Open RoelBrandDeurne opened 3 months ago
@RoelBrandDeurne Dankjewel voor de aanscherping en de heldere toelichting. Voor de terugkoppeling op jouw feedback over de 27002 / Annex A wachten wij op de publicatie van de maatregelen/richtlijnen voor de BIO2. Daaruit blijkt beter welke maatregelen en op welke manier verplicht worden. Mogelijk geeft de publicatie al voldoende duidelijkheid. We verwachten de maatregelen/richtlijnen volgende week te publiceren.
@dvebzk, in het nieuwe hoofdstuk "BIO2 inleiding" krijg de NEN-ISO/IEC 27002 volgens mij een te zware rol. Hij wordt gelijk gesteld met de verplichte overheidsspecifieke maatregelen en richtlijnen. Dat is niet hoe de ISO27001 werkt en gaat leiden tot veel te veel kosten voor overmatige beveiligingsmaatregelen, door organisaties die denken dat de 27002 integraal moet worden geïmplementeerd.
Voorgestelde wijziging
NEN-EN-ISO 27001 moet worden toegepast op het formuleren van eisen voor het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsysteem voor informatiebeveiliging en het vaststellen van het toepassingsgebied (de reikwijdte) van dit managementsysteem. De beschreven context uit de BIO moet worden inbegrepen bij het het bepalen van de context van de organisatie.
De verplichte overheidsspecifieke maatregelen en richtlijnen uit de BIO moet worden toegepast bij het formuleren van beheersmaatregelen, hierbij rekening houdend met de omgeving(en) waarin de informatiebeveiligingsrisico’s gelden.
NEN-ISO/IEC 27002 behoort te worden toegepast bij het formulieren van beheersmaatregelen. De "Richtlijnen" in die norm gelden als best-practice, niet als dwingend voorschrift. Organisaties bepalen zelf het ontwerp van beheersmaatregelen, rekening houdend met de omgeving(en) waarin de informatiebeveiligingsrisico’s gelden, de stand van de techniek en de uitvoeringskosten.
Waar nodig en relevant mag bij het formuleren van beheersmaatregelen verder gebruik gemaakt worden van andere normen en richtlijnen, zoals voor zorginformatie de NEN 7510 en voor Operational Technology (OT) de CSIR en IEC 62443.
Het is onduidelijk en volgens mij zelfs onjuist wat de bedoeling is met de ISO/IEC 27002 in de huidige tekst.
In de tekst staat nu:
De 27001 verwijst echter helemaal niet naar de 27002. Die verwijst in 6.1.3 onder c naar Bijlage A. En die bijlage is wezenlijk verschillend van de 27002. De 27001 Bijlage A gebruikt in beheersmaatregelen het werkwoord "moeten" (shall) terwijl in de 27002 op die plaats "behoren" (should) gebruikt wordt. Moeten is dwingend. Behoren is adviserend.
Voorkom dat gebruikers van de BIO2 denken dat ze alle richtlijnen in de 27002 onverkort moeten implementeren alsof het overheidsmaatregelen uit de BIO1 waren.
Verder staat in de laatste zin van voorgaand citaat een tegenstrijdigheid tussen enerzijds het dwingend (moeten) gebruiken van de 27002 bij het formuleren van beheersmaatregelen en anderzijds de ruimte om de 27002 te vervangen door andere normen en richtlijnen. Ik stel voor hier dicht te blijven bij Opmerking 3 uit de NEN-ISO/IEC 27001 6.1.3 onder c: "De lijst van beheersmaatregelen voor informatiebeveiliging in bijlage A is niet volledig en zo nodig kunnen er aanvullende beheersmaatregelen voor informatiebeveiliging in worden opgenomen."
Tot slot wordt verwezen naar de Engelstalige normen. Dat lijkt me niet de bedoeling.
Voorgestelde wijziging: Herschrijf de tekst als volgt:
Impact van de wijziging.
Aanvullende informatie Geen