OpenSesame ICT (opnieuw) gecertificeerd op gebied van informatieveiligheid, procesbeheersing en milieubewuste bedrijfsvoering

Certificering is niet altijd verplicht voor een onderneming, maar voor veel klanten daarvan wel belangrijk. Voor certificering op het gebied van informatieveiligheid, procesbeheersing en milieubewustzijn geldt hetzelfde, het is niet verplicht, maar – zeker die voor informatieveiligheid – het betekent heel veel voor de klant die op zoek is naar een betrouwbare ICT-partner. Dat is de reden voor OpenSesame ICT om steeds opnieuw up-to-date te willen blijven met bijvoorbeeld de recent aangescherpte ISO 27001 certificering. Met succes heeft het bedrijf de strenge audit door het Duitse TüV doorgemaakt.

Nico de Vries, mede-eigenaar OpenSesame ICT: ‘Wij houden ons al heel lang bezig met certificering, omdat we graag willen laten zien dat wij zowel met onze producten als met onze onderneming aan de hoogste kwaliteitseisen voldoen. Dat geeft niet alleen onze klanten rust en zekerheid, maar ook onszelf. Als je wilt dat je alles voor je klanten onder controle hebt en wilt houden, begint dat bij je eigen onderneming. Dus ook die wordt steeds getoetst.’

Aangescherpte eisen
De certificering op het gebied van informatieveiligheid, ISO 27001, is steeds aan verandering onderhevig. De Vries: ‘Logisch, want als er één onderdeel van de informatietechnologie voortdurend onder druk staat, is het wel die op het gebied van informatieveiligheid en -betrouwbaarheid. De vorige versie van die eisen stamt uit 2017, de nieuwste eisen zijn vanaf 2022 van kracht geworden. Als je als bedrijf bent gecertificeerd voor ISO 27001 dan word je om de drie jaar gecontroleerd: de ene periode is er een volledige inspectie, de andere periode een controle-inspectie. Dat is weliswaar een wat minder diepgaande, maar steekproefsgewijs worden wel de processen en procedures doorlopen. Zodanig dat ze toch echt een goed beeld hebben of je je zaken nog op orde hebt. Met OpenSesame ICT waren we, vooruitlopend op de nieuwe eisen, al begonnen met de volgende certificeringsronde. Dit jaar (2024) was de hercertificering (ISO 27001:2022) aan de beurt, dus de volledige inspectie aan de hand van de nieuwe eisen, en die hebben we glansrijk doorstaan.’

Meer automatisering Een andere verandering in de nieuwe ISO-27001 certificering is volgens De Jager dat grote delen van de acties die je moet ondernemen bij ‘vreemde activiteiten’ geautomatiseerd moeten plaatsvinden. ‘Dat was voorheen niet zo. Toen was het nog een ‘menselijke’ actie die van je werd gevraagd. Met deze stap is een groot deel van die menselijke actie uitgeschakeld. Met dien verstande dat bij een bepaalde gesignaleerde actie het systeem automatisch reageert met een tegenactie.’

Interne audit
Wie denkt dat het alleen gaat om een externe audit komt bedrogen uit. Steven de Jager, Business Consultant bij OpenSesame ICT: ‘Alle audits voor ISO-certificering beginnen bij een interne controle op je processen en procedures. Zo ook hierbij. Zo’n audit, dus intern zowel als extern, heeft grote impact op de organisatie. De onderste steen wordt bovengehaald om ervoor te zorgen dat niets wordt overgeslagen, niets aan het toeval wordt overgelaten, iedereen zich bewust is van het belang en in alles is voorzien. Met dat laatste bedoel ik dat wanneer er een ‘calamiteit’ gebeurt, bijvoorbeeld men op systemen probeert binnen te dringen, dat die niet alleen direct wordt gesignaleerd, maar dat ook direct actie wordt ondernomen om eventuele gevolgen te voorkomen of direct ongedaan te maken. Dat proactief volgen van wat er gebeurt in je systemen, zowel intern als van buitenaf, is een van de grote veranderingen die nu in ISO 27001 is vastgelegd. Voorheen was het wat reactiever: er gebeurt iets en wat gaan we dan doen; heb je daarvoor een handleiding met procedures. Tegenwoordig moet je echter proactief speuren naar alle ‘vreemde’ activiteiten in je systemen en op het netwerk en daar direct op reageren.’

Vergelijkbare doelen
Met die stap zijn niet per se de doelen van de certificering veranderd, zegt Nico de Vries: ‘Het doel is uiteraard om de informatie waarover jij beschikt en/of die je in beheer hebt via jouw systemen voor je klant, veilig is voor beïnvloeding van buitenaf. Informatie is simpelweg de basisgrondstof – de key asset - voor ieder bedrijf. Die grondstof moet – bijna koste wat kost – veiliggesteld worden.’

Certificering op het gebied van ISO 27001 gaat vandaag de dag om organisatorische-, mensgerichte-, fysieke- en technologische aspecten. Steven de Jager: ‘Al die factoren bepalen uiteindelijk hoe jij met informatie omgaat, hoe je de systemen controleert en hoe je je mensen opleidt en begeleidt naar het juiste kennisniveau. Dat samenspel wordt steeds complexer. Dat wordt het al voor ons, laat staan voor de klanten voor wie het vaak geen kernactiviteit is. De klant wil gebruik kunnen maken van de meest actuele stand van de techniek, de meest geavanceerde ICT-toepassingen (vakapplicaties) en dan liefst ook 24/7 overal bij kunnen: anywhere, anytime, anyplace. Daar zitten echter wel consequenties aan.’

Complexer
Steven de Jager: ‘De combinatie van plaatselijke systemen en cloud-toepassingen, met internationaal werkende bedrijven maken het beheer en onderhoud ervan steeds complexer. Informatie raakt steeds vaker verspreid door een organisatie. Dat kan en mag, maar je moet tegelijkertijd wel op elk moment grip hebben op wie bij die informatie kan. En ook op wie er wel of niet wat mee mag doen. Daarnaast moet het op elk moment veilig zijn. Met de juiste inrichting van je processen, procedures en acties bij voorkomende dreigingen kun je die zekerheid bieden. Doordat wij nu deze ISO-27001 certificering weer zeker hebben gesteld, kunnen wij ook aan onze klanten laten zien dat wij op alle fronten voldoen aan de strengste eisen. Die aantoonbaarheid is belangrijk. Niet alleen voor onze klanten, maar ook voor onszelf. Weten dat je alles onder controle hebt geeft rust in je organisatie en in je hoofd.’

Controle door TüV
Om aan die nieuwe strenge eisen te voldoen heeft OpenSesame ICT een doorloop van ongeveer een jaar gehad. Dat lijkt lang, maar geeft meteen aan dat zo’n certificering niet een of ander diploma is, maar een serieuze zaak die door serieuze partijen wordt gecontroleerd. Nico de Vries: ‘In ons geval is de audit gedaan door TüV, de bekende Duitse toetsingsinstantie. Ook dat is voor ons een vorm van betrouwbaarheid garanderen. Er zijn allerlei bedrijven die deze audits doen, maar wij kiezen voor deze partij vanwege hun internationale bekendheid en bewezen betrouwbaarheid. Zo kiezen we ook voor de interne audit voor een externe partij die zich heeft bewezen in de markt. Die stuurt ons tijdig bij, helpt ons waar nodig en denkt mee in het proces. Alle onderdelen moeten uiteindelijk op elkaar aansluiten om het geheel te kunnen beoordelen. Dat geldt eigenlijk voor de hele keten, dus ook voor onze partners. Zo’n interne audit wordt bovendien gecontroleerd en gewaardeerd door TüV bij hun audit. Als er dan iets niet helemaal op orde is, kun je weer van voren af aan beginnen. Deze certificering vraagt de nodige investeringen, maar is voor ons cruciaal om onze positie in de markt te kunnen behouden en verstevigen. Dan investeren wij ook graag in de juiste partijen die ons daar weer bij kunnen helpen.’

Aanvullende certificering met ISO 9001 en ISO 14001
Ofschoon de ISO 27001 certificering voor OpenSesame ICT de belangrijkste is, hangt er ook nog een tweetal aanvullende certificeringen min of meer mee samen. Steven de Jager: ‘De ISO 9001 is een wat algemenere certificering, die aangeeft dat je administratieve processen op orde zijn, je kritisch op je eigen organisatie blijft en dat je in staat bent om daar waar nodig verbeteringen door te voeren. Deze certificering is de grondslag voor het beheersen verbeteren van je kwaliteit en daarmee ook voor de volgende certificeringen. De ISO 14001 certificering geeft aan dat we als onderneming aandacht en oog hebben voor de impact die we maken op het milieu. En dat we alles in het werk stellen om die impact zo klein mogelijk te maken. Dat laat zien dat je het als onderneming belangrijk vindt je bijdrage te leveren aan een duurzame samenleving. Ook daar staan wij voor.’

Onderscheidend
De juiste certificering maakt dat je als onderneming onderscheidend kunt zijn in de markt. Nico de Vries tot slot: ‘Zoals al gemeld, het is niet verplicht, maar er zijn wel steeds meer bedrijven en organisaties die erom vragen. Dan is het dus wel een pre dat je kunt laten zien dat je aantoonbaar (!) alles in het werk stelt om aan (internationale) eisen op het gebied van informatietechnologie te voldoen. Klanten zijn met hun informatie(systemen) bij ons in veilige handen. Zoveel is met deze certificering wel duidelijk.’