Klaar voor de audit van ISO 27001 en NEN 7510

Een opdrachtgever vraagt of je ISO 27001 hebt. Of een zorginstelling wil weten hoe je met NEN 7510 omgaat voordat ze met je in zee gaan. Je zoekt in een gedeelde map en vindt een beveiligingsbeleid van drie jaar geleden, geschreven door iemand die er niet meer werkt. De techniek is waarschijnlijk beter dan het document doet vermoeden, maar je kunt het niet laten zien. Dat gat tussen wat je doet en wat je kunt aantonen, is precies wat wij dichten.

Wat de norm echt van je vraagt

ISO 27001 is geen lijst met producten die je moet kopen. Het is een manier van werken: je bepaalt welke informatie belangrijk is, wat er mis kan gaan, welke maatregelen je daartegen neemt en hoe je controleert of die maatregelen werken. De norm schrijft niet voor welk merk firewall je gebruikt. Hij vraagt of je een onderbouwde keuze hebt gemaakt en of je die keuze regelmatig tegen het licht houdt.

Dat betekent dat een dik handboek je niet redt. Een auditor kijkt naar de praktijk. Wie heeft er toegang tot het klantenbestand, en klopt dat nog met de lijst van vorig jaar? Wat gebeurt er als een laptop verdwijnt? Wanneer is de laatste keer getest of een back-up ook echt terugkomt? Wij beginnen daarom bij je systemen en niet bij de tekstverwerker.

NEN 7510 in de zorg

Werk je met patiëntgegevens, dan is NEN 7510 de norm die daarbij hoort. De opbouw lijkt sterk op ISO 27001, maar er zitten extra eisen in die specifiek over zorginformatie gaan: wie mag een dossier inzien, hoe leg je dat vast en hoe kun je achteraf laten zien wie er wanneer heeft gekeken. Voor een huisartsenpost, een ggz-praktijk of een leverancier die software aan de zorg levert, is dat het onderdeel waar de meeste tijd in gaat zitten.

In de praktijk richten we die twee normen in één beweging in. De maatregelen overlappen voor het grootste deel, dus het heeft geen zin om twee losse trajecten te draaien. We houden bij welke maatregel bij welke norm hoort, zodat je later bij een audit precies kunt aanwijzen waar het bewijs zit. Data blijft binnen de EU, in onze beheerde omgevingen.

Techniek die het bewijs zelf levert

Het grootste verschil tussen een moeizame en een soepele audit zit in waar het bewijs vandaan komt. Als iemand een week lang schermafdrukken moet maken en lijstjes moet bijwerken, weet je dat het volgend jaar weer opnieuw gebeurt. Wij zorgen dat je systemen het bewijs zelf produceren. Toegangsrechten komen uit één centrale bron, logging wordt bewaard en is doorzoekbaar, back-ups melden of ze geslaagd zijn en een herstel wordt periodiek getest in plaats van aangenomen.

Monitoring draait daarbij continu, met een afgesproken escalatie als er iets misgaat. Om te controleren of de maatregelen ook echt houden, combineren we dit vaak met een Penetratietest: die laat zien wat een aanvaller in de praktijk kan, en de bevindingen daaruit zijn meteen bruikbaar materiaal voor je risicoanalyse.

Van inrichting tot audit

Wij richten in, repareren en documenteren, zodat de onafhankelijke auditor die jij kiest bij elke maatregel iets werkends te zien krijgt. Kost een maatregel meer dan hij oplevert voor jouw organisatie, dan vertellen we je dat direct in plaats van hem er stilletjes bij te zetten.

Zet je AI in binnen je processen, dan komt de EU AI Act er als aparte laag bij. Ook die eisen nemen we mee in dezelfde inventarisatie, zodat je niet over een jaar opnieuw begint. Het traject start met een gratis intake waarin we kijken hoe ver je al bent. Vaak blijkt dat er meer op orde is dan gedacht en dat het vooral aan de vastlegging ontbreekt. Het beheer daarna kun je aan ons overlaten of zelf oppakken; het dossier is van jou, net als de rest van wat we voor je bouwen.