Wat zijn veelgemaakte fouten bij ISO 27001-certificering?

De meest gemaakte fouten bij ISO 27001-certificering zijn een onvolledige risicoanalyse, beleid dat niet in de praktijk wordt toegepast, een slecht voorbereide interne audit en een ISMS dat te complex of juist te minimaal is opgezet. Deze fouten zorgen er samen voor dat organisaties de externe audit niet halen, of een certificaat behalen dat weinig bijdraagt aan echte informatiebeveiliging. In dit artikel bespreken we de meest voorkomende valkuilen en hoe je ze voorkomt.

Waarom mislukken ISO 27001-trajecten zo vaak?

ISO 27001-trajecten mislukken het vaakst omdat organisaties de norm behandelen als een administratief project in plaats van een veranderingsproces. Het certificaat wordt het doel, terwijl de norm bedoeld is als middel om informatiebeveiliging structureel te verbeteren. Zonder draagvlak vanuit het management en betrokkenheid van de werkvloer blijft het traject steken in papierwerk.

Een tweede veelvoorkomende oorzaak is onderschatting van de benodigde tijd en capaciteit. Organisaties starten een traject met goede bedoelingen, maar merken halverwege dat de dagelijkse operatie de aandacht opeist. Het ISO 27001-project schuift steeds verder naar achteren, deadlines worden gemist en de motivatie daalt. Wie zonder duidelijke planning en eigenaarschap begint, loopt een groot risico op een moeizaam of mislukt traject.

Tot slot spelen onduidelijke rolverdeling en gebrek aan kennis een grote rol. Als niemand precies weet wie verantwoordelijk is voor welk onderdeel van het ISO 27001-traject, ontstaan er hiaten in de implementatie die pas tijdens de externe audit aan het licht komen.

Welke fouten worden gemaakt bij de risicoanalyse?

De meest gemaakte fouten bij de risicoanalyse voor ISO 27001 zijn het te oppervlakkig inventariseren van informatie-assets, het niet betrekken van de juiste medewerkers en het hanteren van een methodiek die niet aansluit bij de organisatie. Een risicoanalyse die op papier klopt maar de werkelijkheid niet weerspiegelt, biedt geen basis voor effectieve beheersmaatregelen.

Veel organisaties kopiëren een generieke lijst met risico’s zonder deze te vertalen naar de eigen bedrijfsvoering. Het gevolg is dat risico’s die voor de organisatie werkelijk relevant zijn, worden gemist, terwijl tijd wordt besteed aan risico’s die in de praktijk nauwelijks spelen. De risicoanalyse moet aansluiten op de specifieke context, processen en systemen van de organisatie.

Een andere veelgemaakte fout is dat de risicoanalyse eenmalig wordt uitgevoerd en daarna in de la verdwijnt. ISO 27001 vereist een cyclisch proces: risico’s veranderen mee met de organisatie, nieuwe technologieën en externe dreigingen. Wie de risicoanalyse niet periodiek herziet, werkt met verouderde inzichten en mist nieuwe kwetsbaarheden.

Hoe zorgt papieren beleid voor problemen bij de audit?

Papieren beleid zorgt voor problemen bij de ISO 27001-audit omdat certificeerders niet alleen controleren of beleid bestaat, maar ook of het daadwerkelijk wordt nageleefd en begrepen. Beleidsdocumenten die zijn opgesteld om aan de norm te voldoen maar niet zijn ingebed in de dagelijkse werkwijze, worden tijdens de audit direct zichtbaar als zwak punt.

Dit probleem ontstaat wanneer beleid wordt geschreven door een consultant of projectteam, zonder dat de betrokken medewerkers zijn geraadpleegd of getraind. Het resultaat is documentatie die formeel aan de eisen voldoet, maar die niemand kent of toepast. Tijdens de audit stellen certificeerders gerichte vragen aan medewerkers. Als die het beleid niet kunnen uitleggen of er in de praktijk van afwijken, leidt dat tot bevindingen of zelfs een niet-conformiteit.

Goed beleid is concreet, begrijpelijk en afgestemd op de manier waarop de organisatie werkt. Het beschrijft niet alleen wat er moet gebeuren, maar ook hoe en door wie. Beleid dat te abstract of te juridisch van toon is, wordt in de praktijk genegeerd, hoe goed de intenties ook zijn.

Wat gaat er mis met de interne audit voor ISO 27001?

Bij de interne audit voor ISO 27001 gaat het het vaakst mis doordat organisaties de audit te laat plannen, te oppervlakkig uitvoeren of de bevindingen niet opvolgen. De interne audit is bedoeld als serieuze voorbereiding op de externe certificeringsaudit, niet als formaliteit om af te vinken.

Een veelgemaakte fout is dat de interne audit wordt uitgevoerd door iemand die ook verantwoordelijk is voor de onderdelen die worden geauditeerd. ISO 27001 vereist dat de auditor onafhankelijk is van het geauditeerde gebied. Wie zijn eigen werk controleert, mist de kritische blik die nodig is om echte tekortkomingen te signaleren.

Daarnaast worden bevindingen uit de interne audit te vaak niet vertaald naar concrete verbeteracties. Een bevinding zonder opvolging is een gemiste kans: het probleem blijft bestaan en wordt later alsnog aangetroffen door de externe auditor. De interne audit is waardevol juist omdat het de ruimte biedt om tekortkomingen te herstellen voordat de externe beoordeling plaatsvindt.

Wanneer is een ISMS te complex of te minimaal opgezet?

Een ISMS is te complex opgezet wanneer de documentatie, processen en procedures zwaarder zijn dan de organisatie aankan of nodig heeft. Een ISMS is te minimaal wanneer het onvoldoende dekking biedt voor de werkelijke risico’s en processen van de organisatie. Beide extremen leiden tot problemen: het ene bij de uitvoering, het andere bij de audit.

Organisaties die voor het eerst certificeren, neigen soms naar overcompliceren. Ze nemen sjablonen over van grote bedrijven of kopiëren uitgebreide frameworks die niet passen bij hun omvang of volwassenheidsniveau. Het gevolg is een ISMS dat niemand begrijpt, niemand bijhoudt en dat daardoor snel veroudert.

Aan de andere kant zijn er organisaties die het ISMS zo lean mogelijk willen houden en daardoor essentiële onderdelen weglaten. Denk aan ontbrekende procedures voor incidentbeheer, geen vastgelegde toegangsbeheerprocessen of een risicoanalyse die te weinig diepgang heeft. Een goed ISMS is evenredig aan de omvang en complexiteit van de organisatie: niet groter dan nodig, maar wel volledig genoeg om de norm te dekken en de organisatie te beschermen.

Hoe voorkom je dat medewerkers buiten het ISMS werken?

Medewerkers werken buiten het ISMS wanneer de procedures die daarin zijn vastgelegd niet aansluiten op hun dagelijkse werk, te omslachtig zijn of onvoldoende bekend zijn. De oplossing is niet meer controle, maar betere inbedding: procedures die logisch aanvoelen, training die aansluit bij de praktijk en een cultuur waarin informatiebeveiliging als gezamenlijke verantwoordelijkheid wordt ervaren.

Een praktische stap is het betrekken van medewerkers bij het opstellen van procedures. Wie meedenkt over hoe een proces het beste kan worden ingericht, is eerder geneigd het ook te volgen. Procedures die van bovenaf worden opgelegd zonder uitleg of context, roepen weerstand op.

Daarnaast helpt het om bewustwording structureel te maken. Eenmalige trainingen zijn onvoldoende; medewerkers hebben regelmatige herhaling nodig om veilig gedrag te internaliseren. Gerichte trainingen die aansluiten bij de rol en de risico’s van medewerkers zijn effectiever dan generieke e-learningmodules. Tot slot is het belangrijk dat leidinggevenden het goede voorbeeld geven: als het management de procedures niet serieus neemt, doet de rest van de organisatie dat ook niet.

Hoe Kwinzo helpt bij een succesvolle ISO 27001-certificering

Wij begeleiden organisaties binnen zorg, ICT en onderwijs bij het volledige ISO 27001-traject, van de eerste nulmeting tot de voorbereiding op de externe audit. Onze aanpak is gericht op een ISMS dat écht werkt in de praktijk, niet alleen op papier. Concreet bieden wij:

• Implementatiebegeleiding waarbij de norm wordt afgestemd op jouw bedrijfsvoering, niet andersom
• Een professionele interne audit als generale repetitie voor de externe certificeringsaudit, uitgevoerd door een onafhankelijke auditor
• Maandelijkse workshops voor Security Officers om kennis te verdiepen en praktijkervaringen te delen
• Een eigen ISMS-tool die het beheer van je managementsysteem overzichtelijk en efficiënt maakt
• Begeleiding op maat, van doe-het-zelf met ondersteuning tot volledige begeleiding door onze consultants

Wil je weten welke fouten jouw organisatie riskeert en hoe je die voorkomt? Neem contact op voor een vrijblijvend adviesgesprek, waarbij we een concrete inschatting maken van de doorlooptijd, benodigde inzet en kosten voor jouw situatie.