5.1 - Leiderschap en betrokkenheid
GedeeltelijkDirectie
De directie van YipYip (Technical Director en Creative Director) is eindverantwoordelijk voor informatiebeveiliging. Bij een klein bedrijf is dat geen abstracte governance-structuur maar directe betrokkenheid.
Wat de directie doet
Section titled “Wat de directie doet”- Beleid vaststellen: Het IB-beleid (
5.2-beleid.md) is door de directie opgesteld; formele vaststelling en ondertekening van beleid en VvT staan gepland voor Q1 2027. Daarna wordt het jaarlijks gereviewed. - Middelen toewijzen: Budget voor tooling (1Password, cloud security, CI/CD), training, en externe audits wordt jaarlijks vastgesteld.
- ISMS integreren in de bedrijfsvoering: Informatiebeveiliging is onderdeel van projectbeslissingen, leveranciersselectie en klantgesprekken — niet een los traject.
- Communiceren: Het belang van informatiebeveiliging wordt besproken bij onboarding, in teamoverleggen en bij de jaarlijkse awareness-training.
- Resultaten monitoren: De directie beoordeelt het ISMS jaarlijks via de directiebeoordeling (
9.3-directiebeoordeling.md), inclusief audit-bevindingen, incidenten en doelstellingen. - Continue verbetering stimuleren: Bevindingen uit audits, incidenten en dagelijkse praktijk leiden tot concrete verbeterpunten. Melden wordt gestimuleerd en niet afgestraft.
IB-coördinator
Section titled “IB-coördinator”De Technical Director is aangewezen als IB-coördinator en coördineert het ISMS in de dagelijkse praktijk:
- Risico-register bijhouden en risico-beoordelingen uitvoeren
- Interne audits organiseren en opvolgen
- Incidenten begeleiden en lessons learned vastleggen
- Rapporteren aan de directie over de stand van het ISMS
- Contact onderhouden met certificeringsinstelling en toezichthouders
Bewijs van betrokkenheid
Section titled “Bewijs van betrokkenheid”- IB-beleid (
5.2-beleid.md); ondertekening gepland Q1 2027 - Notulen directiebeoordeling (nog geen uitgevoerd; zie
09-evaluatie/9.3-directiebeoordeling.md) - Budget-toewijzing voor security tooling en audits
- Deelname aan awareness-sessies (
awareness-sessions/) - Afhandeling van gebeurtenissen in Jira-project IMS door de directie
- Beleid en VvT zijn nog niet formeel vastgesteld (ISMS-324).
- Er is nog geen directiebeoordeling uitgevoerd; de eerste volgt op de risicobeoordeling (ISMS-371).
Gerelateerde controls
Section titled “Gerelateerde controls”| Control | Onderwerp | Status |
|---|---|---|
| 5.01 | Informatiebeveiligingsbeleid | partial |
| 5.04 | Management verantwoordelijkheden | implemented |