Bij ISO 27001 wordt al snel gedacht aan beleid, risicoanalyses, audits en technische beveiligingsmaatregelen. Toch wordt informatie iedere dag vooral door mensen gebruikt. Medewerkers openen bestanden, verwerken klantgegevens, gebruiken bedrijfsapplicaties, ontvangen e-mails en delen informatie met collega’s en externe partijen. Hun dagelijkse gedrag heeft daardoor rechtstreeks invloed op de informatiebeveiliging van een organisatie. Maar wat betekent werken volgens ISO 27001 eigenlijk voor medewerkers? Moeten zij allerlei regels uit hun hoofd leren of specialistische kennis hebben? In de praktijk draait het vooral om bewustwording, duidelijke afspraken en veilig gedrag dat past bij de werkzaamheden.

Geen beveiligingsexpert, wel bewust van risico’s

Een organisatie die zich oriënteert op ISO 27001 kijkt vaak eerst naar het certificeringstraject, de benodigde inspanningen en de kosten ISO 27001 certificering. Voor een succesvolle invoering is echter ook de betrokkenheid van medewerkers belangrijk. Een managementsysteem kan op papier uitstekend zijn ingericht, maar moet uiteindelijk in de dagelijkse praktijk worden toegepast.

Dat betekent niet dat iedere medewerker de volledige norm hoeft te kennen. Een administratief medewerker hoeft geen cybersecurityspecialist te worden en een verkoper hoeft niet precies te weten hoe iedere technische beveiligingsmaatregel werkt.

Wel moeten medewerkers begrijpen welke afspraken voor hun eigen werkzaamheden gelden. Ze moeten weten welke informatie gevoelig is, hoe ze daarmee omgaan en wat ze moeten doen wanneer ze iets verdachts opmerken. De precieze kennis die nodig is, verschilt dus per functie.

Zorgvuldig omgaan met informatie

Een van de belangrijkste verwachtingen is eigenlijk heel praktisch: medewerkers moeten zorgvuldig omgaan met de informatie waarmee ze werken.

Wat dat precies betekent, hangt af van de organisatie. Personeelsgegevens vragen bijvoorbeeld om een andere omgang dan openbaar beschikbare productinformatie. Ook financiële gegevens, contracten en interne bedrijfsinformatie kunnen extra bescherming nodig hebben.

Daarom moet voor medewerkers duidelijk zijn welke informatie vertrouwelijk is en hoe deze mag worden gebruikt, opgeslagen en gedeeld. Mag een bepaald document per e-mail worden verstuurd? Wie mag toegang krijgen tot een bestand? En waar moet gevoelige informatie worden opgeslagen?

Goede informatiebeveiliging voorkomt dat iedere medewerker daar zelf een antwoord op moet bedenken. Duidelijke procedures geven richting en verkleinen de kans dat collega’s uit onwetendheid verschillende keuzes maken.

Deze versturen we 3-4x per jaar.