Een managementsysteem voor informatiebeveiliging (ISMS) ziet er voor iedere organisatie weer anders uit. Zaak is het om in kaart te brengen welke beveiligingsrisico’s uw organisatie loopt en vast te stellen op welke vlakken maatregelen moeten worden genomen.

Het opstellen van een managementsysteem voor informatiebeveiliging doet u altijd volgens de welbekende PDCA-stappen: plan, do, check, act.

• Plan: De eerste stap vormt het maken van een plan rondom het opstellen van een informatiebeveiligingsbeleid. Daarvoor is een totaalanalyse van uw organisatie noodzakelijk. Welke afdelingen en personen werken met vertrouwelijke gegevens, hoe wordt hier mee omgesprongen en wat zijn risicogebieden binnen uw organisatie wat betreft gegevensbescherming? Allereerst inventariseert u uw omgeving: welke veiligheidsrisico’s zouden interne relaties, externe relaties, klanten en werknemers kunnen veroorzaken? Vervolgens brengt u hierin met een risicoanalyse in kaart waar uw organisatie nog risico’s loopt. Door dit in kaart te brengen, weet u waar u maatregelen moet treffen. In een statement of applicability stelt u als organisatie vast welke aspecten van gegevensbeveiliging in uw organisatie aanwezig dienen te zijn.
• Do: In het statement of applicability heeft u overzichtelijk in kaart gebracht op welke punten u maatregelen moet treffen. In deze fase is het belangrijk deze maatregelen ook daadwerkelijk te implementeren in uw organisatie. Belangrijk is daarbij het vaststellen van richtlijnen: hoe dienen werknemers om te gaan met deze maatregelen? Hoe zorgt u dat deze maatregelen goed worden toegepast?
• Check: Helpen de geïmplementeerde maatregelen daadwerkelijk bij het beschermen van vertrouwelijke gegevens? Met behulp van kritieke prestatie indicatoren (KPIs) meet u in deze fase of uw genomen maatregelen effectief zijn.
• Act: In de laatste stap dient u aan de slag te gaan met de kennis die u vergaard heeft in de voorgaande stappen. Is uw informatiebeveiligingsbeleid volledig en effectief? Waar is nog verbetering mogelijk? Ga in deze fase na of de beoogde doelen zijn bereikt en neem waar nodig verbeteringsmaatregelen. Controleer of de uitgangspunten van stap 1 nog geldig zijn. Zo niet, dan dient u daar in deze fase doeltreffend op in te spelen.