn verplichte bewijsstukken voor de audit. ISOPlanner™ begeleidt je stapsgewijs door het risicoproces en genereert automatisch het risicoregister en het behandelplan.
04.
Wat is het verschil tussen een corrigerende maatregel en voortdurende verbetering in ISO 27001?
Een corrigerende maatregel (clausule 10.1) reageert op een concrete non-conformiteit of incident: je analyseert de oorzaak en neemt gerichte actie om herhaling te voorkomen. Voortdurende verbetering (clausule 10.2) is een proactief proces waarbij je het ISMS structureel optimaliseert, ook zonder dat er een incident heeft plaatsgevonden. Auditeurs beoordelen beide processen apart. ISOPlanner™ helpt je non-conformiteiten en verbeteracties gescheiden bij te houden.
05.
Hoe lang duurt een ISO 27001-certificering doorgaans?
De implementatie van een ISO 27001-conform ISMS duurt voor de meeste organisaties zes tot twaalf maanden, afhankelijk van omvang en volwassenheidsniveau. De formele certificeringsaudit bestaat uit twee fasen: een documentatiebeoordeling (fase 1) en een implementatieaudit op locatie (fase 2). Na certificering volgen jaarlijkse surveillanceaudits en een volledige hercertificering na drie jaar. ISOPlanner™ biedt een gestructureerd implementatiepad dat het proces aanzienlijk versnelt.
06.
Wat gebeurt er tijdens een ISO 27001-directiebeoordeling?
De directiebeoordeling is een verplichte activiteit op grond van clausule 9.3 van ISO 27001 en moet minimaal jaarlijks plaatsvinden. Verplichte input omvat de resultaten van interne audits, de status van eerdere actiepunten, risicowijzigingen en feedback van belanghebbenden. De output bevat besluiten over verbeteringen en benodigde middelen. ISOPlanner™ bevat een directiebeoordelingssjabloon met alle verplichte input- en outputpunten conform clausule 9.3.
07.
Hoe ondersteunt ISOPlanner™ de doorlopende ISO 27001-naleving na certificering?
Na certificering begint het echte werk: 93 beheersmaatregelen moeten operationeel blijven, jaarlijkse interne audits moeten worden uitgevoerd en directiebeoordelingen moeten worden gedocumenteerd. ISOPlanner™ houdt de status van alle beheersmaatregelen bij, stuurt herinneringen voor vervaldatums en genereert de bewijsstukken die nodig zijn voor jaarlijkse surveillance en hercertificering na drie jaar.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial