Direct antwoord
Annex A-maatregel 6.7 eist dat er beveiligingsmaatregelen zijn voor werken op afstand: beleid en voorzieningen die informatie beschermen buiten de kantooromgeving. Kernonderdelen: versleutelde en beheerde apparaten, veilige verbindingen, MFA, regels voor de fysieke werkomgeving (schermen, gesprekken, papier) en duidelijkheid over privé-apparaten en openbare netwerken.
Annex A-maatregel 6.7 van ISO 27001, “Remote working”, erkent dat de kantoormuren geen beveiligingsgrens meer zijn. Thuis, onderweg en op locatie bij klanten moet informatie even goed beschermd zijn, met andere middelen.
Wat eist de maatregel?
Beveiligingsmaatregelen wanneer personeel op afstand werkt, ter bescherming van informatie die buiten de locaties van de organisatie wordt benaderd, verwerkt of opgeslagen. De norm noemt onder meer: de fysieke omgeving, communicatiebeveiliging, dreigingen van huisgenoten en bezoekers, en het gebruik van privénetwerken en -apparaten.
Zo vul je hem in
- Beheer de apparaten: zakelijk beheerde laptops en telefoons met versleuteling, automatische vergrendeling, updates en wisbaarheid op afstand (MDM); BYOD alleen onder vastgelegde voorwaarden.
- Beveilig de verbinding: MFA op alle diensten, versleutelde verbindingen, en VPN of gelijkwaardig voor interne systemen; waarschuw voor onbeveiligde openbare wifi.
- Stel omgevingsregels: scherm niet zichtbaar voor derden (privacyfilter in trein en openbare ruimtes), vergrendelen bij weglopen, vertrouwelijke gesprekken niet in het openbaar, papier thuis beperken en veilig afvoeren.
- Regel de meldroute: verlies of diefstal van een apparaat wordt direct gemeld (6.8), waarna op afstand wissen volgt.
- Neem het op in awareness: thuiswerkscenario’s zijn vast onderdeel van de training (6.3).
Waar let de auditor op?
De auditor toetst het beleid en de technische afdwinging: staat versleuteling echt aan op alle laptops, werkt de wis-op-afstand, is MFA overal actief? Interviews leggen de praktijk bloot: de medewerker die vanaf de privé-pc van het gezin in de klantomgeving werkt, is de klassieke vondst. Technisch afdwingen wat af te dwingen valt, scheelt hier de meeste bevindingen.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Wat hoort er in een thuiswerkbeleid?
Welke apparaten zijn toegestaan (beheerd zakelijk, of BYOD onder voorwaarden), eisen aan de verbinding (geen onbeveiligde openbare wifi zonder VPN), schermvergrendeling en privacy in huis (meekijkende huisgenoten, videobellen), omgang met papier en printen thuis, en hoe verlies of diefstal direct gemeld wordt.
Is een VPN verplicht voor thuiswerken?
Niet per definitie. Bij moderne cloudomgevingen met MFA en versleutelde verbindingen (TLS) is een klassieke VPN niet altijd nodig; de norm eist passende bescherming, geen specifieke techniek. Voor toegang tot interne systemen of bij onvertrouwde netwerken blijft VPN of een zero-trust-oplossing de standaard.