Een softwarebureau met ISO 27001 kiezen: waar je op let
Door Yassine Seghrouchni, oprichterBijgewerkt 5 min lezen
Het korte antwoord
Een ISO 27001-certificaat laat zien dat een softwarebureau informatiebeveiliging als managementsysteem heeft ingericht en dat een certificerende instelling dat periodiek toetst. Het zegt niet dat elke oplossing die het bureau bouwt vanzelf aan jouw eisen voldoet. Controleer daarom het certificaat, de scope en de instelling, en maak per project afspraken over data, toegang en beheer.
Over deze gids: geschreven door Your Tech Club, zonder ranglijst en zonder namen van andere bureaus. Hoe wij het zelf doen, staat apart onder Hoe Your Tech Club werkt.
Waar je op let bij een softwarebureau met ISO 27001
De eerste vier punten gaan over het certificaat zelf. De andere vier gaan over wat je eigenlijk wilt weten: hoe informatiebeveiliging terugkomt in jouw project.
Het certificaat is echt en geldig
Vraag het certificaat op. Daarop staan de naam van de gecertificeerde organisatie, de norm, de scope, de certificerende instelling en een geldigheidsdatum.
Controleer of de naam overeenkomt met de partij waarmee je het contract sluit, en of het certificaat nog geldig is.
Vraag in het gesprekMogen wij het certificaat zien, en is het afgegeven aan de organisatie waarmee wij contracteren?De certificerende instelling is geaccrediteerd
Een certificaat is zoveel waard als de instelling die het afgeeft. In Nederland accrediteert de Raad voor Accreditatie certificerende instellingen; in andere landen doet een vergelijkbare nationale instantie dat.
Een certificaat van een instelling zonder accreditatie geeft veel minder zekerheid.
Vraag in het gesprekWelke instelling heeft jullie gecertificeerd, en onder welke accreditatie?De scope dekt het werk dat jij afneemt
De scope beschrijft welk deel van de organisatie onder het managementsysteem valt: welke locaties, diensten en processen.
Valt softwareontwikkeling, hosting of beheer buiten die scope, dan zegt het certificaat weinig over het werk dat jij laat doen.
Vraag in het gesprekValt het werk dat wij bij jullie afnemen binnen de scope van het certificaat?Het bureau kan de maatregelen voor jouw project uitleggen
Bij ISO 27001 hoort een verklaring van toepasselijkheid: een overzicht van de beheersmaatregelen die de organisatie toepast, en waarom sommige niet.
Je hoeft niet alles te zien, maar een bureau moet kunnen uitleggen welke maatregelen voor jouw project het zwaarst wegen.
Vraag in het gesprekWelke beheersmaatregelen zijn voor ons project het belangrijkst, en hoe zien we die terug?Beveiliging zit in het ontwikkelproces
Een certificaat gaat over de organisatie. Wat jij wilt weten, is hoe het in je project zichtbaar wordt: wie toegang heeft tot code en omgevingen, hoe code wordt beoordeeld voordat hij live gaat, hoe gebruikte pakketten worden bijgehouden en hoe kwetsbaarheden worden opgelost.
Vraag in het gesprekHoe gaat een wijziging bij jullie van code naar productie, en wie kijkt ernaar?Afspraken over data en leveranciers liggen vast
Software draait bij hostingpartijen en gebruikt diensten van derden. Vraag waar je data staat, welke subverwerkers er zijn en hoe dat in een verwerkersovereenkomst is vastgelegd.
Bij AI-toepassingen hoort daar de vraag bij welke data naar welke modelleverancier gaat.
Vraag in het gesprekWaar staat onze data, welke partijen verwerken die en waar is dat vastgelegd?Incidenten en continuïteit zijn geregeld
Vraag wat er gebeurt als het misgaat: hoe een incident wordt gemeld, wie jou informeert en volgens welke afspraken.
Vraag ook wat er met je software gebeurt als de samenwerking stopt. Code en documentatie die van jou zijn, maken dat eenvoudig.
Vraag in het gesprekHoe melden jullie een beveiligingsincident, en wat krijgen wij mee als we stoppen?Kwaliteit is ook geborgd
ISO 27001 gaat over informatiebeveiliging. ISO 9001 gaat over kwaliteitsmanagement: hoe een organisatie afspraken nakomt, fouten oppakt en blijft verbeteren.
Voor softwareprojecten horen die twee bij elkaar. Een bureau met beide certificaten heeft ook zijn manier van werken extern laten toetsen.
Vraag in het gesprekHoe leggen jullie vast wat er is afgesproken, en hoe gaan jullie om met fouten?
Vragen die je in het eerste gesprek stelt
Neem deze lijst mee naar je eerste gesprekken. Een partij die bij je past, geeft op elke vraag een concreet antwoord, ook als dat antwoord is dat iets niet kan.
- Mogen we het certificaat zien, en aan welke organisatie is het afgegeven?
- Welke instelling heeft jullie gecertificeerd, en onder welke accreditatie?
- Valt ons project binnen de scope van het certificaat?
- Welke beheersmaatregelen wegen voor ons project het zwaarst?
- Wie krijgt toegang tot onze code, omgevingen en data?
- Hoe gaat een wijziging van code naar productie?
- Waar staat onze data, en welke subverwerkers zijn er?
- Hoe en wanneer melden jullie een beveiligingsincident?
- Wat krijgen we mee als we de samenwerking stoppen?
- Zijn jullie ook ISO 9001-gecertificeerd?
Wat een ISO 27001-certificaat niet zegt
Een certificaat is een goed startpunt. Het vervangt niet de afspraken in je eigen project. Het zegt bijvoorbeeld niet:
- dat elke oplossing van het bureau aan jouw beveiligingseisen voldoet;
- dat er bij het bureau nooit een incident is;
- dat werk buiten de scope onder hetzelfde managementsysteem valt;
- dat je geen eigen afspraken meer hoeft te maken over data, toegang en hosting.
ISO 27001, NEN 7510 en de BIO
ISO 27001 is de internationale norm voor informatiebeveiliging. In sommige sectoren gelden daarnaast eigen kaders: in de zorg NEN 7510, voor de overheid de Baseline Informatiebeveiliging Overheid (BIO). Beide bouwen voort op dezelfde principes als ISO 27001.
Werk je in zo'n sector, vraag dan niet alleen naar het certificaat, maar ook hoe het bureau omgaat met de eisen uit jouw kader.
Hoe Your Tech Club met informatiebeveiliging werkt
Dit deel gaat over ons. De punten hierboven gelden voor elke partij, ook voor ons: leg ons er gerust langs.
Your Tech Club is gecertificeerd voor ISO 27001 en ISO 9001, door Kiwa. Informatiebeveiliging en kwaliteit horen bij ons bij de oplevering, niet erna. Vraag gerust naar het certificaat en de scope.
Dat betekent niet dat elke oplossing vanzelf aan jouw eisen voldoet. Per project maken we afspraken over data, toegang, hosting en beheer, en leggen we die vast. Code en documentatie zijn van jou.
We bouwen software op maat voor processen die niet in een standaardpakket passen, en AI-toepassingen die met je data werken. In beide gevallen zit informatiebeveiliging vanaf het begin in het ontwerp.
- ISO 9001 en ISO 27001, gecertificeerd door Kiwa
- 500 projecten opgeleverd
- 4,8 uit 127 reviews
- 90% terugkerende klanten
- Kantoor aan de Duivendrechtsekade in Amsterdam
- Opgericht door Joey van Vliet en Yassine Seghrouchni
Veelgestelde vragen
Wat betekent ISO 27001 voor een softwarebureau?
Het bureau heeft een managementsysteem voor informatiebeveiliging ingericht: risico's in kaart gebracht, maatregelen gekozen en vastgelegd, en een proces om dat te blijven verbeteren. Een geaccrediteerde certificerende instelling toetst dat periodiek.
Hoe controleer ik of een ISO 27001-certificaat klopt?
Vraag het certificaat op en controleer de naam van de organisatie, de scope, de certificerende instelling en de geldigheidsdatum. Vaak kun je het certificaat ook opzoeken of laten bevestigen bij de certificerende instelling.
Is ISO 27001 verplicht voor een softwareleverancier?
Niet wettelijk. Maar opdrachtgevers, zeker overheden en organisaties in de zorg of de financiële sector, stellen het regelmatig als eis bij inkoop. Het maakt het ook eenvoudiger om aan te tonen dat je leverancier zorgvuldig met je data omgaat.
Garandeert ISO 27001 dat er geen datalek komt?
Nee. Het laat zien dat risico's systematisch worden beheerst en dat er een proces is om incidenten te melden en ervan te leren. Een certificaat is geen garantie tegen incidenten.
Wat is het verschil tussen ISO 27001 en ISO 9001?
ISO 27001 gaat over informatiebeveiliging. ISO 9001 gaat over kwaliteitsmanagement: hoe een organisatie werkt, afspraken nakomt en verbetert. Voor een softwarebureau vullen ze elkaar aan.
Wat is een verklaring van toepasselijkheid?
Een overzicht van de beheersmaatregelen uit de norm, met per maatregel of de organisatie hem toepast en waarom. Het laat zien hoe de organisatie de norm naar haar eigen situatie heeft vertaald.
Wat heeft ISO 27001 te maken met AI-toepassingen?
Een AI-toepassing werkt met je data en stuurt die soms naar een modelleverancier. Een bureau met ISO 27001 moet kunnen uitleggen welke data waarheen gaat, hoe dat is vastgelegd en welke maatregelen daarbij horen.
Is ISO 27001 genoeg voor de zorg of de overheid?
Het is een goede basis. In de zorg geldt daarnaast NEN 7510, voor de overheid de BIO. Vraag hoe het bureau met de eisen uit jouw kader omgaat.
