ISO 27001 in het kort
ISO 27001 is de internationale norm voor informatiebeveiliging. Organisaties die deze norm implementeren, zetten een Information Security Management System (ISMS) op: een gestructureerd raamwerk waarmee je de vertrouwelijkheid, integriteit en beschikbaarheid van informatie waarborgt. De norm werkt met een vaste set beheersingsmaatregelen uit Annex A (gebaseerd op ISO 27002). Na een geslaagde audit ontvang je een officieel certificaat.
Belangrijk om te weten: dat certificaat is een momentopname. Het zegt iets over de opzet van je beveiligingsbeleid, maar niet per se over de effectieve werking ervan over langere tijd. Voor accountants van jouw klanten is het daardoor van beperkte toegevoegde waarde.
ISAE 3402 in het kort
ISAE 3402 (International Standard on Assurance Engagements) is specifiek ontwikkeld voor serviceorganisaties. De standaard draait om het aantonen dat interne beheersingsmaatregelen effectief werken, met name wanneer die processen de financiële verslaglegging van klanten beïnvloeden. Anders dan bij een certificering leidt deze standaard tot een assurance rapport, opgesteld door een onafhankelijke accountant.
De verklaring bestaat in twee varianten:
Type 1
Beoordeelt de opzet van maatregelen op één moment.
Type 2
Toetst de daadwerkelijke werking over minimaal zes maanden.
Juist die Type 2 verklaring maakt de standaard zo waardevol: het toont niet alleen aan dát maatregelen bestaan, maar ook dat ze in de praktijk werken.
SOC 2: het beste van twee werelden
Naast de twee bovengenoemde standaarden wint SOC 2 (Service Organization Control 2) wereldwijd snel aan populariteit, en dat is niet zonder reden. Deze assurance standaard combineert de diepgang van een ISAE verklaring met een scope die gericht is op informatiebeveiliging en privacy.
SOC 2 is gebaseerd op de Trust Services Criteria en toetst op vijf domeinen:
- Beveiliging
- Beschikbaarheid
- Verwerkingsintegriteit
- Vertrouwelijkheid
- Privacy
Waar ISAE 3402 zich richt op processen met invloed op financiële verslaglegging, dekt SOC 2 informatiebeveiliging breder af. Tegelijkertijd biedt het dezelfde assurance kracht: het rapport wordt opgesteld door een onafhankelijke auditor en toetst de werking van maatregelen over een langere periode. Voor IT dienstverleners, SaaS bedrijven en cloudleveranciers is dit een krachtige keuze die in één rapport meerdere domeinen afdekt.
De belangrijkste verschillen
Hoewel de drie standaarden raakvlakken hebben op het gebied van risicobeheer, zijn er fundamentele verschillen. Hieronder zie je ze eerst in één oogopslag, daarna lichten we elk verschil toe.
| Kenmerk | ISO 27001 | ISAE 3402 | SOC 2 |
|---|---|---|---|
| Focus | Informatiebeveiliging in brede zin | Betrouwbaarheid van processen met invloed op de financiële rapportage van klanten | Informatiebeveiliging en privacy, zonder beperking tot financiële processen |
| Uitkomst | Formeel certificaat | Assurance rapport | Assurance rapport |
| Maatregelen | Voorgeschreven set uit Annex A | Principle based: je bepaalt zelf welke maatregelen passend zijn | Trust Services Criteria als vast toetsingskader |
| Diepgang | Momentopname | Type 2 toetst de werking over minimaal zes maanden | Type 2 toetst de werking over een langere periode |
| Steun voor accountants van klanten | Beperkt | Ja | Ja |
Doel en focus
ISO 27001 richt zich op informatiebeveiliging in brede zin. ISAE 3402 richt zich op de betrouwbaarheid van interne processen die invloed hebben op de financiële rapportage van klanten. SOC 2 combineert informatiebeveiliging met procesbeheersing, zonder de beperking tot financiële processen.
Certificering versus assurance
Een geslaagde ISO 27001 audit resulteert in een formeel certificaat. De andere twee standaarden leveren een assurance rapport op, opgesteld door een onafhankelijke auditor. Cruciaal verschil: accountants van jouw klanten kunnen steunen op zo'n assurance rapport, maar niet op een certificaat.
Flexibiliteit en scope
ISO 27001 werkt met een voorgeschreven set maatregelen uit Annex A. ISAE 3402 is principle based: organisaties bepalen zelf welke beheersingsmaatregelen passend zijn. SOC 2 werkt met de Trust Services Criteria als vast toetsingskader, maar laat ruimte in hoe organisaties daaraan voldoen. Dat maakt het gestructureerder dan ISAE 3402, maar flexibeler dan een ISO certificering.
Diepgang van de audit
Een ISO 27001 audit is in zekere zin een momentopname. Zowel de ISAE 3402 Type 2 als de SOC 2 Type 2 verklaring kijken naar de werking van maatregelen over een langere periode, wat beide aanzienlijk diepgaander maakt.
Een handige vergelijking: een certificering is als een APK keuring, terwijl een assurance verklaring meer lijkt op een volledig onderhoudslogboek.
Wanneer kies je welke standaard?
ISO 27001
Kan een startpunt zijn wanneer je een gestructureerd beveiligingsbeleid wilt neerzetten. Houd er wel rekening mee dat het certificaat voor accountants van jouw klanten beperkt bruikbaar is.
ISAE 3402
De norm bij uitstek voor serviceorganisaties waarvan de processen direct invloed hebben op de financiële verslaglegging van klanten. Denk aan salarisverwerkers, pensioenbeheerders en partijen in de financiële keten.
De standaard speelt ook een groeiende rol in wettelijke context, zoals de Wet Financieel Toezicht en Sarbanes Oxley (SOx 404). Voor veel serviceorganisaties is het geen keuze, maar een noodzaak.
SOC 2
Ideaal wanneer je zekerheid wilt bieden over informatiebeveiliging en privacy, zonder de beperking tot financiële processen. Het grote voordeel: je combineert assurance kracht met een brede scope op informatiebeveiliging, in één rapport.
Combineren voor maximale zekerheid
Veel organisaties combineren standaarden, en dat loont. ISAE 3402 en SOC 2 vullen elkaar sterk aan: de eerste dekt financiële procesbeheersing af, de tweede informatiebeveiliging en privacy. Maatregelen overlappen op gebieden als toegangscontrole, wijzigingsbeheer en continuïteit, waardoor je efficiënt kunt werken zonder dubbele audits. Samen bieden ze klanten en stakeholders maximale zekerheid over de volle breedte van je dienstverlening.
Tot slot
De drie standaarden zijn geen concurrenten, maar vullen elkaar aan vanuit een eigen perspectief. De keuze hangt af van je dienstverlening, de verwachtingen van je klanten, en de regelgeving waar je mee te maken hebt.
- Raken jouw processen de financiële rapportage van klanten? Dan is ISAE 3402 onmisbaar.
- Wil je breed zekerheid bieden over informatiebeveiliging en privacy? Dan is SOC 2 een krachtige keuze.
- En voor veel serviceorganisaties biedt een combinatie van beide de meeste waarde.
Welke standaard past bij jouw situatie?
Wil je weten welke standaard het beste aansluit bij jouw situatie? Neem dan contact met ons op voor een vrijblijvend adviesgesprek.
