In de wereld van cybersecurity dwalen we vaak af in een alfabetsoep van frameworks. Twee namen voeren de boventoon: ISO 27001 en NIST CSF. Lange tijd werden deze gezien als rivalen—alsof je moest kiezen tussen een degelijk Duits automerk of een innovatieve Amerikaanse tech-reus.
Maar de waarheid is moderner: NIST CSF is de motor voor je dagelijkse operatie, terwijl ISO 27001 de structuur biedt voor je bewijslast.
De ‘Focus-Shift’: Van afvinken naar begrijpen
Veel organisaties ervaren de ISO 27001-norm als een invuloefening. Het draait om beleid, documentatie en het ‘in control’ zijn voor de auditor. Dat is essentieel voor het vertrouwen van klanten, maar maakt je niet per definitie weerbaarder tegen een actuele ransomware-aanval.
NIST CSF (Cybersecurity Framework) pakt het anders aan. Het is gebouwd rondom vijf (sinds versie 2.0 zes) kernfuncties: Identify, Protect, Detect, Respond, Recover en Govern.
Het grote voordeel: NIST spreekt de taal van de business. Het gaat niet over “voldoen aan paragraaf A.5.1”, maar over “hoe snel ontdekken we een indringer en hoe herstellen we onze data?”
De perfecte match: NIST uitvoeren, ISO certificeren
De grootste angst van veel CISOs is dat de overstap naar een NIST-aanpak hun ISO-certificering in gevaar brengt. Die angst is ongegrond. Sterker nog, ze vullen elkaar perfect aan:
- ISO 27001 als Fundament: ISO biedt het managementsysteem (ISMS). Het zorgt voor de organisatorische bedding, de verantwoordelijkheden en de cyclus van continue verbetering.
- NIST CSF als Uitvoering: NIST biedt de tactische diepgang. Waar ISO zegt dat je toegang moet beveiligen, geeft NIST je een framework om te bepalen hoe je dat doet op basis van risico’s.
Waarom certificering geen probleem is
Je kunt prima werken volgens de principes van NIST en dit ‘mappen’ op de Annex A controls van ISO 27002. Tijdens een audit laat je simpelweg zien dat de maatregelen die je op basis van NIST hebt genomen, exact invulling geven aan de eisen van de ISO-norm.
De voordelen op een rij:
- Betere communicatie: Je praat met het bestuur over risico’s en hersteltijden (NIST), terwijl je de auditor de juiste documentatie overhandigt (ISO).
- Flexibiliteit: NIST is makkelijker aan te passen aan een moderne cloud-omgeving dan de soms rigide tekst van de ISO-norm.
- Geen dubbel werk: Door de samenhang te bewaken, gebruik je één set aan maatregelen voor twee doelen.
Conclusie
Stop met het zien van ISO en NIST als een “of/of”-verhaal. Gebruik NIST CSF om je security-operatie naar een hoger niveau te tillen en je echte weerbaarheid te vergroten. Gebruik ISO 27001 om die kwaliteit aan de buitenwereld te bewijzen met een certificaat.
Het is tijd voor een pragmatische aanpak: Security omdat het moet (ISO), maar vooral omdat het werkt (NIST).