Ik werk voor een organisatie die al sinds 2006 ISO27001 gecertificeerd is. Ik kan je als advies meegeven om niet zelf te gaan knutselen maar je door een gerenomeerde organisatie te laten begeleiden. Je loopt namelijk de kans om vast te lopen in een woud van vaagheden. De eerste vraag die je jezelf moet stellen is of je een ISO27001 certificaat wilt, of dat je in control wilt zijn. Voor dat laatste heb je geen certificaat nodig. Als een klant van je vraagt om zo'n cerificaat, dan heb je uiteraard weinig keus als je die kalnt wilt behouden. Belangrijk is dan om eerst vast te stellen waarop je wilt certifceren. Dit kan al op een enkelvoudige server, maar uiteraard ook op je gehele infrastructuur. Belangrijkste is de 'tone at the top'. De directie dient het uit te stralen en moet het ook willen. Als dat niet het geval is, moet je gezonde twijfel hebben of je het avontuur wilt aangaan. je kunt als start een zgn 0(nul)-audit laten uitvoeren. Bijvoorbeeld door DEKRA of BSI. Zij kunnen dan aangeven in welke mate je ...