4.3 - Het toepassingsgebied van het ISMS bepalen
Het bepalen van de grenzen en toepasselijkheid van het ISMS om het toepassingsgebied vast te stellen, rekening houdend met de context (4.1) en de eisen van belanghebbenden (4.2).
Scope Statement
Section titled “Scope Statement”ISO 27001 scope: Het ontwikkelen, ontwerpen, beheren, onderhouden van applicaties, websites en cloud-omgevingen.
NEN 7510 scope: Het ontwikkelen, ontwerpen, beheren, onderhouden van zorggerelateerde applicaties, websites en cloud-omgevingen waarbij hosting is uitbesteed aan een cloudprovider.
Het ISMS van YipYip B.V. omvat alle informatieverwerkende activiteiten, systemen, mensen en processen die betrokken zijn bij het ontwikkelen, ontwerpen, beheren en onderhouden van applicaties, websites en cloud-omgevingen, inclusief alle fysieke en logische locaties waar deze activiteiten plaatsvinden.
Scope Bepaling
Section titled “Scope Bepaling”Basis voor Scope
Section titled “Basis voor Scope”De scope is bepaald op basis van:
- Externe context (4.1): Wet- en regelgeving, klanteisen, marktomstandigheden
- Stakeholder eisen (4.2): NEN7510 verplichting klanten, certificeringseisen
- Organisatiegrenzen: Juridische entiteit, fysieke locaties, IT-grenzen
- Dienstverlening: Alle diensten aan zorgklanten
Organisatorische Grenzen
Section titled “Organisatorische Grenzen”| Aspect | Binnen Scope | Buiten Scope |
|---|---|---|
| Juridische entiteit | YipYip B.V. | n.v.t. |
| Afdelingen | Alle | Geen |
| Medewerkers | Alle (~10, inclusief stagiairs) | n.v.t. |
| Management | Directie + management | n.v.t. |
Fysieke Grenzen
Section titled “Fysieke Grenzen”| Locatie | Type | Status |
|---|---|---|
| Kantoor Rotterdam | Kantoor | Binnen scope |
| GCP-datacenters (bij voorkeur EU-regio’s) | Cloud hosting | Binnen scope |
| Cloudomgeving van de klant | Cloud hosting | Buiten scope (hostingbeheer bij de klant) |
| Thuiswerklocaties | Remote werk | Binnen scope (logisch) |
Logische Grenzen
Section titled “Logische Grenzen”| Systeem/Netwerk | Beschrijving | Status |
|---|---|---|
| Kantoornetwerk | LAN, WiFi kantoor | Binnen scope |
| Productie-omgevingen | Klantdiensten | Binnen scope |
| Cloud-omgevingen | GCP | Binnen scope |
| Eindgebruiker devices | Laptops, mobiel | Binnen scope |
| BYOD | Privé apparaten | Buiten scope (bedrijfslaptops verplicht) |
Processen binnen Scope
Section titled “Processen binnen Scope”| Proces | Beschrijving | Primair/Ondersteunend |
|---|---|---|
| Applicatie-ontwikkeling | Mobile apps, PWA’s, websites, applied games | Primair |
| Backend-ontwikkeling | Elixir/Phoenix backend systemen | Primair |
| Ontwerp | UX/UI design | Primair |
| Cloud-beheer | Beheer GCP-omgevingen | Primair |
| Projectmanagement | Klantprojecten | Primair |
| HR | Personeelszaken | Ondersteunend |
| Finance | Administratie | Ondersteunend |
| Leveranciersbeheer | Selectie en beoordeling leveranciers | Ondersteunend |
| IT intern | Eigen IT-infrastructuur | Ondersteunend |
Diensten binnen Scope
Section titled “Diensten binnen Scope”| Dienst | Beschrijving | Klantimpact |
|---|---|---|
| Mobile app-ontwikkeling | iOS en Android applicaties | Hoog |
| Applied games | Gamified applicaties | Hoog |
| Backend-ontwikkeling | Elixir/Phoenix backend systemen | Hoog |
| PWA-ontwikkeling | Progressive Web Apps | Hoog |
| Website-ontwikkeling | Websites en webapplicaties | Medium |
| UX/UI Design | Ontwerp en gebruikerservaring | Medium |
| Cloud-hosting en -beheer | GCP-omgevingen | Hoog |
Uitsluitingen
Section titled “Uitsluitingen”Onderbouwing Uitsluitingen
Section titled “Onderbouwing Uitsluitingen”Indien controls uit Annex A niet van toepassing zijn, wordt dit onderbouwd in de Statement of Applicability (controls/_index.yaml).
| Uitgesloten | Reden | Onderbouwing |
|---|---|---|
| Fysieke hosting-infrastructuur | Uitbesteed aan de cloudprovider (GCP) | Hosting is volledig uitbesteed; fysieke datacentersecurity valt onder verantwoordelijkheid van de cloudprovider |
| Fysieke beveiliging klantlocaties | Verantwoordelijkheid klant | YipYip heeft geen controle over klantlocaties |
| Hosting in de cloudomgeving van de klant | Verantwoordelijkheid klant | Als een oplossing in de omgeving van de klant wordt ondergebracht, ligt het hostingbeheer bij de klant |
Interfaces en Afhankelijkheden
Section titled “Interfaces en Afhankelijkheden”Externe Interfaces
Section titled “Externe Interfaces”| Interface | Partij | Data/Interactie | ISMS Relevantie |
|---|---|---|---|
| Klant systemen | Zorginstellingen | Beheer, data | Hoog |
| Cloudprovider | GCP | Hosting, infra | Hoog |
| Leveranciers | Diverse | Software, diensten | Medium |
| Internet | ISP | Connectiviteit | Hoog |
Interne Interfaces
Section titled “Interne Interfaces”| Interface | Tussen | Beschrijving |
|---|---|---|
| IT ↔ Operations | Afdelingen | Beheer eigen systemen vs klant |
| HR ↔ IT | Afdelingen | Onboarding, offboarding |
| Finance ↔ Leveranciersbeheer | Processen | Leveranciers betaling |
Relatie met Normen
Section titled “Relatie met Normen”ISO 27001:2022
Section titled “ISO 27001:2022”Deze scope dekt alle eisen van ISO 27001:2022 clausules 4-10 en is de basis voor de toepassing van Annex A controls.
NEN7510:2024
Section titled “NEN7510:2024”Door de focus op zorgsector is NEN7510:2024 integraal van toepassing binnen deze scope. Aanvullende zorgspecifieke maatregelen zijn gedocumenteerd in nen7510/.
Documentatie
Section titled “Documentatie”De scope is gedocumenteerd en beschikbaar gesteld aan relevante belanghebbenden. Dit document is de formele scope definitie.
Review
Section titled “Review”De scope wordt gereviewed:
- Minimaal jaarlijks als onderdeel van de directiebeoordeling
- Bij significante organisatiewijzigingen
- Bij wijzigingen in dienstverlening
- Bij acquisities of afstotingen
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29