ISO 27001 versus ISO 27002
Aangezien ISO 27000 een reeks normen is die door ISO zijn geïnitieerd om de veiligheid en beveiliging binnen de organisaties wereldwijd te waarborgen, is het de moeite waard om het verschil te kennen tussen ISO 27001 en ISO 27002, twee van de normen in de ISO 27000-serie. Deze normen zijn in het leven geroepen ten behoeve van de organisaties en ook om de klanten een kwaliteitsvolle dienstverlening te bieden. Dit artikel analyseert de verschillen tussen ISO 27001 en ISO 27002.
Wat is ISO 27001?
De ISO 27001-norm is bedoeld om de informatiebeveiliging en gegevensbescherming in organisaties over de hele wereld te waarborgen. Deze norm is zo belangrijk voor bedrijfsorganisaties bij het beschermen van hun klanten en vertrouwelijke informatie van de organisatie tegen bedreigingen. Implementatie van het informatiebeveiligingsbeheersysteem zou de kwaliteit, veiligheid, service en productbetrouwbaarheid van de organisatie waarborgen die op het hoogste niveau kan worden gewaarborgd.
Het primaire doel van de standaard is het bieden van vereisten voor het opzetten, implementeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS). In de meeste bedrijven worden de beslissingen om dit soort normen over te nemen genomen door het topmanagement. Ook ontstaat de vereiste om dit soort informatiebeveiligingssysteem voor de organisatie te hebben als gevolg van verschillende factoren, zoals organisatiedoelen en -doelstellingen, beveiligingseisen, grootte en structuur van de organisatie, enz.
In de vorige versie van de standaard uit 2005 werd deze ontwikkeld op basis van de PDCA-cyclus, het Plan-Do-Check-Act-model om de processen te structureren en dat was op een manier om de principes van de OECG-richtlijnen weer te geven. De nieuwe versie in 2013 legt de nadruk op het meten en evalueren van de effectiviteit van de organisatieprestaties in ISMS. Ook is er een onderdeel op basis van uitbesteding opgenomen en wordt er meer aandacht besteed aan de informatiebeveiliging in organisaties.
Wat is ISO 27002?
De ISO 27002-norm is oorspronkelijk ontstaan als ISO 17799-norm die is gebaseerd op de praktijkcode voor informatiebeveiliging. Het belicht verschillende beveiligingsmechanismen voor organisaties met de richtlijnen van ISO 27001.
De standaard is opgesteld op basis van verschillende richtlijnen en principes voor het initiëren, implementeren, verbeteren en onderhouden van informatiebeveiligingsbeheer binnen een organisatie. De feitelijke controles in de norm zijn gericht op specifieke vereisten via een formele risicobeoordeling. De norm bestaat uit specifieke richtlijnen voor de ontwikkelingen in organisatorische beveiligingsnormen en effectieve beveiligingsbeheerpraktijken die nuttig zouden zijn bij het opbouwen van vertrouwen binnen interorganisatorische activiteiten.
De bestaande versie van de norm werd in 2013 gepubliceerd als ISO 27002: 2013 met 114 controles. De belangrijkste factor die moet worden opgemerkt, is dat in de loop der jaren een aantal branchespecifieke versies van ISO 27002 zijn ontwikkeld of in ontwikkeling zijn op het gebied van bijvoorbeeld de gezondheidssector, de fabricage, enz.
Wat is het verschil tussen ISO 27001 en ISO 27002?
• De ISO 27001-norm drukt de vereisten uit voor informatiebeveiligingsbeheer in organisaties en de ISO 27002-norm biedt ondersteuning en begeleiding voor degenen die verantwoordelijk zijn voor het initiëren, implementeren of onderhouden van informatiebeveiligingsbeheersystemen (ISMS).
• ISO 27001 is een controlestandaard die is gebaseerd op controleerbare vereisten, terwijl ISO 27002 een implementatiegids is die is gebaseerd op suggesties voor beste praktijken.
• ISO 27001 bevat een lijst met beheerscontroles voor de organisaties, terwijl ISO 27002 een lijst met operationele controles voor de organisaties bevat.
• ISO 27001 kan worden gebruikt om het informatiebeveiligingsbeheersysteem van de organisatie te controleren en te certificeren en ISO 27002 kan worden gebruikt om de volledigheid van het informatiebeveiligingsprogramma van een organisatie te beoordelen.
Afbeeldingsattributie: "CIAJMK1209" door John M. Kennedy T. (CC BY-SA 3.0)
