Hoe bepaalt de auditor of je cloudomgeving binnen de ISO 27001 scope valt?

Een auditor beoordeelt of je cloudomgeving binnen de ISO 27001-scope valt op basis van de rol die die omgeving speelt in de verwerking, opslag of overdracht van informatie die onder het ISMS valt. Als de cloudomgeving informatie raakt die relevant is voor de informatiebeveiliging van je organisatie, is opname in de scope in vrijwel alle gevallen vereist. Heb je vragen over jouw specifieke situatie? Neem gerust contact op met ons team. In dit artikel beantwoorden we de meest gestelde vragen over scopebepaling bij ISO 27001 en cloudomgevingen.

Welke criteria bepalen of cloud binnen de ISO 27001-scope valt?

Een cloudomgeving valt binnen de ISO 27001-scope als die omgeving een directe rol speelt bij het verwerken, opslaan of transporteren van informatie die onder het ISMS van de organisatie valt. De kernvraag is niet waar de data staat, maar of de vertrouwelijkheid, integriteit of beschikbaarheid van die data afhankelijk is van de cloudomgeving.

Concreet kijkt een auditor naar de volgende factoren bij de scopebepaling van ISO 27001:

• Informatieverwerking: Worden er bedrijfskritische of vertrouwelijke gegevens in de cloud opgeslagen of verwerkt?
• Afhankelijkheid van processen: Zijn bedrijfsprocessen die binnen de scope vallen afhankelijk van de clouddienst?
• Toegangsbeheer: Hebben medewerkers of systemen via de cloud toegang tot gevoelige informatie?
• Risicoprofiel: Welke risico’s introduceert de cloudomgeving voor de informatiebeveiliging van de organisatie?

Het uitgangspunt van ISO 27001 is dat de scope alle assets, processen en systemen omvat die relevant zijn voor de bescherming van informatie. Een cloudplatform dat centraal staat in je bedrijfsvoering is daarmee bijna per definitie in scope. Een cloudopslag die uitsluitend wordt gebruikt voor publieke marketingmaterialen zonder gevoelige data heeft een heel ander profiel.

Hoe beoordeelt een auditor de rol van de cloudprovider?

Een auditor beoordeelt de rol van de cloudprovider door te kijken naar het gedeelde verantwoordelijkheidsmodel: welke beveiligingsmaatregelen liggen bij de provider en welke bij jouw organisatie? De auditor wil begrijpen of jij als organisatie voldoende controle uitoefent over de beveiligingsaspecten die jouw verantwoordelijkheid zijn binnen dat model.

In de praktijk betekent dit dat de auditor onder meer onderzoekt:

• Of er contractuele afspraken zijn over informatiebeveiliging, zoals verwerkersovereenkomsten of SLA’s met beveiligingsvereisten.
• Of de cloudprovider zelf beschikt over relevante certificeringen, zoals ISO 27001 of SOC 2, en of je als organisatie gebruikmaakt van die certificeringen als bewijs van beheersmaatregelen.
• Of je als organisatie inzicht hebt in de beveiligingsmaatregelen van de provider via auditrapportages of third-party assessments.
• Of je de resterende risico’s die bij jouw organisatie liggen aantoonbaar beheerst.

Een cloudprovider met een eigen ISO 27001-certificaat neemt niet automatisch alle zorgen weg. De auditor wil zien dat jij als organisatie bewust hebt nagedacht over wat de provider levert en wat jij zelf moet regelen. Het gaat om aantoonbare regie, niet om blind vertrouwen op de certificering van een derde partij.

Wat is het verschil tussen in-scope en out-of-scope clouddiensten?

In-scope clouddiensten zijn diensten die een directe invloed hebben op de informatiebeveiliging van de organisatie, omdat ze gevoelige data verwerken of kritieke processen ondersteunen. Out-of-scope clouddiensten zijn diensten die geen raakvlak hebben met de informatie of processen die onder het ISMS vallen en waarbij een beveiligingsincident geen impact heeft op de scope van het ISMS.

Een praktisch voorbeeld: een cloudplatform waarop klantgegevens worden opgeslagen en waarmee medewerkers dagelijks werken, is in-scope. Een externe clouddienst die uitsluitend wordt gebruikt voor het plannen van bedrijfsuitjes, zonder koppeling aan bedrijfssystemen of gevoelige informatie, kan out-of-scope zijn.

Het onderscheid draait om twee vragen: welke informatie wordt verwerkt en wat is de impact bij een beveiligingsincident? Als een cloudservice uitvalt of gecompromitteerd raakt en dit leidt tot een schending van vertrouwelijkheid, integriteit of beschikbaarheid van informatie die relevant is voor het ISMS, dan hoort die dienst in scope. Twijfel je over de grens? Dan is het verstandiger om een dienst in scope op te nemen dan erbuiten te laten en dit later te moeten rechtvaardigen tegenover een auditor.

Welke documentatie verwacht een auditor over cloudomgevingen?

Een auditor verwacht documentatie die aantoont dat je als organisatie bewust en gestructureerd omgaat met de risico’s van je cloudomgevingen. Dit betekent dat de cloudomgeving aantoonbaar is meegenomen in de risicoanalyse, dat er beleid is voor het gebruik van clouddiensten en dat de contractuele relatie met de cloudprovider goed is vastgelegd.

Concreet gaat het om de volgende documentatie:

1. Risicoanalyse: Een risicoanalyse waarin de cloudomgeving als asset is opgenomen, inclusief de bijbehorende dreigingen, kwetsbaarheden en beheersmaatregelen.
2. Cloudbeleid of acceptatiecriteria: Beleid dat beschrijft welke eisen worden gesteld aan cloudproviders voordat ze worden ingezet.
3. Verwerkersovereenkomsten of contracten: Overeenkomsten met cloudproviders die de beveiligingsverplichtingen van beide partijen vastleggen.
4. Auditrapportages van de provider: Certificaten of third-partyrapportages van de cloudprovider die aantonen dat hun beveiliging op orde is.
5. Toegangs- en configuratiebeheer: Documentatie van wie toegang heeft tot de cloudomgeving en hoe configuraties worden beheerd en gecontroleerd.

Goede documentatie laat zien dat je de cloud niet als een zwarte doos behandelt, maar als een integraal onderdeel van je informatiebeveiligingsbeleid. Dat is precies wat een auditor wil zien.

Kan een organisatie bewust de cloud buiten scope houden?

Ja, een organisatie kan bewust kiezen om bepaalde clouddiensten buiten de ISO 27001-scope te houden, maar dit is alleen verdedigbaar als die diensten aantoonbaar geen raakvlak hebben met de informatie of processen die onder het ISMS vallen. De keuze moet onderbouwd zijn en gedocumenteerd in de scope-afbakening.

Een bewuste out-of-scopeplaatsing werkt alleen als aan twee voorwaarden is voldaan. Ten eerste moet er een duidelijke en logische grens zijn: de clouddienst mag geen informatie verwerken die relevant is voor het ISMS en mag geen invloed hebben op de continuïteit of beveiliging van in-scopeprocessen. Ten tweede moet die grens aantoonbaar zijn: de auditor wil zien dat je de afweging bewust hebt gemaakt en gedocumenteerd, niet dat je de cloud simpelweg bent vergeten.

Wat een auditor niet accepteert, is een scope-afbakening die clouddiensten buiten scope plaatst puur om de audit eenvoudiger te maken, terwijl die diensten in de praktijk wel degelijk gevoelige data verwerken. Dit wordt gezien als een onvolledige en niet-representatieve scope, wat de geldigheid van de certificering ondermijnt. Een ISO 27001-certificering heeft alleen waarde als de scope een eerlijk beeld geeft van de organisatie.

Kortom: bewust buiten scope houden kan, maar alleen met een solide onderbouwing. Wil je zeker weten of jouw scope-afbakening standhoudt bij een audit? Neem contact op met ons en wij denken graag met je mee.

Gerelateerde artikelen

• Wat doe je als je het niet eens bent met een bevinding van de ISO 27001 auditor?
• Hoe verloopt een ISO 27001 certificering in de maakindustrie?
• Wat zijn goede redenen om na jaren over te stappen naar een andere certificerende instelling?
• Hoe verhoudt ISO 27001 zich tot GDPR?
• Hoe integreer je ISO 27001 met bestaande systemen?