Een referentielijst, geen checklist
Annex A bevat 93 beheersmaatregelen. U gebruikt de lijst om na te gaan of u bij de behandeling van uw risico’s geen noodzakelijke maatregel over het hoofd hebt gezien. De risicoanalyse bepaalt welke maatregelen nodig zijn, niet andersom. Een organisatie die alle 93 maatregelen invoert zonder onderbouwing, heeft het ISMS niet goed begrepen.
De vier thema’s
De maatregelen zijn verdeeld over vier hoofdstukken. Die indeling zegt iets over wie de maatregel meestal uitvoert, niet over het belang ervan.
- Organisatorische maatregelen (5.1 tot en met 5.37): beleid, rollen, leveranciers, incidenten, continuïteit en naleving.
- Mensgerichte maatregelen (6.1 tot en met 6.8): screening, bewustwording, geheimhouding, thuiswerken en het melden van gebeurtenissen.
- Fysieke maatregelen (7.1 tot en met 7.14): beveiligde ruimtes, toegang, apparatuur, opslagmedia en veilig verwijderen.
- Technologische maatregelen (8.1 tot en met 8.34): toegangsbeheer, logging, kwetsbaarheden, back-ups, netwerken en veilige ontwikkeling.
Attributen maken de lijst bruikbaar
ISO 27002 kent elke maatregel attributen toe. Zo ziet u of een maatregel preventief, detecterend of corrigerend werkt, welke van de drie beveiligingsaspecten hij ondersteunt (vertrouwelijkheid, integriteit en beschikbaarheid) en bij welk cybersecurityconcept hij hoort: identificeren, beschermen, detecteren, reageren of herstellen.
Met die attributen kunt u de lijst filteren. Wilt u weten hoe sterk uw detectievermogen is, selecteer dan de detecterende maatregelen. Moet u rapporteren in termen van een ander raamwerk, zoals het NIST Cybersecurity Framework, dan helpen de concepten bij de vertaling.
Organisatorisch is het grootste thema
Ruim een derde van de maatregelen is organisatorisch. Dat sluit aan bij de praktijk: veel incidenten ontstaan niet door een ontbrekend technisch middel, maar door onduidelijke verantwoordelijkheden, onvoldoende leveranciersafspraken of een incidentproces dat niemand kent. Begin daarom niet alleen bij technische instellingen.
Van maatregel naar bewijs
Een auditor vraagt per toegepaste maatregel hoe die is ingericht en hoe u weet dat hij werkt. Leg daarom bij elke maatregel vast wie eigenaar is, welk beleid of welke procedure erbij hoort en waar het bewijs te vinden is. Denk aan een export van toegangsrechten, een verslag van een hersteltest of een overzicht van afgeronde bewustwordingstrainingen.