Een ISO 27002-traject is op papier overzichtelijk. Er staat een norm. Je legt die tegen je organisatie aan. Je dekt het verschil af met procesdocumentatie, trainingen, controls.
In een organisatie van enige omvang gebeurt er onderweg iets anders.
De uitdaging: 90+ processen, honderd belangen
ISO 27002 beschrijft ongeveer 90 processen rondom informatiebeveiliging. Niet allemaal even relevant voor je organisatie. Maar als je eenmaal besluit het in te voeren, wil je consistency. Je wilt niet dat afdeling A het ene doet en afdeling B het andere.
Standardisering klinkt logisch. In de praktijk raakt je er mee de autonomie van teams aan. De manier waarop zij hun werk doen. Hun processen, hun systemen.
Dat zorgt voor weerstand. Veel weerstand.
Drie dingen die ik heb geleerd
1. Betrek de werkvloer VOOR je gaat documenteren
Mijn eerste impuls was: ik maak een goeie procesmap, ik stel die vast met het management, en dan rollen we het uit. Fout. De mensen die het dagelijks doen, voelen zich overruled. Ze weten hoe het werkt. Ze hebben jarenlang ervaring.
Nu werk ik anders: Interviews met teams. Walkthroughs. Begrijpen hoe het echt werkt. Dan schrijf ik op wat ik zie. Dan feedback van diezelfde teams. Dan pas vastgesteld.
Dat duurt langer. Maar er is eigenaarschap. De processen voelen van henzelf.
2. Standaardiseer waar het echt uitmaakt
Niet alles hoeft hetzelfde. Je kunt kritieke processen standaardiseren (risicovolle activiteiten, compliance-gevoelige zaken) en flexibiliteit behouden waar het minder uitmaakt.
Dit onderscheid maken scheelt enorm veel energie. Teams voelen dat je niet voor de sport uniformiteit afwingert.
3. Monitoring en feedback loops in plaats van enforcement
Je kunt processen vastleggen en dan zeggen: „Jullie moeten dit doen." Dat werkt, tot zeker punt. Maar langdurig? Dan moet het voelen als iets dat helpt, niet iets dat wordt afgedwongen.
Ik zet nu audit loops in. Feedback. „Dit gaat goed." „Hier zagen we afwijkingen, hoe kunnen we je beter ondersteunen?" Dat is ander gesprek dan compliance-checking.
Het resultaat
Met deze aanpak heb ik 90+ ISO 27002-processen ingevoerd zonder dat de organisatie tegen me in opstand kwam. Sterker: teams helpen er mee. Ze zien het nut.
Dat is het verschil tussen „wij hebben processen" en „wij gebruiken processen".
← Terug naar alle inzichten