iso 27001 dataroom
ISO 27001- en AVG-claims van dataroomleveranciers: wat je zelf kunt controleren
Veel leveranciers noemen certificeringen die niet op hun eigen omgeving slaan. Zo lees je een securitypagina — en dit vraag je in een gesprek.
Drie soorten claims
Er zijn claims over het datacenter, claims over de leverancier als organisatie, en claims over de specifieke dienst die jij afneemt. Die drie zijn niet hetzelfde, en marketing voegt ze vaak samen.
Een leverancier kan ISO 27001-gecertificeerd zijn voor zijn eigen kantoorprocessen, terwijl de omgeving waarin jouw documenten staan door een subprocessor wordt beheerd. Dat is niet oneerlijk, maar je moet het wel weten.
Wat je zelf kunt controleren
Vraag om het certificaat met de scope erin: welke vestiging, welke diensten, welke periode. Vraag daarnaast om de actuele lijst van subprocessors en waar de gegevens staan.
En vraag wat er niet is: welke maatregelen ontbreken nog, en wanneer verwacht men die. Een leverancier die die vraag kan beantwoorden, is meestal betrouwbaarder dan een die alles groen noemt.
- Certificaat met scope, niet alleen een logo.
- Subprocessorlijst met regio en rol.
- Bewaartermijn en export bij beëindiging.
- Een expliciete lijst van wat nog niet is afgerond.
Waarom dit voor jou telt
Als jouw cliënt of toezichthouder vraagt waar de gegevens staan, wil je geen logo kunnen aanwijzen maar een antwoord kunnen geven. Dat antwoord begint bij de scope van een certificaat, niet bij de marketingpagina.