In dit artikel8
Wat is een ISO 27001 Lead Implementer-opleiding?
Een ISO 27001 Lead Implementer-opleiding leert je hoe je een ISMS volgens ISO/IEC 27001 opzet en invoert. Bij PECB, de aanbieder van de PECB Certified ISO/IEC 27001 Lead Implementer, is dat een cursus van vijf dagen met het examen op dag vijf. Dit artikel beschrijft die PECB-route. Andere aanbieders hebben een eigen programma en eigen eisen. Lees bij elke aanbieder na wat er in de cursus zit.
Opleiding en certificering zijn niet hetzelfde. De opleiding bestaat uit de cursus en het examen. Een certificering vraagt daarnaast beroepservaring op het gekozen niveau, en voor de hogere niveaus ook uren ISMS-projectwerk. Een organisatie hoeft geen gecertificeerde implementer te hebben om een ISMS in te voeren.
Wie de auditkant van ISO/IEC 27001 wil kennen, leest over de Lead Auditor-opleiding, die PECB ook aanbiedt. Het verschil tussen beide rollen komt verderop terug.
Wat doet een Lead Implementer?
PECB noemt als leerdoelen dat deelnemers na de cursus ISMS-basisbegrippen kunnen uitleggen en de eisen van ISO/IEC 27001 kunnen interpreteren vanuit het perspectief van een implementer. Ze kunnen een implementatie plannen met de IMS2-methodologie van PECB en andere best practices, de werking en continue verbetering van een ISMS ondersteunen, en een organisatie voorbereiden op een certificeringsaudit door een derde partij.
Als projectactiviteiten telt PECB onder meer: een businesscase opstellen voor de implementatie, een implementatieproject of -team leiden, het ISMS implementeren, gedocumenteerde informatie beheren, corrigerende maatregelen uitvoeren en de prestaties van het ISMS monitoren.
Hoe een werkdag eruitziet, verschilt per organisatie. In grote lijnen gaat het om afspreken wat binnen de scope van het ISMS valt, risico's in kaart brengen, bepalen welke maatregelen nodig zijn en welke niet, beleid en procedures laten schrijven, eigenaren aanwijzen, bewijs verzamelen dat maatregelen werken, een interne audit en een managementreview laten plaatsvinden, en de organisatie voorbereiden op de externe audit. Een implementer begeleidt vooral. Hij of zij schrijft niet altijd alles zelf.
Neem een verzonnen voorbeeld: een middelgrote softwareorganisatie wil een ISO/IEC 27001-certificaat, omdat klanten daarom vragen. De implementer begint met de scope: welke producten, locaties en teams horen erbij. Daarna volgen een risicobeoordeling, een keuze van maatregelen en de vastlegging daarvan. Beleid en procedures worden ingevoerd, medewerkers houden zich eraan, en de organisatie laat in de praktijk zien dat het werkt. Pas daarna volgt de externe audit.
Een implementer kan werken als externe adviseur of als interne projectleider.
Hoe verloopt de PECB-opleiding?
De cursus volgt een agenda van vijf dagen. Bron: de PECB-cursuspagina.
Dag | Onderwerp |
|---|---|
1 | Introductie van ISO/IEC 27001 en het starten van een ISMS-implementatie |
2 | Het plannen van de implementatie |
3 | Het implementeren van het ISMS |
4 | Monitoring, continue verbetering en voorbereiding op de certificeringsaudit |
5 | Het certificeringsexamen |
Het PECB-examen kent zeven competentiedomeinen:
- Fundamentele principes en concepten van een ISMS
- De ISMS-eisen volgens ISO/IEC 27001
- Het plannen van een ISMS-implementatie
- Het implementeren van een ISMS
- Monitoring en meting van een ISMS
- Continue verbetering van een ISMS
- Voorbereiding op een ISMS-certificeringsaudit
De opleiding richt zich op managers en consultants die betrokken zijn bij het implementeren van een ISMS, op projectmanagers, consultants en adviseurs die verantwoordelijk zijn voor het in conformiteit houden van een organisatie met de ISMS-eisen, en op leden van een ISMS-team. Als voorkennis noemt PECB algemene kennis van ISMS-begrippen en van ISO/IEC 27001.
De aanpak combineert essay-opdrachten, meerkeuzequizzen, voorbeelden en best practices voor implementatie. De oefeningen draaien om een casus, en deelnemers bespreken quizzen en oefeningen met elkaar. De opbouw van de quizzen lijkt op die van het certificeringsexamen. Volgens PECB beslaan de cursusmaterialen meer dan 450 pagina's met uitleg, voorbeelden, oefeningen en quizzen.
Voor de duur, het formaat en de talen van het examen is PECB de bron. Raadpleeg de lijst van PECB-examens en de examenregels op de PECB-site. De sessies op de cursuspagina zijn in het Engels.
Welke niveaus en eisen kent de PECB-certificering?
PECB kent vier certificeringsniveaus voor de ISO/IEC 27001 Implementer. De eisen per niveau:
Niveau | Totale beroepservaring | Ervaring in informatiebeveiligingsmanagement | ISMS-projectervaring |
|---|---|---|---|
Provisional Implementer | geen | geen | geen |
Implementer | twee jaar | één jaar | 200 uur |
Lead Implementer | vijf jaar | twee jaar | 300 uur |
Senior Lead Implementer | tien jaar | zeven jaar | 1.000 uur |
Voor alle niveaus is het slagen voor het PECB Certified ISO/IEC 27001 Lead Implementer-examen (of een gelijkwaardig examen) vereist, en onderteken je de PECB Code of Ethics. Welke projectactiviteiten PECB meetelt, staat hierboven bij de rol van de implementer.
Het opleidingsniveau staat in het PECB-kandidatenhandboek: voor alle niveaus minimaal secundair onderwijs. Zoals bij elke certificering kunnen de eisen veranderen. Lees ze op de PECB-site na voordat je een traject kiest.
Wat zit er in de prijs en hoe onderhoud je de certificering?
Volgens PECB zijn de kosten voor certificering en examen inbegrepen in de prijs van de cursus. Vraag bij de aanbieder na wat de cursus precies kost en wat erin zit. Wie de cursus volgt, krijgt een bewijs van deelname ter waarde van 31 CPD-credits. Wie zakt, kan binnen 12 maanden na de eerste poging gratis opnieuw examen doen.
Een PECB-certificering is volgens het kandidatenhandboek drie jaar geldig. Om de certificering te behouden, moet je voldoen aan de eisen die bij die certificering horen, zoals het behalen van het vereiste aantal CPD-uren, en betaal je een jaarlijkse onderhoudsvergoeding. Wie als Lead-houder niet aan de onderhoudseisen voldoet, kan worden teruggezet naar een lager niveau, een downgrade. Verwijs voor de actuele eisen naar PECB.
Kijk ook welk schema de werkgevers in jouw vacatures noemen, PECB of een ander. Dat verschilt per werkgever en per functie.
Welke norm staat centraal: ISO/IEC 27001:2022?
ISO noemt ISO/IEC 27001 de bekendste norm ter wereld voor informatiebeveiligingsmanagementsystemen (ISMS). De norm beschrijft de eisen waaraan zo'n systeem moet voldoen. De huidige editie is ISO/IEC 27001:2022, de derde editie, gepubliceerd in oktober 2022. Bron: ISO over ISO/IEC 27001.
Een ISMS is het geheel van beleid, risicoanalyse, maatregelen, rollen en controles waarmee een organisatie informatiebeveiliging beheerst en verbetert. De norm eist dat dit systeem bestaat, wordt uitgevoerd, wordt gecontroleerd en wordt verbeterd. Daarom leest een implementer de eisen als bouwplan: hij of zij zet de onderdelen op en laat zien dat ze werken.
Volgens ISO kan een organisatie zelf kiezen of ze zich laat certificeren. Certificaten van geaccrediteerde certificatie-instellingen vergroten het vertrouwen van klanten en andere belanghebbenden. ISO raadt aan de volledige aanduiding te gebruiken, zoals "gecertificeerd naar ISO/IEC 27001:2022".
Over Annex A, de Statement of Applicability (SoA) en de overgang lees je meer in het artikel over ISO 27001.
Privacymanagement valt onder een andere norm. ISO/IEC 27701 heeft een eigen artikel, en op de skillpagina voor ISO/IEC 27701 zie je welke vacatures die kennis vragen.
Lead Implementer of Lead Auditor?
Lead Implementer | Lead Auditor | |
|---|---|---|
Doel | Een ISMS opzetten, invoeren en voorbereiden op de certificeringsaudit | Een ISMS beoordelen tijdens een audit |
Dag 1 tot 4 | Introductie en start, plannen, implementeren, monitoring en voorbereiding op de audit | Introductie van het ISMS, auditprincipes en voorbereiding, auditactiviteiten ter plaatse, het afsluiten van de audit |
Dag 5 | Certificeringsexamen | Certificeringsexamen |
Lead-niveau | Vijf jaar beroepservaring, waarvan twee jaar in informatiebeveiligingsmanagement, en 300 uur ISMS-projectwerk | Vijf jaar beroepservaring, waarvan twee jaar in informatiebeveiligingsmanagement, en 300 uur auditervaring |
Bewijs van deelname | 31 CPD-credits | 31 CPD-credits |
Het PECB-programma voor de Lead Auditor staat op de PECB-pagina voor de Lead Auditor. Vacatures met de Lead Auditor-skill vind je op de skillpagina voor ISO 27001 Lead Auditor.
Wie adviseert, implementeert of projecten leidt, kijkt eerder naar de Lead Implementer. Wie toetst, rapporteert of audit doet, kijkt eerder naar de Lead Auditor. Mensen in GRC-rollen doen soms beide, afhankelijk van het project. Voor de keuze helpt de keuzegids per functie.
De implementer helpt het systeem bouwen en onderhouden, en de auditor beoordeelt het. Beide rollen vullen elkaar aan. Bij sommige organisaties wordt gevraagd dat wie een systeem heeft opgezet het niet zelf auditeert, om de onafhankelijkheid te bewaren. Dat is een algemene praktijk, en het verschilt per organisatie.
Voor welke functies past de Lead Implementer?
De opleiding past bij verschillende functies in security, risk en compliance. Wat een werkgever precies vraagt, verschilt per organisatie. Op de vacaturepagina voor GRC-consultants en op de werkgeverspagina voor GRC-consultants zie je welke werkgevers GRC-consultants zoeken.
- GRC-consultant. Een GRC-consultant adviseert over governance, risk en compliance. Met deze opleiding bedient die de implementatiekant van ISO/IEC 27001. Zie de rolgids voor GRC-consultants.
- Information Security Officer en Security Manager. Een Information Security Officer of Security Manager gebruikt de kennis om een bestaand ISMS te onderhouden en te verbeteren. Het verschil met een CISO staat in deze carrieregids.
- Compliance Officer. Een Compliance Officer werkt met de normeisen als onderdeel van het bredere kader van compliance en privacy.
- Risk Manager. Een Risk Manager werkt met de normeisen als onderdeel van het bredere kader van risk management.
Of een werkgever deze titel vraagt, staat in de vacature. Een opleiding vervangt geen ervaring. De opleiding en het examen geven de toegang, de hogere niveaus vragen aantoonbare uren projectwerk. Wie een andere certificering overweegt, leest CISSP, CISM of CISA: welke certificering past. Meer artikelen staan in de kennisbank.
Wat is het verschil tussen de opleiding en de certificering?
De opleiding is de cursus van vijf dagen met het examen op dag vijf. Voor de certificering komt daar beroepservaring bij en voor de hogere niveaus ook ISMS-projectwerk. PECB kent vier niveaus, van Provisional Implementer zonder ervaringseis tot Senior Lead Implementer.
Hoeveel ervaring heb je nodig voor Lead Implementer bij PECB?
PECB vraagt voor het niveau Lead Implementer vijf jaar beroepservaring, waarvan twee jaar in informatiebeveiligingsmanagement, en 300 uur ISMS-projectactiviteiten. Ook voor dit niveau moet je voor het examen slagen. Begin je net, dan is Provisional Implementer het startpunt, want daarvoor gelden geen ervaringseisen.
Wat is het verschil tussen Lead Implementer en Lead Auditor?
De Lead Implementer richt zich op het opzetten en invoeren van een ISMS en op de voorbereiding op de audit. De Lead Auditor leert auditen: auditprincipes, auditactiviteiten ter plaatse en het afsluiten van een audit. Het Lead Auditor-niveau vraagt 300 uur auditervaring in plaats van ISMS-projectwerk.
Zit het examen in de prijs van de cursus en wat als je zakt?
Volgens PECB zijn de kosten voor certificering en examen inbegrepen in de prijs van de cursus. Wie de cursus volgt, krijgt een bewijs van deelname ter waarde van 31 CPD-credits. Wie zakt, kan binnen 12 maanden na de eerste poging gratis opnieuw examen doen.
Voor welke functies past de Lead Implementer?
De opleiding past bij GRC-consultants, die de implementatiekant van ISO/IEC 27001 bedienen. Information Security Officers, Security Managers, Compliance Officers en Risk Managers gebruiken de kennis binnen hun eigen kader. Of een werkgever een Lead Implementer-titel vraagt, staat in de vacature.