In dit blog leest u dat Mackaay ICT Services succesvol de hercertificering voor databeveiliging heeft ontvangen. Dat kan niet elke ICT-dienstverlener in Nederland zeggen. Bij Mackaay ICT Services zijn de eigen data én de data van klanten dus op het hoogst mogelijke veiligheidsniveau beschermd.
Goed nieuws!
Wij van Mackaay ICT Services hebben succesvol de procedure voor de hercertificering van de ISO27001 doorlopen. Hoewel we elk jaar een tussentijdse audit krijgen (meestal in november), was het afgelopen najaar weer tijd voor de ‘grote keuring’.
Meerdere dagen achtereen heeft een auditor van onafhankelijk keuringsinstituut KIWA onze bedrijfsvoering op meer dan 140 punten getoetst.
Waarom dit van belang is voor u, beste ondernemer in het MKB?
Wel, het antwoord is niet zo heel ingewikkeld: u weet nu dat wij van Mackaay ICT Services aan alle voorwaarden voldoen met betrekking tot informatiebeveiliging.
Juist ja: ónze én uw data zijn veilig bij ons.
Total Body Scan
Eigenlijk is het opvallend én zorgelijk dat er nog ontzettend veel ICT-bedrijven in Nederland zijn die deze ISO-certificering niet bezitten. Want, tegenwoordig is de bescherming van data écht één van de allerbelangrijkste topics in ICT-land. Je kunt niets meer aan het toeval overlaten. Elke organisatie zou er van moeten kunnen uitgaan dat de digitale beveiligingssystemen – en de daarbij behorende procedures – feilloos op orde zijn.”
Een dergelijke certificeringsprocedure kun je dan ook het beste vergelijken met een Total Body Scan waar mensen steeds vaker voor kiezen. Je hele lichaam wordt bij zo een scan binnenstebuiten gekeerd – van MRI-scan tot bloed afnemen, een cardiologie- en dermatologietest etc etc – en zo kun je deze certificeringsprocedure eigenlijk ook beschouwen.
De auditors checken alle bloedvaten van het bedrijf.
Deze driejaarlijkse audit bij Mackaay ICT Services is een pittige: echt alles, maar dan ook echt alles wordt getoetst en gecontroleerd. Een complete Total Body Scan dus.
Beren op de weg
Onze interne Security Officer, Nicole Venneker, was als kartrekker van het hele ISO traject binnen Mackaay ICT Services, samen met enkele teamleden verantwoordelijk voor het presenteren van de juiste antwoorden op de 140 gevraagde topics.
Ze vertelt:
“De auditors van het KIWA zoeken tijdens de onderzoeken heel bewust naar ‘beren op de weg’ in ons bedrijf. Ze zoeken nooit de makkelijkste weg. Ze stellen scherpe vragen en wij moeten de antwoorden leveren. Zo is bijvoorbeeld nu onze structuur van toegangsrechten scherp onderzocht. Daarbij is het belangrijk dat bijvoorbeeld een Office Manager hier op kantoor niet bij de data van de klanten kan en mag komen. Met andere woorden: het juiste poppetje moet bij de juiste informatie kunnen.”
| Leestip: ICT-beveilingstrends voor het jaar 2022. |
“Als bepaalde data voor een ‘poppetje’ (lees: medewerker) niet relevant zijn, dan mag deze er dus ook niet bij kunnen komen. Dat werkt zo op alle niveaus in de organisatie. Zo heeft een Sr. systeembeheerder andere toegangsrechten dan een servicedesk medewerker.”
Het onboarden én offboarden van medewerkers in de eigen organisatie is een belangrijke procedure. U wilt toch niet dat een ex-medewerker ná zijn vertrek nog steeds – we noemen maar wat – financiële transacties voor het bedrijf kan verrichten?
Personeelswisselingen
“Daarnaast hebben wij moeten uitleggen tijdens de audit wat onze procedures zijn als er bijvoorbeeld een collega bij ons vertrekt. Of, als we nieuwe collega’s in de organisatie verwelkomen. We hebben het dan over het onboarden en offboarden van personeel. Documentenbeheer is daarbij essentieel. Logisch ook. Onze klanten – die de beveiliging van hun data aan óns hebben toevertrouwd – moeten er 100% zeker van zijn dat wij het voor hen tiptop in orde hebben.”
Nicole legt tevens uit dat er van alle medewerkers VOG-verklaringen zijn opgevraagd.
“Ook dat zijn zaken die allemaal zijn gecontroleerd.”
Wie mag waar wel of niet komen? Is het netwerk goed in beeld?
Nicole geeft meer voorbeelden waar de auditor onderzoek naar doet:
- “Hebben we ‘gebeurtenissen’ goed geregistreerd?
Oftewel: kunnen wij altijd terugvinden wie op welk tijdstip waar heeft ingelogd? - Is onze respons op beveiligings-incidenten bij de klanten goed op orde?
- Wat is het ‘noodplan’ als er bijvoorbeeld plotseling geen voorraad nieuwe chips meer geleverd kan worden omdat deze – ik noem maar wat – op een dwarsliggende boot in het Suezkanaal vastligt?
- Hoe zit onze goederen-ontvangstprocedure in elkaar?
Als wij een pakketje aan de deur aannemen, dan gaat dit volgens een speciaal protocol. - Hoewel je er eigenlijk niet aan wilt denken (maar we doen het toch!), moet je als ICT-bedrijf ook kunnen aantonen dat ónze bedrijfscontinuïteit is gegarandeerd als een van ons iets zou overkomen. Daar hebben we procedures voor. De klant mag er niets van merken! Want, het bedrijf van de klant móet onverminderd kunnen doordraaien!
- En ja, zelfs als er gasten bij ons op bezoek zijn (of dit nu klanten, leveranciers of ingehuurde ZZP’ers zijn): die móeten wij altijd begeleiden tot aan de voordeur. En dus de voordeur sluiten als deze persoon vertrekt.”
Pandemieprotocol
Volgens Nicole heeft de coronacrisis ook tot nieuwe inzichten geleid binnen de ISO27001-certificering.
“Zo werken wij in deze periode nooit met het complete team op kantoor. Je kunt het vergelijken met bubbels die we hebben gecreëerd. We kunnen het ons namelijk niet veroorloven om allemaal tegelijk corona te hebben waardoor het bedrijf niet meer zou kunnen functioneren.”
Zo is Nicole zélf ook niet alle dagen op kantoor.
“Gelukkig kunnen we uitstekend van afstand werken en communiceren met elkaar maar het blijft toch ook wat ongemakkelijk: enkele van mijn collega’s heb ik al heel lang niet meer live gezien. Maar ja, corona is corona. En we nemen daar geen enkel risico op. Vandaar deze pandemieprocedure die tijdens de audit ook ter sprake kwam.”
Een ding wil een ondernemer voor zijn bedrijf altijd vermijden: een hack!
Daily Business
“Hoewel ik er op vertrouwde dat we de ISO-hercertificering zouden behalen, was ik toch blij dat half januari het verlossende bericht kwam,” zegt Nicole tot slot.
“We kunnen overigens nu niet achterover leunen. Informatiebeveiliging is daily business voor ons. In november 2022 is weer de eerstvolgende tussentijdse audit. Maar déze hercertificering is in ieder geval drie jaar geldig.”
(In een later blog vertellen we u meer over onze pandemieprocedures)
Vier voordelen van deze hercertificering ISO27001 voor onze klanten:
|
LEUKE (en nuttige) LEESTIP:
En, de verrassende zwakke schakel in uw ICT-security is……
Een logische praktische tip t.a.v. de beveiliging:
Regel meteen de twee-factor-authenticatie in uw bedrijf! (Natuurlijk helpen wij daarbij).
U hebt het die cybercriminelen meteen weer een stukje moeilijker gemaakt!
En… nog een tip m.b.t. cybercriminaliteit! :-)
Heb het met uw collega’s en medewerkers over cybercriminaliteit. Organiseer een Awareness-sessie!
Ontvang onze maandelijkse MKB-tips!
Wij vinden het leuk om iedere belangstellende in het MKB maandelijks op de hoogte te houden van alle ontwikkelingen op het gebied van ICT. Er is vaak meer mogelijk dan u denkt. Meldt u zich daarom heel eenvoudig aan voor onze goed gewaardeerde nieuwsbrief. We versturen deze één keer per maand. En… mochten we u niet inspireren? Dan meldt u zichzelf ook weer door één klikje af! Zo simpel is het.
