ISMS (Information Security Management System)

Een ISMS (information security management system, managementsysteem voor informatiebeveiliging) is het gestructureerde kader waarmee een organisatie informatiebeveiliging stuurt: beleid, processen, rollen en beheersmaatregelen die vertrouwelijkheid, integriteit en beschikbaarheid van informatie blijvend moeten waarborgen.

Kernonderdelen zijn een door de directie vastgesteld beleid, een systematische risicoanalyse, daaruit afgeleide technische en organisatorische maatregelen, duidelijke verantwoordelijkheden en een continu verbeterproces met interne audits en directiebeoordelingen. Belangrijk voor de plaatsbepaling: een ISMS is geen softwareproduct maar een managementsysteem – tools ondersteunen het, maar vervangen processen noch verantwoordelijkheid.

De meest verbreide norm voor opzet en certificering is ISO 27001; voor de Nederlandse overheid geldt daarnaast de BIO (Baseline Informatiebeveiliging Overheid), en regelgeving zoals NIS2 veronderstelt de facto een werkend ISMS. Opzet en certificeringsvoorbereiding zijn klassieke terreinen van IT Security Consulting.