Een ISO 27001-certificaat bewijst dat een set maatregelen op bepaalde data is gedocumenteerd en onderbouwd. Het bewijst niet dat die maatregelen standhouden op een dinsdag in november, wanneer een koppeling met een derde partij open begint te falen.
Waar het gat ontstaat
Momentopnames als bewijs. Auditors nemen steekproeven. Aanvallers niet. Een maatregel die werkt tijdens de steekproef en daarna afdrijft, doorstaat de audit en faalt in productie.
Scopegrenzen. De gecertificeerde scope is vaak smaller dan de werkelijke impact bij een incident. De systemen buiten scope zijn, vrijwel altijd, de systemen met de zwakste maatregelen.
Gedocumenteerd versus werkend. Een beleid dat stelt dat geprivilegieerde toegang goedkeuring vereist, is een maatregel op papier. Of die goedkeuring ooit wordt geweigerd, is de operationele vraag, en die komt zelden terug in het bewijs.
Compliance goed gebruiken
Dit alles maakt certificering niet waardeloos. Het is vaak de enige budgethefboom die er is, en de discipline die het afdwingt is echt nuttig. De kunst is om het raamwerk te zien als een ondergrens en er echte zekerheid bovenop te bouwen:
- Continue monitoring van maatregelen in plaats van jaarlijks bewijs verzamelen
- Threat modelling dat scopegrenzen volledig negeert
- Minstens één oefening per jaar waarin je aanneemt dat een maatregel faalde en kijkt wat er gebeurt
Als je securityprogramma zonder de auditdeadline zou instorten, dan ís de deadline het programma.