ISO 27001 beveiliging voor bestandsoverdracht: implementatie

ISO/IEC 27001:2022-certificering voor een bestandsoverdrachtssysteem betekent het aantonen van een werkend Information Security Management System (ISMS) dat de 93 controles in Bijlage A dekt, met specifieke nadruk op A.5.14 (informatieoverdracht), A.8.10 (verwijdering van informatie), A.8.24 (gebruik van cryptografie) en A.8.26 (beveiligingsvereisten voor toepassingen). De 2022-revisie consolideerde de 114 eerdere controles tot 93 verdeeld over vier thema's (organisatorisch, mensen, fysiek, technologisch) en voegde 11 nieuwe controles toe, waaronder dreigingsinformatie (A.5.7), ICT-gereedheid voor bedrijfscontinuïteit (A.5.30) en veilig coderen (A.8.28). Een eerste certificering duurt doorgaans 12-18 maanden en kost EUR 30-100k inclusief auditkosten.

De ISMS-scope voor een bestandsoverdrachtproduct

ISO 27001 vereist dat je definieert wat het ISMS omvat. De ISMS-scope van een bestandsoverdrachtplatform omvat doorgaans: de upload- en downloaddiensten, de objectopslaglaag, de sleutelbeheerinfrastructuur, de authenticatie- en autorisatiesystemen, de audit-logging-pipeline, de klantenondersteuning die gebruikersdata aanraakt, en de bouw- en deployment-pipeline. Buiten scope: de marketingwebsite, interne HR-systemen, algemene bedrijfs-IT (die kunnen door een apart ISMS worden gedekt). Documenteer de scope precies — ambiguïteit leidt tot bevindingen bij certificering.

A.5.14 Controles voor informatieoverdracht

A.5.14 vereist beleid en procedures voor de overdracht van informatie. Voor een bestandsoverdrachtplatform wordt dit meta — je product is de controle voor klanten, maar je hebt ook interne controles nodig die regelen hoe je team informatie overdraagt. Beleid moet betrekking hebben op: goedgekeurde transferkanalen (het platform zelf, ondertekende en versleutelde e-mail, SFTP voor groot volume), classificatievereisten (stuur geen vertrouwelijke data via niet-goedgekeurde kanalen), verificatie van ontvangers (bevestig e-mailadres vóór verzending van gevoelige bestanden) en logging (elke overdracht geregistreerd in SIEM). Publiceer een intern transferprocedure en train medewerkers jaarlijks.

Risicobeoordeling onder Clausule 6.1.2

ISO 27001 is risicogestuurd. Clausule 6.1.2 vereist een gedocumenteerde risicobeoordelingsmethodologie en een risicoregister. Typische risico's voor bestandsoverdrachtssystemen: ongeautoriseerde toegang tot opgeslagen bestanden, zwakke cryptografie die ontsleuteling mogelijk maakt, gecompromitteerde adminaccounts, insider threat van geprivilegieerde operators, toeleveringsrisico via sub-verwerkers, denial of service tegen upload-eindpunten, dataverlies door back-upfalen. Beoordeel elk risico op waarschijnlijkheid en impact met een schaal van 1-5 of 1-3. Selecteer controles uit Bijlage A op basis van de beoordeling. De Statement of Applicability (SoA) documenteert welke van de 93 controles van toepassing zijn en waarom — of waarom niet.

A.8.24 Cryptografievereisten

A.8.24 betreft het juiste gebruik van cryptografie. De bijbehorende richtlijn (ISO/IEC 27002:2022) verwacht: een cryptografiebeleid, algoritme- en sleutellengtekeuzes afgestemd op de huidige best practices, en sleutelbeheer dat generatie, distributie, opslag, gebruik, rotatie, herstel en vernietiging omvat. Documenteer voor een bestandsoverdrachtssysteem: AES-256-GCM of XChaCha20-Poly1305 voor inhoud, RSA-4096 of Ed25519 voor handtekeningen, PBKDF2-SHA-256 op 600.000+ iteraties of Argon2id voor wachtwoordgebaseerde sleutels, TLS 1.3 voor transport. Sleutelopslag in FIPS 140-2 Level 2 HSM of cloudequivalent (AWS CloudHSM, Azure Managed HSM). Roteer mastersleutels jaarlijks.

A.5.15 Toegangscontrole en A.8.3 Informatietoegangsbeperking

A.5.15 vereist een toegangscontrolebeleid. A.8.3 vereist beperking van informatietoegang op basis van dat beleid. Voor bestandsoverdrachtssystemen: dwing minste privilege af via rolgebaseerde toegangscontrole, vereis MFA voor administratieve toegang (FIDO2 bij voorkeur), integreer met een centrale identiteitsprovider (Okta, Azure AD, Google Workspace), voer kwartaalse toegangsreviews uit met gedocumenteerde aftekening en log alle toegangspogingen. De ISO 27001-auditor neemt steekproeven van toegangsverleeningen en reviews — maak ze eenvoudig te produceren via IdP-exports en integratie met ticketingsystemen.

A.8.10 Verwijdering van informatie en bewaring

A.8.10 (nieuw in 2022) vereist dat informatie wordt verwijderd wanneer deze niet langer nodig is, in overeenstemming met het bewaarbeleid. Voor bestandsoverdrachtplatforms betekent dit: automatisch verval afdwingen (7-30 dagen is gebruikelijk), verwijdering geverifieerd via logs, back-uppurge gesynchroniseerd met primaire verwijdering, en veilige verwijdering van fysieke media aan het einde van de levensduur (DoD 5220.22-M-overschrijving of cryptografische verwijdering via sleutelvernietiging). Documenteer het bewaarbeleid per datacategorie: gebruikersbestanden 7 dagen, auditlogs 365 dagen, back-ups 30 dagen roterend, supporttickets 24 maanden, belastingrecords 7 jaar.

A.5.30 ICT-gereedheid voor bedrijfscontinuïteit

Nieuw in 2022. Vereist dat ICT-systemen klaar zijn om bedrijfscontinuïteit te waarborgen. Vertaald naar praktijk: getest DR-plan met gedocumenteerde RPO en RTO, kwartaalse back-upintegriteitstests, jaarlijkse failover-tests, incident-responsplaybook afgestemd op ISO 22301 en crisiscommunicatieprocedures. Documenteer voor een bestandsoverdrachtplatform: RPO (bijv. 1 uur — maximaal toelaatbaar dataverlies) en RTO (bijv. 4 uur — maximale hersteltijd). Test herstel vanuit back-up kwartaalgewijs met bewijs vastgelegd in het draaiboek. Cloudproviders (AWS, Azure, OVH) maken multi-AZ- en multi-regio-architecturen mogelijk die de meeste scenario's afdekken.

A.5.7 Dreigingsinformatie en A.5.23 Informatiebeveiliging voor clouddiensten

A.5.7 (nieuw) vereist het verzamelen en analyseren van dreigingsinformatie. Praktisch: abonneer je op sector-CERT-adviezen, CISA-meldingen, beveiligingsbulletins van leveranciers (AWS Security Bulletins, Cloudflare Radar). Documenteer hoe informatie de risico- en kwetsbaarheidsbeheer voedt. A.5.23 (nieuw) vereist beleid en procedures voor het gebruik van clouddiensten. Documenteer voor bestandsoverdrachtproviders die draaien op AWS, Azure of OVH: selectiecriteria voor cloudproviders, taakverdeling (shared responsibility model), toezeggingen over datalocatie en exitstrategie als de cloudprovider wegvalt.

A.8.28 Veilig coderen

Nieuw in 2022. Vereist toepassing van principes voor veilig coderen. Voor bestandsoverdracht-code: SAST in CI (Semgrep, SonarQube, Checkmarx), DAST vóór release (OWASP ZAP, Burp Suite), afhankelijkheidsscanning (Snyk, Dependabot, Trivy), secretenscanning (gitleaks, TruffleHog), verplichte peer review met beveiligingsgerichte checklist, dreigingsmodellering voor grote features en jaarlijkse OWASP Top 10-training. Bewijs dat de auditor wil zien: CI-pipeline-configuraties met SAST/DAST-stappen, scanrapporten over de auditperiode, herstel-SLA's (kritiek 7 dagen, hoog 30 dagen) en trainingsvoortgangsrecords.

Interne audit en managementbeoordeling

Clausule 9.2 vereist een intern auditprogramma. Voer audits minimaal jaarlijks uit die het volledige ISMS bestrijken of in een driejarige roterende scope. Clausule 9.3 vereist een managementbeoordeling — doorgaans kwartaalgewijs — over ISMS-prestaties, KPI-trends, auditbevindingen, risicoregisterwijzigingen en resourcebehoeften. Documenteer notulen en acties. De certificeringsinstantie beoordeelt interne audit- en managementbeoordelingsrecords als sterke indicatoren van ISMS-volwassenheid — zwakke records leiden tot grote bevindingen, ongeacht de technische controles.

Certificeringsaudit en surveillance

Fase 1 (1-3 dagen): documentbeoordeling, readiness-assessment. Fase 2 (3-10 dagen afhankelijk van scope): ter plaatse of op afstand bewijs verzamelen, interviews, technische controles. Certificering geldig voor drie jaar, met jaarlijkse surveillance-audits (1-3 dagen elk) en volledige hercertificering in jaar drie. Grote non-conformiteiten moeten worden gesloten vóór certificering; kleine kunnen blijven staan met correctieve actieplannen. Verwacht dat de eerste cyclus 5-15 kleine bevindingen en 0-2 grote oplevert. Kies een geaccrediteerde certificeringsinstantie (BSI, DNV, TÜV SÜD, DEKRA, LRQA, SGS) — logo-only certificeringen van niet-geaccrediteerde instanties worden door inkoopteams niet erkend.

ISO 27001 beloont discipline, niet heldendom. Documenteer wat je doet, doe wat je documenteert. Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.