Waarom informatiebeveiliging?

Informatiebeveiliging bestaat uit alle maatregelen binnen een organisatie die worden ingezet om informatie te beveiligen tegen verkeerd of crimineel gebruik. Informatie in applicaties, op servers, computers en in een laptoptas.

Vaak wordt door organisaties binnen het MKB onderschat hoe belangrijk informatiebeveiliging voor de organisatie is. De gevolgen van een gebrek aan beveiliging zijn namelijk ernstig, en de kans is inmiddels 1 op 8. Een lek in de beveiliging kan leiden tot een datalek, waardoor bijvoorbeeld persoonsgegevens op straat komen te liggen, met hoge boetes of imagoschade tot gevolg. Ook leidt een gebrek aan beveiliging steeds vaker tot diefstal van geld, vanuit uw organisatie of bij uw klanten.

Kortom, het onvoldoende op orde hebben van informatiebeveiliging kan leiden tot grote schade.

Verschil tussen een certificaat en een assurance-rapport

Het uitbesteden van bedrijfsprocessen is tegenwoordig gemeengoed. Focus op de kernactiviteiten moet zorgen voor het behalen van de doelstellingen, bovendien kunnen externe dienstverleners vaak tegen lagere kosten een hogere kwaliteit leveren. Uitbesteden biedt dus veel voordelen. Er is echter ook een uitdaging als u als organisatie processen uitbesteedt. U blijft namelijk zelf verantwoordelijk voor de uitbestede processen. Service-organisaties kunnen op twee manieren assurance van de dienstverlening aantonen:

• Door middel van een certificaat (bijvoorbeeld ISO 27001):

Voor het behalen van zo’n certificaat toetst een geaccrediteerde organisatie of uw organisatie voldoet aan de eisen van de (ISO)-norm. Met het certificaat kan dan aangetoond worden dat een onafhankelijke partij heeft vastgesteld dat uw organisatie controle heeft over het volledige informatiesysteem conform de norm.

• Door middel van een IT audit (bijvoorbeeld ISAE 3402) met bijbehorende assurance rapportage:

IT audits worden uitgevoerd door erkende gekwalificeerde IT auditors uit het Nederlandse Orde van Register EDP-Auditors (NOREA) register. Tijdens een IT audit worden de kwaliteitsaspecten van informatietechnologie beoordeeld. Dit wordt gedaan op basis van intern vastgestelde beheersmaatregelen. Uit een IT audit volgt een assurance rapport waarin de bevindingen van de IT auditor zijn opgenomen. Het assurance-rapport vormt een sluitstuk waarmee de uitvoering van beheersingsmaatregelen wordt bevestigd door register EDP auditor.

Waar een certificaat zoals ISO 27001 voldoet aan de onafhankelijke ISO norm, voldoet een assurance rapport zoals ISAE 3402 aantoonbaar aan de wens van de organisatie. De beheersingsmaatregelen die zijn opgenomen in een assurance rapport worden specifiek ingericht voor de organisatie, hier is dus in tegenstelling tot ISO 27001 geen normenkader voor opgesteld.