20-10-2026

Informatiebeveiliging bij ArchiXL

Toen ik zo'n drie jaar geleden bij ArchiXL begon, was informatiebeveiliging een van de eerste onderwerpen waarin ik me vastbeet. Er lag op dat moment een duidelijke behoefte: informatiebeveiliging structureel inrichten en aantoonbaar maken. Ik had eerder delen van een ISO 27001-implementatie van dichtbij meegemaakt. Toen ik dat kenbaar maakte, kreeg ik de vraag of ik het traject binnen ArchiXL wilde leiden. Dat zag ik natuurlijk wel zitten! Dat is voor mij meteen ook een van de grote voordelen van een organisatie als ArchiXL. Bij een goed voorstel krijg je de ruimte om je vast te bijten in een onderwerp dat je verder wilt ontdekken.

Veel hadden we al
Als je met de norm aan de slag gaat kom je er snel achter dat er op veel vlakken al lang en breed is nagedacht over informatiebeveiliging. Een groot deel van het traject was daarom het expliciet maken van de impliciete werkelijkheid. Informatiebeveiliging zat in de handen en hoofden van mensen.
De kunst was om dit op papier te zetten en aan te laten sluiten op zowel de bestaande processen als de norm.

Pragmatiek tegenover registraties
Dat wil niet zeggen dat het implementeren van de norm een walk in het park was. De norm is uitgebreid en omvat 93(!) beheersmaatregelen. Daarboven zit dan ook nog eens een heel managementsysteem. Dat managementsysteem vraagt een manier van werken die voor velen echt wel even wennen was. Werken volgens ISO 27001 betekent dat je werkt met de Deming cyclus (Plan, Do, Check, Act). Dat houdt in dat je vastlegt wat je doet, doet wat je hebt vastgelegd, kunt aantonen dat je het gedaan hebt en op basis van de resultaten bijstuurt waar nodig om vervolgens de cyclus opnieuw te starten. Registraties, periodieke controles, interne audits, managementreviews het komt er allemaal bij kijken. Pragmatisch handelen is een meer gebruikelijke werkwijze voor ons, dus dat was zeker even wennen!

Onbewust bekwaam is onvoldoende
Die omslag van impliciet naar expliciet was niet altijd even makkelijk. Collega's deden veel dingen al goed, zonder erbij stil te staan waarom. In een managementsysteem wil je echter juist dat men bewust handelt zodat het aantoonbaar is. Een maatregel die alleen in iemands routine zit, bestaat voor een auditor niet. Die waarom hebben we nu een stuk scherper. We weten aantoonbaar welk risico een maatregel afdekt en waarom die maatregel past bij dat risico. De afstemming met de norm was evenmin vanzelfsprekend. Hoe houd je maatregelen proportioneel? Hebben we echt al onze risico's in kaart? Doen we genoeg?

Het blijft een continu proces
Op die laatste vraag heb ik nog steeds geen definitief antwoord, maar dat is oké. Wat ik wel kan zeggen: met de kennis van nu hebben we alle maatregelen getroffen waarmee we de risico's die we vandaag zien adequaat beheersen.

Over een jaar ziet dat beeld er anders uit. Andere leveranciers, andere technologie, andere dreigingen. Maar dat is de kracht van het managementsysteem. Het dwingt je om dat beeld periodiek opnieuw tegen het licht te houden, in plaats van het één keer vast te stellen en ervan uit te gaan dat het klopt. Het mooie is dat de auditor er ook zo over dacht. Daarom kan ik met trots zeggen dat ArchiXL succesvol haar audits heeft doorlopen! Het certificaat is een momentopname. Het werk gaat gewoon door. We blijven continu verbeteren, maar voor nu zijn we enorm trots op deze prestatie!

Bekijk hier onze informatiebeveiligingspagina: Informatiebeveiliging