Normity en ISO 27002

ISO 27002 is een internationale praktijkrichtlijn voor informatiebeveiliging. De norm beschrijft 93 concrete beveiligingsmaatregelen (controls) die organisaties kunnen inzetten om risico's te beheersen. ISO 27002 zelf is niet certificeerbaar — hij fungeert als handleiding bij de wel-certificeerbare ISO 27001. De huidige versie is ISO 27002:2022.

ISO 27001 is certificeerbaar en bevat eisen aan het managementsysteem. ISO 27002 is een ondersteunende praktijkgids met uitgewerkte beveiligingsmaatregelen. Je certificeert tegen ISO 27001 en gebruikt ISO 27002 als naslag: wát moet je regelen (27001) versus hóe regel je het (27002).

ISO 27002:2022 groepeert 93 maatregelen in vier thema's: organisatorisch (37 controls over beleid, rollen, leveranciersrelaties), mensen (8 controls over training, incidenten, discipline), fysiek (14 controls over fysieke toegang en apparatuur) en technologisch (34 controls over IT-beheer, cryptografie, monitoring).

Attributes zijn labels die je in ISO 27002:2022 aan elke control kunt koppelen: control type (preventief/detectief/correctief), informatiebeveiligingseigenschap (vertrouwelijkheid/integriteit/beschikbaarheid), cybersecurityconcept, operationele capability en security domain. Hiermee filter je controls per doel of organisatiecontext.

Nee — ISO 27002 is een selectiemenu, geen verplichte lijst. Via een risicobeoordeling bepaal je welke controls relevant zijn voor jouw organisatie. Alle keuzes (inclusief wat je níet toepast, met onderbouwing) leg je vast in de verklaring van toepasselijkheid (VvT/SoA), een verplicht document onder ISO 27001.

Ja — elf nieuwe controls zijn toegevoegd, gericht op moderne risico's: threat intelligence, cloudsecurity, ICT-continuïteit, fysieke monitoring, configuratiemanagement, informatielekkagepreventie, data masking, datalekken-melding, webfilters, secure coding en het identificeren van juridische en regelgevingsvereisten.

Zeker. ISO 27002 is een waardevol naslagwerk voor elke organisatie die informatiebeveiliging serieus neemt, ook zonder certificeringsambitie. De controls geven een praktische richtlijn bij het opstellen van beleid, het invoeren van maatregelen of het voldoen aan specifieke eisen uit NIS2, BIO of NEN 7510.

ISO 27002 is internationaal. De BIO is de Nederlandse overheidsvariant (gebaseerd op ISO 27002), NEN 7510 de Nederlandse zorgvariant. Alle drie leunen zwaar op ISO 27002 als controls-bibliotheek, met per context extra eisen zoals patiëntgeheim (7510) of overheidsclassificatie (BIO).