Van losse documenten naar een gezamenlijke werkwijze
VORM wilde informatiebeveiliging aantoonbaar organiseren, mede omdat opdrachtgevers er bij tenders naar vroegen. Er waren al documenten en processen, maar volgens coördinator ICT Richard van Breugel ontbrak de samenhang en de aansluiting op ISO 27001. VORM koos IT als startpunt voor het traject met De Compliance Afdeling.
In dit klantverhaal beschrijven Richard en Maarten van Veen van DCA de samenwerking: samen risico’s en verantwoordelijkheden uitwerken, de informatie centraal vastleggen en de aanpak blijven onderhouden.
Waarom ISO 27001 zo relevant is voor projectontwikkelaars
VORM is een grote projectontwikkelaar, met iets meer dan zeventig werkmaatschappijen en projecten van honderden miljoenen euro’s. Binnen die context is informatiebeveiliging een voorwaarde voor professionele organisatie van projecten. “Gemeenten en andere opdrachtgevers vragen steeds vaker hoe je omgaat met data,” vertelt Richard van Breugel, coördinator ICT bij VORM. “ISO 27001 werd bij ons al een paar jaar geleden genoemd als iets wat ‘nodig zou gaan zijn’ bij tenders. Alleen: weten dát je iets moet, is iets heel anders dan het ook goed regelen.”
ISO 27001 is een internationaal erkend kader waarmee organisaties hun informatiebeveiliging structureel in kunnen richten. Zo kunnen ze risico’s, verantwoordelijkheid, beleid en controles binnen één samenhangend systeem managen.
“Eerlijk is eerlijk,” lacht Richard, “Ook voor ons voelde die certificering als een ‘moetje’. Je moet het er toch bij gaan doen, en het is best wel een taak om alles te doorgronden.” Die ervaring is herkenbaar voor veel organisaties, ziet Maarten van Veen van De Compliance Afdeling. “ISO 27001 wordt vaak gezien als een extra verplichting, terwijl het in de praktijk juist een strategisch fundament is. Je legt namelijk vast hoe je risico’s beheerst, wie waarvoor verantwoordelijk is en hoe je dat kunt aantonen.” Ook VORM staat er zo in. “We startten bewust bij IT,” zegt Richard: “Niet alleen is dat een beheersbaar startpunt, we laten zo ook aan de rest van de organisatie zien dat we hier serieus mee bezig zijn.”
Scope en rolverdeling in het beschreven traject
Het vertrekpunt: de IT-afdeling, de bestaande werkwijze en de eisen die VORM wilde invullen. Het interview beschrijft gezamenlijke sessies, documentatie, risicoanalyses en het vastleggen van verantwoordelijkheden. Het noemt geen volledige contractscope of formele certificaatscope voor alle werkmaatschappijen.
VORM: bracht de praktijk en bestaande documenten in en werkte met verschillende rollen binnen IT mee aan het uitwerken van de aanpak. Richard beschrijft hoe het team leerde waar informatie staat en wie waarvoor verantwoordelijk is.
DCA: begeleidde de sessies, lichtte de norm toe en werkte samen met VORM aan de documenten, risicoanalyses en taakverdeling. De Compliance Tool werd de centrale plek voor beleid, risico’s, maatregelen, taken en documenten.
Na het traject: het interview beschrijft blijvende betrokkenheid van DCA bij het actueel houden van de informatie. Software en begeleiding ondersteunen die werkwijze; VORM blijft zelf de organisatie die de afspraken in haar dagelijkse werk toepast.
VORM en De Compliance Afdeling: ISO 27001 naar de praktijk
Bij de start van het traject bleek al snel dat er nog weinig ingeregeld was. “Natuurlijk hadden we wel documenten en processen, maar die waren veelal ‘los’. Dat wil zeggen; er zat geen uniforme structuur achter,” licht Richard toe. “Bovendien sloten ze nog niet aan op de norm.” De Compliance Afdeling heeft daarom eerst ook vooral geluisterd. Maarten: “We beginnen altijd bij de organisatie zelf: wat zijn hun doelen, hoe werken ze nu en welke eisen stellen hun opdrachtgevers en ketenpartners? Als het nog niet geregeld is, ligt dat eigenlijk nooit aan een gebrek aan goede intenties. Het is vooral kijken: welke informatie hebben we, wat missen we nog, en hoe zorgen we voor samenhang daarin?”
Samen met VORM werden daarna diverse stukken opgesteld, risicoanalyses gemaakt en verantwoordelijkheden vastgelegd. In meerdere sessies en door afstemming met verschillende rollen binnen de IT-afdeling, werkten beide bedrijven samen toe naar de certificering. “Zonder hen hadden we dit niet voor elkaar gekregen,” zegt Richard. “Juist als je er niet in thuis bent, wil je alles heel exact doen: nóg meer uitzoeken, proberen te begrijpen wáárom iets gevraagd wordt of wat ermee bedoeld wordt. Maarten heeft het traject niet alleen begeleid en uitgelegd, maar hij weet vanuit zijn rol ook precies wanneer iets voldoet.” Dan, grijnzend: “Dat is voor ons heel belangrijk, want wij willen alles perfect.”
VORM maakt daarbij gebruik van de tool van De Compliance Afdeling. “Dat is de centrale plek waar alles samenkomt,” zegt Maarten. “Beleid, risico’s, maatregelen, taken en documenten. Het voorkomt dat informatie versnipperd raakt, en maakt aantoonbaarheid voor iedereen makkelijker. Ook wanneer er nieuwe informatie bij komt, kan dat op één plek geborgd worden.” Maarten is, net als Richard, pragmatisch ingesteld. “Compliance gaat niet om het verzamelen van zoveel mogelijk normen, maar om het inrichten van je aanpak. Die moet aansluiten bij je organisatie, en jou vooral helpen om aantoonbaar professioneel te kunnen werken.”
Wat levert ISO 27001 VORM concreet op?
De impact van ISO 27001 zit voor VORM vooral in de manier waarop informatiebeveiliging nu is geborgd. “Natuurlijk is het fijn om dat certificaat te hebben en te kunnen zeggen dat je aan die norm voldoet,” zegt Richard. “Maar belangrijker is dat we nu altijd kunnen laten zien: zó hebben we het ingericht, zó werken we.” Processen, verantwoordelijkheden en documentatie zijn vastgelegd, waardoor informatiebeveiliging niet meer afhankelijk is van de kennis van bepaalde personen. Dat merk je vooral richting audits. “Een audit blijft natuurlijk spannend,” geeft Richard toe. “Maar we gaan er nu wel met veel meer zekerheid in, omdat we weten waar alles staat en wie waarvoor verantwoordelijk is. Dat scheelt ook enorm in de voorbereiding.”
Ten tijde van het interview was ISO 27001 binnen VORM verankerd in de organisatie en stond een volgende audit op de planning. “Het is een continue cyclus,” vertelt Richard. “Want beleid hébben betekent ook dat je het moet blijven stroomlijnen.” Volgens Maarten is het precies dat waar compliance om draait: “Organisaties veranderen, mensen wisselen, systemen worden uitgebreid,” legt hij uit. “Juist dáár valt voor veel organisaties de winst te behalen, of dat nu om ISO 27001 gaat of een andere certificering. De grip zit ‘m in het feit dat je makkelijk kunt meebewegen.”
In het interview beschrijven Richard en Maarten ook de betrokkenheid van DCA na het traject richting certificering. Naast de tool omvatte die samenwerking ondersteuning bij het actueel houden van informatie. Zij beschreven dat er wekelijks mensen aan de slag waren om informatie bij te werken. “Het is niet zo dat compliance voor ons nu ineens heel simpel is geworden,” besluit Richard, “maar het is nu wél goed geregeld.”
Waarop zijn de resultaten gebaseerd?
De resultaten op deze pagina zijn ervaringen uit het bestaande, door DCA gepubliceerde interview met Richard van Breugel van VORM en Maarten van Veen van DCA. Richard beschrijft meer overzicht, duidelijkere verantwoordelijkheden en meer zekerheid bij auditvoorbereiding. De centrale documentatie en gezamenlijke risicoanalyses zijn de beschreven veranderingen in de werkwijze.
Richard noemt in het interview een behaald certificaat. Dit klantverhaal bevat geen certificaat, auditrapport of onafhankelijke meting waarmee je de actuele geldigheid, formele scope, tijdwinst of het effect op beveiligingsincidenten kunt vaststellen. Er wordt daarom geen percentage, doorlooptijd of garantie aan verbonden. De ervaringen gelden voor het beschreven traject.
Wil je weten welke stappen bij jullie passen? Lees de uitleg over ISO 27001, het certificeringsstappenplan of bekijk onze implementatiebegeleiding.