Organisatie assessment ISO2700X, boekentips?

[CrawlFish]

Goedemorgen!

Recentelijk heb ik in het certificering topic geschreven hoe ik mijn start wil gaan maken in de Security tak van de IT.

Daar schreef ik:

''Zelf denk ik er aan om de richting van Security Consultant op te gaan, met name richting risico management/compliance. Mijn idee tot nu toe is dus met Comptia Security + verder te gaan, over 7 maanden is mijn opleiding als het goed is afgerond en wil ik full focus gaan leggen op het examen van Sec+. Daarna dacht ik er aan (maar wellicht ga ik hier al de mist in qua richting..) om b.v. ISO27001/ISO27002 te gaan halen, de vervolgstap weet ik dan niet helemaal.. CISO/CISA/? Hangt ook af van het werk wat ik tegen die tijd doe en de jaren ervaring heb ik begrepen.''

Nu heb ik van mijn werkgever een leuke uitdaging gekregen!

Ben werkzaam als ERP Consultant in een kleine organisatie, en ik mag binnenkort met mijn scriptie beginnen. Nu weet de directeur dat ik een toekomst ambieer in de security richting en heeft aangegeven wellicht belangstelling te hebben om een Security Consultant in huis te hebben, die zowel de eigen organisatie als de klanten kan gaan adviseren over de inrichting, en kijken hoe we dat kunnen gaan uitbreiden. Ook is hij bereid eventuele security cursussen te betalen als mijn scriptie goed beoordeeld word.

Samen zijn wij overeengekomen dat het wellicht een gaaf idee zou zijn voor mijn scriptie om a.d.h.v. de ISO2700X norm de eigen organisatie door te lichten en te adviseren hoe de informatiebeveiliging beter zou kunnen en een implementatieplan schrijven.

Aangezien ik dit aanschouw als de mogelijkheid om echt die kant op te gaan, wil ik dit goed doen.
Ik vroeg me af of jullie wellicht boekentips hebben op gebied van ISO2700X, een ISMS inrichten o.i.d.
Of algemene tips waar goed naar te kijken?

[Mikanzana]

Het praktijkboek NEN 7510 is een fantastisch document dat je op een toegankelijke manier door het geheel van informatiebeveiliging heenloopt. De NEN 7510 (ISO 27001/2 + 27799) is bedoeld voor zorginstellingen maar als je de zorgelementen weglaat is het nog steeds erg van toepassing, zeker een aanrader!

Minder formele bronnen/informatie hieromtrent vindt je bij bijvoorbeeld bij Praxiom: 27001 en 27002 die het toegankelijk toelichten.

Qua relevante blogs heb je ZBC (let op, tegengeluid), de Informatiebeveiliger (praktische tips) en Ius Mentis voor privacy. Vast nog meer, maar weet deze even niet uit mijn hoofd.

Daarnaast zijn er legio trainingen te volgen die je in een paar dagen door de materie helpen.

Hoop dat dit je op weg helpt!

[Killjoy]

ISO27001/2 gaat je qua risicomanagement niet zo heel veel verder helpen. Die norm zegt dat je het moet doen, maar niet hoe. Kijk daarvoor bijvoorbeeld naar ISO27005. Heb ik (nog) niet zelf gevolgd, maar onze interne auditors zijn erover te spreken.

Vraag is wel wat je wilt worden als je later groot bent ISO27001 gaat in de basis over de organisatie van informatiebeveiliging; een bedrijfskundige insteek met een invalshoek vanuit informatiebeveiliging. Het is een kwaliteitszorgsysteem dat als fundament heeft het integer handelen van de organisatie. De managementsystemen van normen als 27001, 14001 en 9001 e.d. zijn keurig op elkaar te plotten. Pas in de Annex A begint het echt op informatiebeveiliging te lijken.

Als je een meer IT-gerichte insteek wil, dan zou ik CISA/CISM overwegen.

Vermijd trouwens ISO30001. Je leert er weinig van en het open boek examen is letterlijk het overschrijven van hele lappen tekst. Met de hand... Heb niet eens de moeite gedaan het certificaat te downloaden.

Dus: voor je scriptie is ISO27001/2 een interessante insteek waarmee je veel kan leren over de organisatie van informatiebeveiliging. Mits je de gouden regel volgt: het is geen dogma. Kijk wat voor kwaliteitszorgmechanismen aanwezig zijn in de organisatie en hergebruik die (ISO heeft het niet voor niets over inbedden). Creëer geen papieren tijger, maar kijk wat past binnen een kleine organisatie zoals die waar jij werkt. Bereid besluitvorming voor en documenteer gemaakte keuzes. Kijk wat de medewerkers accepteren. Een maatregel zonder draagvlak is erger dan geen maatregel.


Oh, wellicht handig. Mijn achtergrond is procesbeheer/administratieve organisatie, daarna kwaliteitszorg. Daarbij kwam privacybescherming en informatiebeveiliging. De laatste jaren eigenlijk alleen privacy (of eerder: gegevensbescherming)