ISO 27001 bij Telforce: informatiebeveiliging gaat verder dan een sterk wachtwoord
In acht maanden behaalde Telforce de ISO 27001-certificering. We gebruiken Git om incidenten en verbeteringen vast te leggen, hebben een eigen ISO-omgeving op basis van open source en ontvingen ook een ISAE 3000 Type II-verklaring.
Datalekken, cyberaanvallen en gestolen klantgegevens laten zien hoe belangrijk informatiebeveiliging is. Werk je dagelijks met klantgegevens en telefoongesprekken, dan vraagt dat om zorgvuldigheid in alles wat je doet.
Klanten stelden ons steeds vaker vragen over informatiebeveiliging. Dat is logisch: je wilt weten hoe een leverancier omgaat met de gegevens en systemen waar jouw organisatie op vertrouwt. Daarom zijn we met ISO 27001 aan de slag gegaan. Sinds september 2025 is ons managementsysteem officieel ISO 27001-gecertificeerd door DNV.
Wat komt er bij zo'n certificering kijken? En hoe zorg je ervoor dat informatiebeveiliging ook in je dagelijkse werk zit? We nemen je mee achter de schermen.
We deden al veel. Nu ook aantoonbaar
ISO 27001 is een internationale norm voor informatiebeveiliging. Het gaat om veilige software en sterke wachtwoorden, maar ook om hoe je als organisatie omgaat met risico's, verantwoordelijkheden en gevoelige informatie.
Toen we begonnen, bleek dat we op veel gebieden al vaste werkwijzen hadden. Zo werkten we al met processen voor incidentmanagement, probleemmanagement en configuratiebeheer op basis van ITIL, een veelgebruikt raamwerk voor IT-beheer.
Het meeste werk zat in het aantoonbaar maken van die werkwijzen. Hoe leggen we processen vast? Wie is waarvoor verantwoordelijk? En hoe vindt iedereen de juiste informatie snel terug?
Dat betekende veel documenteren en overzicht creëren. Misschien niet het spannendste deel van een ISO-traject, maar wel waardevol: het gaf ons meer inzicht in onze eigen organisatie en hielp ons processen te verbeteren.
Klein team, korte lijnen
Het hele traject duurde acht maanden. Bij Telforce werken we met een klein team waarin collega's verschillende rollen combineren. Daardoor weten we goed wat er speelt, denken we met elkaar mee en schakelen we snel. Dat hielp bij het verdelen en oppakken van het werk.
Ook hebben we AI-chatbots ingezet als sparringpartner om ideeën uit te werken en onze aanpak aan te scherpen. Onze eigen kennis en ervaring bleven daarbij het uitgangspunt.
Git: overzicht en opvolging tijdens het werk
We gebruiken Git niet alleen voor softwareontwikkeling, maar ook om incidenten, verbeterpunten en acties bij te houden. Vraagt iets om aandacht, dan leggen we het vast en wijzen we iemand aan die de opvolging oppakt.
Het hele team ziet wat er speelt, wie waarmee bezig is en welke stappen al zijn gezet. Zo kunnen collega's meedenken of werk overnemen als dat nodig is.
Tijdens het werk aan incidenten en verbeteringen leggen we meteen vast wat er gebeurt. Bij een audit hoeven we daardoor minder achteraf bij elkaar te zoeken. Het bewijs van onze werkwijze ontstaat grotendeels terwijl we aan het werk zijn.
Onze eigen omgeving op basis van open source
Voor ons ISO-managementsysteem hebben we gekozen voor een eigen omgeving op basis van opensourcetechnologie. We willen zelf de controle houden over onze informatie en de inrichting van het systeem, en zo minder afhankelijk zijn van externe softwareleveranciers.
We hebben de omgeving zo ingericht dat procedures, verantwoordelijkheden, verbeterpunten en belangrijke documenten makkelijk terug te vinden zijn. Goede documentatie helpt pas echt als iedereen weet waar die staat.
Waarom bewaren we deze gegevens eigenlijk?
We hebben ook gekeken naar hoe we dagelijks met informatie omgaan. Waarom bewaren we bepaalde informatie? Wie mag erbij? En hoelang hebben we die gegevens echt nodig?
Daarom hebben we extra aandacht besteed aan verantwoordelijkheden, bewaartermijnen en het veilig omgaan met gevoelige informatie. Denk aan versleuteling, beveiligde links en het afschermen van gevoelige gegevens.
Hoe minder onnodige informatie je bewaart en deelt, hoe minder er in verkeerde handen kan vallen. Dat vraagt om passende technologie én bewustwording binnen het team.
Een stap verder: ISAE 3000 Type II
Naast ISO 27001 hebben we ook een ISAE 3000 Type II-assuranceverklaring ontvangen. Bij zo'n onderzoek beoordeelt een onafhankelijke auditor specifieke processen en beheersmaatregelen. Bij Type II kijkt de auditor over een langere periode of die maatregelen in de praktijk blijven werken.
Wat heb jij daaraan als klant? Meer transparantie en extra zekerheid. We kunnen uitleggen hoe we werken en laten zien dat het onafhankelijk is getoetst. Uiteindelijk wil je kunnen vertrouwen op de software én op de organisatie erachter.
Informatiebeveiliging blijft dagelijks werk
Een ISO 27001-certificaat betekent niet dat er nooit meer iets mis kan gaan. Er komen steeds nieuwe risico's en ontwikkelingen bij. Daarom blijven we onze processen controleren, risico's beoordelen en verbeteringen doorvoeren.
Het traject heeft ons geholpen om werkwijzen beter vast te leggen, verantwoordelijkheden duidelijker te maken en processen aan te scherpen. Informatiebeveiliging is voor ons een vast onderdeel van hoe we werken.
Wil je meer weten over onze certificering of onze aanpak? Bekijk onze pagina over informatiebeveiliging of neem contact met ons op.
