Commissie DCO: BIO2 in de praktijk: risicogestuurd werken met ISO 27001 en de PDCA-cyclus

Een goede BIO2- en ISO 27001-beoordeling begint bij de informatiebeveiligingscriteria vertrouwelijkheid, integriteit en beschikbaarheid (BIV/CIA). Deze criteria bepalen wat beschermd moet worden, hoe de impact van verstoringen wordt gewaardeerd, welke maatregelen passend zijn en waarop een auditor toetst en rapporteert. Vanuit deze basis verbinden we in deze eendaagse training BIO2 versie 1.3 met ISO 27001/27002 en doorlopen we de PDCA-cyclus: van context en risicoanalyse tot risicobehandeling, Verklaring van Toepasselijkheid, monitoring en continue verbetering.

Bullet points 

• Vertrouwelijkheid, integriteit en beschikbaarheid (BIV/CIA) als fundament: wat betekenen deze informatiebeveiligingscriteria, hoe hangen zij samen en wat betekent aantasting ervan voor bedrijfsvoering, dienstverlening, wet- en regelgeving en maatschappelijke impact;
• Wat betekenen vertrouwelijkheid, integriteit en beschikbaarheid in de praktijk, en hoe gebruik je deze begrippen bij het beoordelen van risico’s en maatregelen?;
• De positie van BIO2 versie 1.3 ten opzichte van ISO 27001, ISO 27002 en de Cyberbeveiligingswet/NIS2;
• Van BIO 1 naar BIO2: de BBN-systematiek (BBN1, BBN2 en BBN3) maakt plaats voor een expliciet risicogerichte aanpak;
• PDCA in het ISMS: Plan (context, scope, BIV-eisen, criteria en risico’s), Do (behandeling en maatregelen), Check (monitoring, toetsing en rapportage) en Act (verbetering);
• Risico-identificatie: informatie en middelen, BIV-behoeften, dreigingen, kwetsbaarheden, scenario’s en mogelijke consequenties;
• Risicobeoordeling met een praktische risicomatrix op basis van kans/waarschijnlijkheid × impact, waarbij de impact mede wordt bepaald vanuit aantasting van vertrouwelijkheid, integriteit en beschikbaarheid en vooraf vastgestelde acceptatiecriteria;
• Risicobehandeling: vermijden, verminderen, overdragen of accepteren; selectie van maatregelen uit ISO 27001 bijlage A / ISO 27002;
• De verplichte BIO2-overheidsmaatregelen: relatie met ISO-controls, toepasbaarheid, aanvullende maatregelen en verwerking in de VvT;
• Aantoonbaarheid en assurance: van BIV-doelstellingen en beheersmaatregelen naar toetsbare normen; opzet, bestaan en werking, restrisico, eigenaarschap, monitoring, auditbevindingen, rapportage en continue verbetering.

Programma

Vier inhoudelijke blokken. We beginnen bewust met vertrouwelijkheid, integriteit en beschikbaarheid als inhoudelijk fundament; daarna doorlopen we de PDCA-cyclus met een doorlopende praktijkcasus en korte oefeningen.

• 08.30 Ontvangst met koffie en thee en registratiemoment;
• 09.00 Deel 1 – FUNDAMENT: vertrouwelijkheid, integriteit en beschikbaarheid (BIV/CIA): definities, praktijkvoorbeelden, classificatie en impact; van BIV-eisen naar risico, beheersmaatregel, toetsingscriterium en auditrapportage. Aansluitend: BIO2, ISO 27001, Cbw/NIS2, verschillen met BIO 1 en het verdwijnen van BBN1-3;
• 10.45 Pauze met koffie en thee;
• 11.00 Deel 2 – PLAN: context en scope, informatie- en BIV-behoeften, risico-identificatie, risicocriteria en beoordeling met kans × impact;
• 12.30 Lunch;
• 13.00 Deel 3 – DO: risicobehandeling, ISO 27001/27002, verplichte BIO2-overheidsmaatregelen en de Verklaring van Toepasselijkheid (VvT);
• 15.00 Pauze met koffie en thee;
• 15.15 Deel 4 – CHECK & ACT: toetsen en rapporteren op BIV-doelstellingen en beheersmaatregelen; aantoonbaarheid, opzet/bestaan/werking, monitoring, audit, restrisico en verbeteren;
• 17.00 Afsluiting bijeenkomst

Spreker

Harry Offermans RE – IT-auditor(RE) en ISO 27001 Lead Auditor. Hij heeft ruime ervaring met informatiebeveiliging, IT-audit, ISO 27001 en BIO binnen overheid en publieke organisaties. 

Doelgroep

Internal auditors, IT-auditors, CISO’s/informatiebeveiligers, risk- en controlprofessionals en andere professionals die BIO2 moeten beoordelen, implementeren of hierover assurance willen geven. Internal Auditors die werken bij gemeenten, provincies en waterschappen.

Doel

Na de bijeenkomst ben je in staat om vertrouwelijkheid, integriteit en beschikbaarheid als informatiebeveiligingscriteria te definiëren en te vertalen naar classificatie, impact, risico’s, beheersmaatregelen en toetsbare auditcriteria; hierover onderbouwd te rapporteren; de relatie tussen BIO2 en ISO 27001/27002 uit te leggen; de context en scope van een ISMS te bepalen; informatiebeveiligingsrisico’s systematisch te identificeren en te beoordelen; een risicobehandeling met passende ISO- en BIO2-maatregelen op te stellen; keuzes in de VvT te onderbouwen; en de PDCA-cyclus te gebruiken voor aantoonbare monitoring en continue verbetering.