Framework implementeren met een template

Je omgeving komt met een compleet framework-template dat al is ingericht, dus het implementeren is een kwestie van de vier PDCA-fasen doorlopen in plaats van iets opbouwen. Dit artikel loopt alle vier op volgorde door.

Beginnend met een template

Dit artikel beschrijft de implementatie van een compliance framework wanneer je begint met een voorbereid template. Je Tidal Control omgeving is al ingericht met alle benodigde elementen voor het gekozen framework.

Ben je begonnen zonder template of wil je een nieuw framework toevoegen? Zie dan het artikel Framework initialiseren zonder template.

Framework ready voor gebruik

Je omgeving bevat al een compleet framework-template, dus de eerste stap is nakijken wat er staat in plaats van het opbouwen.

Voorbereid framework template

Jouw Tidal Control omgeving is ingericht met een compleet framework template:

• Maatregelen (controls) zijn voorbereid en gekoppeld aan het gekozen framework
• Risico's zijn geïdentificeerd en al gekoppeld aan relevante maatregelen
• Implementatie taken zijn automatisch gegenereerd per maatregel
• Policy templates zijn beschikbaar en gekoppeld aan maatregelen via tests
• Framework koppelingen tussen alle elementen zijn al gelegd

Alle bouwstenen zijn aanwezig en gekoppeld - je kunt direct beginnen met implementatie.

Aan de slag

1. Ga naar Raamwerken sectie
2. Selecteer gewenst raamwerk (bijv. ISO 27001)
3. Raamwerk toont implementatie status en te implementeren maatregelen
4. Begin met eerste implementatie stappen:

Voor meer informatie over frameworks, zie Aan de slag met Raamwerken.

PDCA implementatie cyclus

PDCA (Plan-Do-Check-Act) is een bewezen methodologie voor systematische compliance implementatie. Deze cyclische benadering zorgt voor structurele verbetering en duurzame naleving:

• Plan - Strategische planning, risico analyse en scope bepaling
• Do - Uitvoering van maatregelen en policy implementatie
• Check - Monitoring, testing en validatie van effectiviteit
• Act - Verbeteracties en optimalisatie voor volgende cyclus

Door het uitvoeren van deze cyclus creëer je een werkend management systeem voor informatiebeveiliging (ISMS). De cyclus herhaalt zich vervolgens jaarlijks voor continue verbetering van je compliance posture.

Plan fase

In de Plan fase leg je de fundamenten voor je Information Security Management System (ISMS). Omdat je begint met een voorbereid template, zijn de meeste risico's en maatregelen al geïdentificeerd en gekoppeld. In deze fase zul je deze setup personaliseren naar je eigen organisatie.

Je focus ligt op:

• Contextualiseren van voorgedefinieerde elementen naar jouw organisatie
• Valideren of de template risico's en maatregelen relevant zijn voor jouw situatie
• Aanpassen van scope en prioriteiten waar nodig
• Voorbereiden van het implementatieteam en resources

De volgende stappen helpen je om van een generiek template naar een organisatie-specifiek implementatieplan te komen.

Stap 1: Bedrijfsprofiel invullen en contextanalyse uitvoeren

Deze stap beantwoordt de volgende vragen:

• Organisatie beschrijving - Wat doet je bedrijf, welke producten en diensten?
• Bedrijfsomgeving - Welke mensen, technologieën, locaties en processen zijn hiervoor nodig?
• Stakeholder mapping - Wie zijn belangrijke partijen (klanten, leveranciers, regelgevers) en wat verwachten zij van je op het gebied van informatiebeveiliging?
• Bedreiging identificatie - Welke informatiebeveiliging risico's bedreigen deze belangen?

Hoe uit te voeren:

1. Ga naar Beleid sectie

2. Zoek en selecteer 'Context of the organisation' uit de lijst met policies.

3. Selecteer 'Edit' rechtsboven in het scherm om het formulier in te kunnen vullen

4. Vul het document aan conform de instructies in het gele vlak

5. Selecteer 'Update' om het formulier (tussentijds) op te slaan

6. Selecteer 'Approve' om het formulier goed te keuren en deze taak af te ronden.

Stap 2: Inventariseren externe vereisten

Deze stap beantwoordt de volgende vragen:

• Wet- en regelgeving - Welke juridische verplichtingen gelden voor jouw organisatie?
• Standaarden - Welke branche-specifieke standaarden zijn van toepassing?
• Contractuele verplichtingen - Welke informatiebeveiliging eisen stellen klanten aan jouw organisatie?

Hoe uit te voeren:

1. Ga naar Beleid sectie
2. Zoek en selecteer 'Register of legal, statutory, regulatory, and contractual requirements' uit de lijst met policies
3. Selecteer 'Edit' rechtsboven in het scherm om het formulier in te kunnen vullen
4. Review het eerste blok - Bekijk de voorgedefinieerde lijst met wet- en regelgeving en markeer wat van toepassing is op jouw organisatie
5. Vul het tweede blok aan - Voeg branche-specifieke standaarden toe die relevant zijn voor jouw sector
6. Documenteer het derde blok - Inventariseer informatiebeveiliging vereisten uit klantcontracten en -overeenkomsten
7. Selecteer 'Update' om het formulier (tussentijds) op te slaan
8. Selecteer 'Approve' om het document goed te keuren en deze taak af te ronden

Stap 3: Asset inventaris opstellen en assets classificeren

Deze stap beantwoordt de volgende vragen:

• Bedrijfsmiddelen identificatie - Welke systemen, data en processen zijn kritiek voor je organisatie?
• Asset eigenaarschap - Wie is verantwoordelijk voor elk bedrijfsmiddel?
• Classificatie niveaus - Wat is de beveiligingswaarde per asset?
• Business impact - Wat gebeurt er bij verlies van beschikbaarheid, integriteit of vertrouwelijkheid?

Hoe uit te voeren:

1. Ga naar Middelen sectie

2. Klik "Middel toevoegen" om nieuwe bedrijfsmiddelen toe te voegen

3. Voor elk asset vul je in:

   • Asset naam en beschrijving
   • Asset type (bijv. System, Data, Process)
   • Owner - Wijs een verantwoordelijke persoon toe
   • Classification - Bepaal het beveiligingsniveau (Low, Medium, High)

4. Herhaal dit proces voor alle kritieke bedrijfsmiddelen

5. Review de complete lijst - Zijn alle essentiële assets opgenomen?

Voor meer informatie over asset beheer, zie Aan de slag met Middelen.

Stap 4: Risicoanalyse uitvoeren

Deze stap beantwoordt de volgende vragen:

• Relevante risico's - Welke risico's zijn er voor informatiebeveiliging?
• Hoogte van risico's - Wat is de kans dat de risico's zich manifesteren, en hoe hoog is de impact voor de organisatie indien deze tot schade leiden?
• Risicobehandelstrategie - Accepteren we deze risico's, of gaan we er iets aan doen (reduceren, overdragen, of vermijden)?

Hoe uit te voeren:

1. Ga naar Risico's sectie
2. Open voorgedefinieerde risico's uit framework
3. Beoordeel elk risico tegen jouw bedrijfscontext:

Voor meer informatie over risicomanagement, zie Risico's.

• Waarschijnlijkheid - Hoe waarschijnlijk treedt risico op?
• Impact - Wat is business impact bij optreden?
• Inherent risico wordt automatisch berekend
• Behandeling Selecteer een behandeloptie - Indien 'reduce': Review relevante controls om dit risico te reduceren
• Resterend risico bepaal het restrisico na implementatie van de behandeloptie

1. Voeg organisatie-specifieke risico's toe indien nodig
2. ** (optioneel) Koppel risico's aan specifieke Middelen** indien gewenst

Stap 5: Scope finaliseren en documenteren

Deze stap beantwoordt de volgende vragen:

• Scope van bedrijfsmiddelen: processen, locaties, en business units
• Scope van controls - Welke beheersmaatregelen zijn wel of niet relevant voor geïdentificeerde risico's?
• Rechtvaardiging hiervoor documenteren voor audit doeleinden

Hoe uit te voeren:

We gaan eerst de Maatregelen scope finaliseren:

1. Ga naar Maatregelen sectie
2. Klik 'Meer filters' bovenin het scherm
3. Klik 'Risico's' filter
4. Selecteer 'Geen risico toegewezen' in de dropdown

5. Review de Maatregelen in deze lijst:

• Koppel alsnog risico's aan Maatregelen die je nodig acht voor informatiebeveiliging
• Overweeg het archiveren van alle controls waar na evaluatie nog steeds geen risico aan gekoppeld zijn

Nu gaan we de Statement of applicability (Verklaring van Toepasselijkheid) finaliseren:

1. Ga naar Beleid sectie
2. Zoek en selecteer 'Statement of applicability' uit de lijst met policies
3. Selecteer 'Edit' rechtsboven in het scherm
4. Review het document - Het is al grotendeels ingevuld op basis van jouw template
5. Markeer out-of-scope controls:
   • Identificeer controls die niet van toepassing zijn op jouw organisatie
   • Voeg justification toe - Documenteer waarom elke control niet relevant is
   • Markeer als 'Not Applicable' in het document
6. Verificatie stap - Controleer of de out-of-scope lijst overeenkomt met gearchiveerde controls in Tidal:
   • Open een tweede tabblad met Maatregelen sectie
   • Filter op Gearchiveerd maatregelen
   • Vergelijk beide lijsten op consistentie
7. Selecteer 'Update' om wijzigingen op te slaan
8. Selecteer 'Approve' om het document goed te keuren

Als laatste gaan we de formele scope documentatie finaliseren:

1. Ga naar Beleid sectie
2. Zoek en selecteer 'Scope of the ISMS' uit de lijst met policies
3. Selecteer 'Edit' rechtsboven in het scherm om het formulier in te kunnen vullen
4. Documenteer de volgende elementen:
   • Processen - Welke bedrijfsprocessen vallen binnen de scope?
   • Locaties - Welke vestigingen en kantoren zijn inbegrepen?
   • Middelen - Welke systemen en bedrijfsmiddelen zijn onderdeel van het ISMS?
   • Organisatie onderdelen - Welke afdelingen en business units vallen binnen scope?
5. Selecteer 'Update' om het formulier op te slaan
6. Selecteer 'Approve' om het document goed te keuren

Stap 6: Information Security Policy goedkeuren

Deze stap beantwoordt de volgende vraag:

• Organisatie commitment - Hoe toont de organisatie haar commitment tot informatiebeveiliging en het ISMS?

Het Information security policy (Informatiebeveiligingsbeleid) vormt de basis van je ISMS en toont management commitment aan informatiebeveiliging. Dit beleid moet goedgekeurd worden door het senior management.

Hoe uit te voeren:

1. Ga naar Beleid sectie
2. Zoek en selecteer 'Information security policy' uit de lijst met policies
3. Selecteer 'Edit' rechtsboven in het scherm om het formulier in te kunnen vullen
4. Review en pas het policy template aan:
   • Controleer organisatie details - Naam, sector, en bedrijfsactiviteiten
   • Valideer scope verwijzing - Klopt de verwijzing naar je ISMS scope?
   • Review commitment statements - Passen deze bij jouw organisatie cultuur?
   • Aanpassen waar nodig - Maak het beleid organisatie-specifiek
5. Selecteer 'Update' om het formulier op te slaan
6. Selecteer 'Approve' om het beleid goed te keuren en deze stap af te ronden

Stap 7: Rollen toewijzen en doelstellingen finaliseren

Deze stap beantwoordt de volgende vragen:

• Wie is waarvoor verantwoordelijk - Welke personen vervullen de belangrijkste ISMS rollen?
• Wat willen we bereiken - Welke concrete doelstellingen heeft de organisatie voor deze PDCA cyclus?
• Hoe meten we succes - Aan welke criteria kunnen we voortgang afmeten?

Roles and responsibilities invullen:

1. Ga naar Beleid sectie
2. Zoek en selecteer 'Roles and responsibilities' uit de lijst met policies
3. Selecteer 'Edit' rechtsboven in het scherm
4. Vul de ISMS rollen tabel in:
   • CISO/ISO - Wijs de Information Security Officer toe
   • DPO - Benoem de Data Protection Officer (indien van toepassing)
   • Overige rollen - Vul aanvullende functies in conform jouw organisatie
5. Selecteer 'Update' om het formulier op te slaan
6. Selecteer 'Approve' om het document goed te keuren

Information security objectives reviewen:

1. Ga naar Beleid sectie
2. Zoek en selecteer 'Information security objectives' uit de lijst met policies
3. Selecteer 'Edit' rechtsboven in het scherm
4. Voor eerste PDCA cyclus:
   • Review voorgedefinieerde doelstellingen - Deze zijn al ingevuld voor de eerste cyclus
   • Pas aan waar nodig - Maak doelen specifiek voor jouw organisatie context
   • Expertise gaps - Als er nog aanvullende trainingen nodig zijn voor teamleden, vul die dan ook hier aan als doelstellingen
   • Valideer dat doelstellingen SMART zijn - Controleer of success criteria, verantwoordelijken, en tijdlijnen concreet en realistisch zijn
5. Selecteer 'Update' om het formulier op te slaan
6. Selecteer 'Approve' om het document goed te keuren

Taken toewijzen aan team:

1. Ga naar Taken sectie

1. Filter op framework taken om alleen relevante taken te tonen
2. Selecteer taken die handmatige uitvoering vereisen
3. Wijs eigenaren toe via "Assign" dropdown per taak
4. Team ontvangt notificaties en kan aan de slag met uitvoering
5. Monitor voortgang via task status updates

Voor meer informatie over taken beheer, zie Taken

Do fase

In de Do fase voer je de geplande maatregelen daadwerkelijk uit. Omdat je begint met een template, zijn de implementatietaken al voorbereid en gekoppeld aan controls. Je focus ligt op uitvoering en documentatie.

Automatische testing configureren en monitoren

Verbind de systemen die je daadwerkelijk gebruikt, zodat hun compliance tests echte data kunnen gaan rapporteren.

Technische controls automatiseren:

1. Identificeer relevante systemen - AWS, Azure, Google Cloud, GitHub, etc.

2. Ga naar Integraties sectie

3. Configureer integraties voor geautomatiseerde compliance tests

4. Test de verbindingen - Controleer dat data correct wordt opgehaald

5. Monitor test resultaten - Review pass/fail status voor technical controls

6. Address failures - Los technische issues op waar tests falen

Voor gedetailleerde integratie setup, zie Integrations getting started.

Test resultaten interpreteren:

1. Ga naar Tests sectie

2. Review framework-gerelateerde tests

3. Analyseer Pass/Fail trends

4. Identificeer verbeterpunten uit Failed tests

5. Plan verbeteracties voor testen die niet direct opgelost kunnen worden

Voor test management, zie Tests getting started.

Overige policies adopteren

Werk de policies door die nog op Not started of Draft staan en pas elk template aan je eigen situatie aan.

Resterende policy templates aanpassen:

1. Ga naar Beleid sectie
2. Filter op 'Niet gestart' en 'Concept' status om nog niet afgeronde policies te tonen
3. Voor elke policy:
   • Open en review de template inhoud
   • Pas aan naar organisatie context - Maak het specifiek voor jouw situatie
   • Vul placeholders in - Vervang generieke tekst met organisatie details
   • Submit voor goedkeuring via "Request Approval"
4. Monitor approval workflow - Track status en addresseer feedback
5. Communiceer goedgekeurde policies naar relevante teams

Voor meer informatie over policy management, zie Aan de slag met Beleid.

Handmatige taken uitvoeren

Je persoonlijke takenlijst bestaat al; werk hem door en volg de instructies per taak.

Je eigen control implementatie taken afwerken:

1. Ga naar My Tasks sectie - deze is al gefilterd op jouw persoonlijke taken
2. Voor elke taak:
   • Review implementatie instructies in de taak beschrijving
   • Voer de vereiste acties uit conform de guidance
   • Upload bewijsmateriaal - Documenten, screenshots, of certificaten
   • Documenteer implementatie details via taak comments
   • Update status naar 'Completed' wanneer afgerond
3. Valideer: dat er geen taken meer openstaan in My Tasks

Team voortgang monitoren:

1. Ga naar Taken pagina - Om de status te checken van toegewezen taken aan anderen
2. Monitor taken die geblokkeerd zijn en de dead-line naderen - Help teamleden met obstakels
3. Ga naar Dashboard pagina - Voor een totaaloverzicht van openstaande werkzaamheden in Tidal

Voor meer informatie over dashboard en overzichten, zie Tidal Control documentatie.

Check fase

In de Check fase valideer je de effectiviteit van geïmplementeerde maatregelen en bereid je voor op de formele reviews. Je controleert of alle controls correct zijn uitgevoerd en documenteert bevindingen voor management.

Control status monitoring

Filter het Maatregelen overzicht op alles dat niet groen is en pak dat eerst op.

Alle controls op groen krijgen:

1. Ga naar Maatregelen sectie

2. Review control status overview - Gebruik het dashboard voor totaaloverzicht

3. Filter op 'Niet effectief' status om problematische controls te identificeren

4. Voor elke control die niet groen staat:

   • Open de control details - Analyseer waarom status niet OK is
   • Check gekoppelde taken - Zijn alle implementatie taken afgerond?
   • Valideer bewijsmateriaal - Is documentatie compleet en actueel?
   • Addresseer issues - Los ontbrekende elementen op

5. Valideer dat alle controls 'Effectief' (groen) tonen

Tidal quality testen valideren

Filter het Tests overzicht op Tidal-integratie failures en werk ze één voor één door.

Kwaliteitschecks doorlopen:

1. Ga naar Tests sectie

2. Filter op integration 'Tidal' en status 'Mislukt' om gefaalde kwaliteitstests te tonen

3. Voor elke gefaalde test:

   • Review test description - Begrijp wat er wordt gecontroleerd
   • Analyseer waarom de test faalt - Wat is er niet compliant?
   • Corrigeer de onderliggende data - Fix issues in risico-analyses, asset beoordelingen, etc.
   • Re-run test - Controleer dat de test nu slaagt

4. Valideer dat alle Tidal tests 'Geslaagd' status hebben

Veelvoorkomende problemen in Tidal:

• Onvolledige risicobeoordelingen - Risico's zonder likelihood/impact scores of risicoacceptatiecriteria niet ingevuld.
• Missing asset owners - Middelen zonder toegewezen eigenaar
• Policy gaps - Beleidsstukken in Concept status of niet goedgekeurd

Interne audit uitvoeren

Het Internal audit programme-beleid beschrijft het proces; controleer de voorwaarden voordat je begint.

Voorbereiding interne audit:

1. Ga naar Beleid sectie
2. Zoek en open 'Internal audit programme' - Review de audit procesbeschrijving
3. Controleer dat alle voorwaarden zijn vervuld:
   • Alle controls hebben status OK
   • Alle Tidal tests zijn passed
   • Policy documentatie is compleet en goedgekeurd

Audit uitvoering:

1. Plan interne audit - Meestal uitgevoerd door Tidal consultant
2. Volg Internal audit programme - Volgens gestandaardiseerde methodologie
3. Documenteer bevindingen - Gebruik Tidal rapportage template
4. Reageer op audit findings - Management vult in de rapportage template haar eerste reactie in op het rapport
5. Upload de rapportage en sluit de bijbehorende assessment taak af in Tidal om het proces af te ronden

Voor meer informatie over interne audits, zie Tidal Control documentatie.

Management review uitvoeren

Breng senior management de bevindingen, zet besluiten om in actieplannen, en sluit de taak af zodra de notulen zijn geüpload.

Management review uitvoering:

1. Plan management review meeting - Nodig senior management uit
2. Presenteer bevindingen - Gebruik het 'Management review' template als agenda
3. Stel actieplannen op - En documenteer deze ook in de notulen van de meeting
4. Upload de notulen en sluit de bijbehorende taak af in Tidal om het proces af te ronden

Voor meer informatie over management reviews, zie Tidal Control documentatie.

Act fase

In de Act fase zet je bevindingen uit de Check fase om in concrete verbeteracties en richt je het systeem in voor continue monitoring. Je documenteert actiepunten als Issues en configureert terugkerende processen via Plannen.

Issues aanmaken voor findings en acties

Elke bevinding uit de audit en de review wordt een eigen issue, zodat hij wordt bijgehouden en toegewezen.

Management actiepunten vastleggen:

1. Ga naar Issues sectie

2. Klik 'Issue toevoegen' om nieuwe actiepunten aan te maken

3. Voor elke finding uit interne audit en management review:

   • Issue titel - Korte, duidelijke beschrijving van het actiepunt
   • Omschrijving - Detailleerde uitleg van de finding en gewenste actie
   • Eigenaar toewijzen - Wijs eigenaar toe (meestal management of process owner)
   • Vervaldatum - Stel realistische deadline in
   • Prioriteit - Bepaal urgentie (High/Medium/Low)
   • Link to framework - Koppel aan relevant framework indien van toepassing

4. Monitor voortgang - Track status van uitgezette actiepunten

5. Update status - Mark issues als 'Resolved' wanneer afgerond

Voor meer informatie over issue management, zie Issues.

Plannen valideren en aanpassen

Omdat je met een template begon, bestaan de essentiële Plannen al; je hoeft ze alleen te controleren en aan te passen.

Voorgeconfigureerde Plannen reviewen: Omdat je begint met een template, zijn de essentiële Plannen al aangemaakt en geconfigureerd. Je hoeft alleen de instellingen te valideren en aan te passen waar nodig.

1. Ga naar Plannen sectie

2. Voor elke Plan:

   • Open Plan details - Klik op de Plan naam
   • Check 'Creation Date' - Klopt de startdatum voor taakgeneratie?
   • Valideer 'Due Date' - Zijn deadlines realistisch voor jouw organisatie?
   • Check gekoppelde Maatregelen - Zitten de juiste controls in het Plan?
   • Herverdeel tussen Plannen - Verplaats controls naar de juiste Plan indien nodig

3. Activeer Plannen - Zorg dat alle Plannen status 'Actief' hebben

4. Review taakgeneratie - Controleer dat de eerstvolgende taken correct worden aangemaakt

Voor gedetailleerde Plannen configuratie, zie Plannen.

Continuous improvement implementeren

De cyclus afsluiten betekent bevestigen dat issues zijn opgepakt, plans nog werken, en lessen zijn gedocumenteerd voor de volgende ronde.

Volgende PDCA cyclus voorbereiden:

1. Review alle Issues - Zorg dat actiepunten worden opgepakt
2. Valideer Plannen - Controleer dat automation correct werkt
3. Document lessons learned - Vastleggen van ervaringen voor volgende cyclus
4. Prepare next cycle - Planning voor volgende PDCA iteratie

Success indicatoren:

• Alle Issues hebben eigenaren en realistische deadlines
• Plannen zijn actief en genereren taken volgens schema
• Team is trained op nieuwe processen en tools
• Framework is operational en levert continue compliance value

Je hebt nu een volledig operationeel compliance framework met geautomatiseerde monitoring dat continue waarde levert aan je organisatie.