Wat is ISO 27001-certificering en wat doet de auditor eigenlijk?

In essentie beantwoordt de ISO 27001-certificering één vraag:

Wordt informatiebeveiliging goed beheerd en in overeenstemming met de norm?

Meer specifiek:

• Kan een externe auditor erop vertrouwen dat de informatiebeveiliging goed wordt beheerd?
• Wordt dit binnen de hele organisatie op een consistente manier beheerd?
• Zijn beslissingen risicogebaseerd en worden ze uitgevoerd?
• Werkt het informatiebeveiligingsbeheersysteem (ISMS) ook echt in de praktijk?

Certificering gaat niet om perfectie. Het gaat om het systematisch en betrouwbaar beheren van informatiebeveiligingsrisico's. Laten we eens kijken wat een audit precies inhoudt (en wat niet), en kijken naar de mindset van een auditor. Hiermee willen we u geruststellen voor de komende audits.

Wat ISO 27001-certificering wel en niet inhoudt

Veel organisaties hebben een verkeerd beeld van de ISO 27001-audit voordat ze deze ondergaan. Laten we een paar veelvoorkomende misvattingen uit de wereld helpen.

ISO 27001-certificering is niet:

❌ Missie om fouten op te sporen

❌ Documentatie schoonheidswedstrijd

❌ Technische penetratietest

❌ Een eenmalige veiligheidsinspectie

Auditors zijn geen ethische hackers die proberen in te breken in uw systemen. Het zijn geen consultants die improviseren met best practices of uw beveiligingsopzet herontwerpen. Ze werken volgens ISO-richtlijnen, die strikt bepalen hoe certificeringsaudits moeten worden uitgevoerd. Dit betekent dat ze alleen non-conformiteiten kunnen signaleren wanneer er sprake is van een duidelijke niet-nageleefde vereiste van ISO 27001, en niet direct op basis van persoonlijke mening.

ISO 27001-certificering is echter een garantie. Het is een gestructureerde, op risico's gebaseerde evaluatie om te bepalen of uw informatiebeveiligingsbeheersysteem (ISMS) functioneert zoals bedoeld.

In de praktijk betekent dit dat de auditor beoordeelt of:

✅ Risico's worden systematisch geïdentificeerd en beoordeeld.

✅ Op basis van die risico's worden passende waarborgen geselecteerd.

✅ Verantwoordelijkheden zijn duidelijk omschreven

✅ De beveiligingsprestaties worden gecontroleerd

✅ Problemen worden verholpen en verbeteringen worden doorgevoerd.

Het doel is niet om perfecte beveiliging te bieden. Het doel is om aan te tonen dat informatiebeveiliging wordt gecontroleerd, beheerd en continu verbeterd in overeenstemming met de norm.

Wat doet de auditor eigenlijk?

Een ISO 27001-audit kan worden bekeken aan de hand van drie kernstappen voor verificatie.

1. Bestaat het ISMS?

Eerst controleert de auditor of uw ISMS daadwerkelijk aanwezig is. Hij beoordeelt essentiële elementen zoals:

• De gedefinieerde ISMS-scope
• Risicobeoordeling en behandelingsresultaten
• De verklaring van toepasselijkheid
• Vereiste beleidsregels en gedocumenteerde informatie
• Interne audits en managementbeoordelingen
• Belangrijkste activa en controlegegevens

Het doel hiervan is eenvoudig: vaststellen of er een gestructureerd, functionerend managementsysteem is.

2. Voldoet het aan de ISO 27001-vereisten?

Vervolgens vergelijkt de auditor uw ISMS rechtstreeks met de norm. Hij beoordeelt of aan de vereiste clausules is voldaan, of het risicobeheer wordt uitgevoerd zoals gedefinieerd en of de controles op de juiste wijze zijn geselecteerd en gemotiveerd.

Ze richten zich vooral op objectief bewijs. Als een duidelijke vereiste ontbreekt of slechts gedeeltelijk wordt vervuld, kan er een non-conformiteit worden vastgesteld. De uitkomst van de audit is dan ook duidelijk: gedocumenteerde tekortkomingen die moeten worden gecorrigeerd.

3. Komt de werkelijkheid overeen met het ISMS?

Ten slotte controleert de auditor of de praktijk overeenkomt met de documentatie. Dit omvat:

• In gesprek met medewerkers
• Records en logboeken controleren
• Vervolgvragen stellen
• Observeren hoe processen in de praktijk werken

Ze testen de consistentie. Als toegangsbeoordelingen elk kwartaal moeten plaatsvinden, moet dit worden bevestigd in de administratie. Als training verplicht is, moeten werknemers hiervan op de hoogte zijn.

In wezen beantwoordt de auditor één belangrijke vraag:

Komt het gedrag in de praktijk overeen met wat uw ISMS beschrijft?

Lees meer over de ISO 27001-certificeringsaudit in ons blogartikel:ISO 27001-certificering: wat gebeurt er tijdens de certificeringsaudit?

De mentaliteit van de auditor en hoe daarmee om te gaan

Als je begrijpt hoe auditors denken, verloopt het proces veel soepeler. Auditors zijn bewijsgericht, systematisch, neutraal en gebonden aan strikte accreditatieregels. Het is niet hun taak om te adviseren, je systeem te herontwerpen of subjectieve beoordelingen te geven. Ze kunnen geen bevindingen naar voren brengen zonder een duidelijke niet-voldane vereiste en ze accepteren geen vage verklaringen zonder objectief bewijs.

Ze zullen gestructureerde vragen stellen, bewijs vragen en controleren of de documentatie overeenkomt met de praktijk. Als duidelijk niet aan een vereiste is voldaan, zullen ze een non-conformiteit melden. Het is niet hun taak om u te laten slagen of zakken, maar om te bepalen of aan de vereisten van de norm is voldaan.

Voor organisaties moet de aanpak eenvoudig zijn: wees duidelijk, feitelijk en transparant. Geef tijdig antwoord, onderbouw uitspraken met bewijsmateriaal, geef problemen openlijk toe en laat zien hoe kwesties worden gecorrigeerd. Auditors verwachten geen perfectie, maar wel eerlijkheid en structuur.

Wat audits moeilijk maakt, is meestal te vermijden: vragen ontwijken, informatie verbergen, je eigen documentatie tegenspreken of te veel uitleg geven zonder bewijs. Transparantie bouwt vertrouwen op en vertrouwen is uiteindelijk wat ISO 27001-certificering wil aantonen.

Uiteindelijk draait het allemaal om vertrouwen

ISO 27001-certificering gaat niet over het bewijzen dat er nooit iets mis zal gaan. Geen enkele organisatie is risicovrij.

Het gaat erom aan te tonen dat u:

🔎 Begrijp uw risico's op het gebied van informatiebeveiliging

🎯 Beheer ze systematisch

🗺️ Volg uw vastgestelde processen

🏆 Problemen oplossen en continu verbeteren

Als een onafhankelijke auditor erop kan vertrouwen dat uw informatiebeveiliging goed en consistent wordt beheerd, kunnen uw klanten, partners en toezichthouders dat ook.