ISO 27001 Operational Capabilities attributes
Een van deze attributes zijn de Operational Capabilities, met termen als: Physical Security, Human Resource Security en Asset Management. Dat zijn natuurlijk vrij voor de hand liggende termen. Maar, is er een echt official ISO? definitie van deze 15 termen?
Ik heb naast natuurlijk Google ook gekeken in de 27000, 27001 en 27002, maar de definities staan daar niet in.
Conclusie (expert-level antwoord):
Nee, er bestaat geen officiële, normatief bindende ISO-definitie van de 15 Operational Capabilities in ISO/IEC 27002:2022. Ze zijn niet gespecificeerd of gedefinieerd in ISO/IEC 27000, 27001, noch volledig in 27002. De termen zijn bedoeld als taxonomisch hulpmiddel, niet als formele begrippen met een vaste definitie in de ISO-familie.
Achtergrond:
De attributen, inclusief de Operational Capabilities, zijn bedoeld om:
Controls te filteren of groeperen op basis van organisatorische behoeften,
Risicogebieden te koppelen aan relevante domeinen (zoals Physical Security),
En om automatisering of tooling (zoals GRC-software) te ondersteunen.
De 15 Operational Capabilities zijn:
Asset Management
Business Continuity
Compliance
Human Resource Security
Information Security Event Management
Information Transfer
Identity and Access Management
Physical Security
Secure Configuration
Supplier Relationships
System Acquisition, Development and Maintenance
Threat and Vulnerability Management
Use of Cloud Services
User Endpoint Devices
Workforce Planning
Wat zegt ISO er wél over?
De enige "semi-officiële" toelichting die ISO geeft, is te vinden in:
ISO/IEC 27002:2022 – Annex A, en
"ISO/IEC TS 27022" of ISO/IEC TR 27016 worden soms gebruikt als guidance, maar bevatten ook geen formele definities van deze attributen.
Wat doen experts en auditors dan?
In praktijk worden deze termen geïnterpreteerd op basis van gangbare security-praktijken (bijv. NIST, ENISA, ISACA).
Veel organisaties ontwikkelen eigen interpretatiekaders voor deze capabilities binnen hun ISMS/GRC-platform.
Er wordt vaak verwezen naar ISO/IEC 27005 (risicobeheer) voor context van toepassingsgebieden.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer Operationele Techniek (ISO)
Heb jij kennis van procesautomatisering en interesse in security en informatiebeveiliging? Solliciteer dan op de functie van (aankomend) Information Security Officer bij Hoogheemraadschap Hollands Noorder-kwartier in Heerhugowaard. Als ISO Opera-tionele techniek draag jij bij aan de veiligheid van onze informatie en systemen.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
