Gap-analyse ISMS

Overzicht van waar het ISMS staat na de consolidatie van oktober 2026. De statussen per control staan in controls/_index.yaml en op de VvT-pagina’s; dit document ordent de gaps op prioriteit en koppelt ze aan Jira-tickets onder epic ISMS-323.

Huidige stand

De opzet is compleet: alle clausules, 93 Annex A-controls en 8 NEN7510-maatregelen zijn beschreven met YipYip-specifieke inhoud. De werking is nog niet aantoonbaar: de risicobeoordeling, het behandelplan, een onafhankelijke interne audit en een directiebeoordeling zijn nog geen van alle één keer doorlopen. Dat is de bepalende factor voor de certificeringsdatum (beoogd Q2 2027).

Statusregel: een control met een inhoudelijke gap is partial. Gaps worden vóór de audit gedicht, daarna gaat de status omhoog.

---

Gaps die actie vereisen

HOOG — Blokkeren certificering

1. Risicobeoordeling en behandelplan nooit uitgevoerd

De methodiek (6.1.2) is gemigreerd uit het vorige ISMS, maar er is in het nieuwe ISMS nog geen volledige risicobeoordeling gedaan. Het risico-register is leeg, er is geen behandelplan en de VvT kan niet naar beoordeelde risico’s verwijzen.

Actie: Eerste volledige risicobeoordeling uitvoeren, risico-register vullen, behandelplan vaststellen. Documenten: 6.1.1, 6.1.3, 8.2, 8.3 (partial) Jira: ISMS-371; daarna jaarlijks via C.28

2. IB-beleid en VvT niet vastgesteld en gecommuniceerd

Het beleid dekt alle eisen van clausule 5.2 en de VvT staat klaar, maar beide zijn niet ondertekend en de communicatie aan medewerkers is niet vastgelegd.

Actie: Ondertekenen (Q1 2027), communiceren via de jaarlijkse IB-presentatie en de onboarding-checklist, deelname vastleggen. Controls: 5.01 (partial), 5.1, 5.2 (partial) Jira: ISMS-324

3. Geen onafhankelijke interne audit en geen directiebeoordeling

Het rapport van Q2 2026 is een zelfbeoordeling door de IB-coördinator, geen 9.2-audit. Er is sinds 2023 geen directieoverleg met informatiebeveiliging genotuleerd.

Actie: Onafhankelijke interne auditor contracteren (eind 2026 of begin 2027); directiebeoordeling houden (december 2026) na de risicobeoordeling. Documenten: 9.2.1, 9.3 (partial); controls 5.35, 5.36 Jira: ISMS-341, ISMS-342; C.23

4. Geen security log review

Cloud Audit Logs en applicatielogs worden bewaard (1 jaar, 30 dagen) maar niet periodiek beoordeeld. Ongeautoriseerde toegang wordt pas ontdekt als iemand er toevallig op stuit.

Actie: Maandelijkse log review uitvoeren via C.22; eerste ronde december 2026. Controls: 8.16 (partial) Jira: ISMS-326

5. Incident response nooit geoefend

Gebeurtenissen worden geregistreerd en beoordeeld in Jira (project IMS, 42 items sinds 2019, laatste IMS-42 op 21 oktober 2026). Het proces is daarmee in gebruik, maar nooit met een tabletop exercise geoefend voor een incident met klantimpact of datalek.

Actie: Tabletop exercise plannen en uitvoeren. Controls: 5.24 (partial), 5.26–5.27 Jira: ISMS-327

MIDDEN — Verbeteren voor certificering

6. Registers: controle en inventarisatie

registers/assets.yaml en registers/leveranciers.yaml zijn gevuld vanuit de Sheets (08.02.a, 08.01.a, 02.03.c) en moeten door de HR-manager en de directie worden gecontroleerd, waarna de Sheets worden uitgefaseerd. Het risico-register blijft leeg tot de risicobeoordeling (ISMS-371). Per zorgproject is bovendien niet vastgelegd of MFA, audit-logretentie, break-the-glass, BSN-encryptie, RTO/RPO en on-call feitelijk gelden.

Actie: Registers controleren en Sheets uitfaseren; zorgprojecten inventariseren en in het assetregister vastleggen. Controls: 5.09, 5.19, 5.22 (partial); Z2, Z3, Z5, Z6, Z7 (partial) Jira: ISMS-376, ISMS-390 (controle assetregister), ISMS-383 (inventarisatie zorgprojecten)

7. Alleen Dependabot als security scanning

De CI/CD-pipeline doet geen SAST, DAST of secret scanning; GCP Security Command Center staat niet aan. Secrets in Git worden alleen door PR-review tegengehouden.

Actie: GitHub secret scanning met push protection aanzetten; Semgrep (SAST) beoordelen; security-testing-afspraken in de projectovereenkomst. Controls: 8.08, 8.25, 8.28, 8.29 (partial) Jira: ISMS-380 (Semgrep), ISMS-379 (contractclausule), ISMS-385 (secret scanning); jaarlijks via C.18

8. Continuïteit en back-ups niet getest

De laatste restore-test is van mei 2023 (ISMS-226). Het continuïteitsplan (5.29) is nooit beproefd; RTO/RPO zijn niet per project vastgesteld.

Actie: Restore-test uitvoeren (jaarlijks, C.12); RTO/RPO als interne streefwaarde per project vaststellen in de BIA; tabletop continuïteit. Controls: 5.29, 5.30, 8.13 (partial); Z8 Jira: ISMS-329

9. Configuratiebeheer niet volledig als code

Infrastructuur wordt deels via IaC beheerd, deels handmatig in de GCP-console. Geen formele configuratiebaseline.

Actie: Inventariseren welke configuratie nog handmatig is; prioriteren wat naar IaC moet. Controls: 8.09 (partial) Jira: ISMS-330

10. Sleutelrotatie niet afgesproken

Secrets staan op de juiste plekken (1Password voor mensen, GCP Secret Manager voor applicaties, GitHub Secrets voor CI; Kubernetes Secrets in oudere projecten), maar er zijn geen rotatieschema’s.

Actie: Rotatieschema’s afspreken; oudere projecten naar Secret Manager. Controls: 8.24 (partial) Jira: ISMS-331

11. Runbooks en checklists ontbreken

Operationele kennis zit in hoofden. De kick-off-checklist (OUD 09.04.a) en de opleverchecklist bestaan nog niet in bruikbare vorm; de on- en offboarding-checklist mist het lezen van het IB-beleid, FileVault bij heruitgifte, de referentie voor DevOps en een tweede controle op het wissen van de laptop.

Actie: Runbooks (deployment, backup/restore, incident response) en de checklists als documenten in het ISMS opnemen. Controls: 5.08, 5.37, 6.05, 8.29 (partial); 7.3 Jira: ISMS-332 (runbooks), ISMS-378 (werkinstructies en checklists), ISMS-243 (opleverchecklist), ISMS-389 (kick-off-checklist), ISMS-387 (on- en offboarding-checklist)

12. Geen MDM

Laptops (alleen macOS) worden niet centraal beheerd. Remote wipe, afgedwongen FileVault en update-verificatie zijn niet aantoonbaar; de controle (C.10) is een handmatige steekproef.

Actie: Beoordelen of een MDM proportioneel is; anders als geaccepteerd risico vastleggen. Controls: 8.01, 7.10 (partial) Jira: ISMS-384

13. Competentie niet geregistreerd

Er is geen registratie per rol en per medewerker van IB-kennis, opleidingen of gevolgde sessies.

Actie: Competentieregistratie opzetten (voorstel registers/competenties.yaml). Documenten: 7.2 (partial) Jira: ISMS-388

14. Open-source licentie-compliance ontbreekt

Geen proces om bibliotheken en licenties systematisch te inventariseren. Geen SBOM.

Actie: SBOM-generatie opnemen in CI/CD; licentie-check als stap toevoegen. Controls: 5.32 (partial) Jira: ISMS-333

LAAG — Verbeterpunten

15. Geen endpoint protection (EDR)

Laptops draaien op macOS XProtect, geen aanvullende EDR-software.

Actie: Evalueren of EDR proportioneel is voor YipYip. Controls: 8.07 (partial) Jira: ISMS-334

16. Architectuurprincipes niet gedocumenteerd

Security by design en OWASP worden informeel gehanteerd, zonder overkoepelend architectuurdocument.

Actie: Kernprincipes vastleggen in een kort document. Controls: 8.27 (partial) Jira: ISMS-335

17. Contactgegevens autoriteiten niet vastgelegd

Welke autoriteiten bij welk type incident worden gecontacteerd (AP, NCSC, politie) is bekend maar niet gedocumenteerd.

Actie: Contactlijst opstellen. Controls: 5.05 (partial) Jira: ISMS-336

18. Classificatie en labelling niet consequent

Het schema (openbaar, intern, vertrouwelijk) bestaat maar wordt niet overal toegepast.

Actie: Classificatie opnemen in de awareness-sessies; labelling-richtlijnen vereenvoudigen. Controls: 5.12, 5.13 (partial) Jira: ISMS-337

19. Leveranciers niet formeel beoordeeld sinds 2022

De laatste leveranciersbeoordeling is van Q2 2024 (xlsx 08.01.a, nu registers/leveranciers.yaml); in Jira is de laatste van juli 2022 (ISMS-185). Het overzicht van verwerkersovereenkomsten en SLA’s (Sheet contractuele verplichtingen) is sinds juli 2022 niet bijgewerkt.

Actie: Sheet actualiseren, beoordeling uitvoeren via C.13, resultaat in registers/leveranciers.yaml. Controls: 5.19, 5.20, 5.22 (partial) Jira: ISMS-338, ISMS-391 (beoordeling 2026), ISMS-392 (Sheet contractuele verplichtingen)

20. Fysieke monitoring beperkt

Bold-sloten bieden een actuele toegangslijst maar geen toegangslog; geen alerting of camerabewaking.

Actie: Accepteren als proportioneel (geen servers op kantoor) of alerting overwegen. Controls: 7.04 (partial) Jira: ISMS-339

21. Personeelshandboek niet getoetst

Het handboek in Notion is de plek voor meldplicht, clean desk en sanctiebeleid, maar is niet getoetst aan de controls die ernaar verwijzen en valt pas sinds oktober 2026 onder het documentbeheer (7.5).

Actie: Handboek toetsen aan 5.24, 6.02, 6.04 en 7.07; eigenaar en reviewdatum vastleggen. Controls: 6.02, 6.04, 7.07 Jira: ISMS-386

---

Uit de zelfbeoordeling 2026-Q2

De vijf major non-conformiteiten uit 09-evaluatie/9.2-interne-audit/audits/2026-Q2-full-audit-rapport.md (een zelfbeoordeling door de IB-coördinator, geen onafhankelijke audit) lopen als tickets onder de epic Certificering 2027:

NCM	Onderwerp	Jira
001	Eerste risicobeoordeling en risicoregister	ISMS-371
002	IB-beleid en VvT ondertekenen	ISMS-324
003	Eerste directiebeoordeling	ISMS-279 (C.23)
004	Interne auditor aanstellen	ISMS-341
005	Registers vullen met werkelijke gegevens	ISMS-376

Minors en observaties: ISMS-372 t/m ISMS-378. De verbeteracties worden sinds oktober 2026 alleen nog in Jira bijgehouden.

Besloten en opgelost

• Geen centrale identity provider (gap IdP) → Besluit oktober 2026: SSO via Google Workspace en MFA waar een dienst het ondersteunt, anders een eigen account. Geen centrale IdP; ISMS-340 kan dicht.
• Pentest regelen → Penetratietests zijn de verantwoordelijkheid van de klant; YipYip faciliteert en volgt bevindingen op. ISMS-328 kan dicht.
• Tegenstrijdige feiten in de documentatie (medewerkersaantal, VPN, hosting, SSH, MDM, e-mailversleuteling, externen, VOG, classificatie, bewaartermijnen, SLA’s) → Consolidatie oktober 2026 (docs/superpowers/specs/2026-10-22-consolidatie-onderzoek.md)
• Validatiescript ving kapotte links en placeholders niet → Uitgebreid (PR #93)
• Controleprogramma stond stil sinds mei 2024 → Opnieuw ingericht met tickets via GitHub Action (oktober 2026)
• IB-beleid verouderd → Herschreven (januari 2026)
• Fysieke beveiliging klopt niet → Herschreven voor het huidige kantoor (Bold digitale sloten)
• Planned en ongevalideerde controls → Alle 93 controls beschreven en beoordeeld

---

Waar het goed zit

• Development lifecycle: PR met verplichte review, CI/CD via GitHub Actions (ook mobiele apps), gescheiden omgevingen, geen echte data in test
• Productie-toegang: geen intern netwerk, geen SSH; toegang via gcloud proxy, kubectl en IAM; Cloudflare Zero Trust buiten vertrouwde netwerken
• Gebeurtenissen: worden gemeld en beoordeeld in Jira-project IMS, met oorzaak, gevolgen en correctie per item
• Awareness: tweewekelijkse sessies met rapport, jaarlijkse IB-presentatie
• Geheimhouding: in de arbeidsovereenkomst; VOG voor medewerkers in loondienst
• Remote werken: bedrijfslaptops met FileVault, clean desk, geen privé-apparaten
• Secrets: 1Password voor mensen, GCP Secret Manager voor applicaties
• Fysieke beveiliging: Bold digitale sloten met actuele toegangslijst, geen servers op kantoor
• Privacy: verwerkingsregister, verwerkersovereenkomsten per klant, EU-regio als voorkeur
• Logging: Cloud Audit Logs (1 jaar) en applicatielogs (30 dagen)
• Controleprogramma: 26 controles gedefinieerd in Git, tickets automatisch in Jira

---

Aanbevolen prioriteit

1. Risicobeoordeling uitvoeren — alles hangt eraan: behandelplan, VvT-onderbouwing, directiebeoordeling
2. Interne auditor contracteren — doorlooptijd bepaalt de certificeringsdatum
3. Beleid en VvT ondertekenen — Q1 2027, daarna communiceren
4. Registers vullen — assets, leveranciers, risico’s, zorgprojecten
5. Log review en restore-test — eerste rondes via het controleprogramma
6. Checklists en runbooks in het ISMS — kick-off, oplevering, on- en offboarding