9.1 - Monitoring, meting, analyse en evaluatie
YipYip monitort de werking van het ISMS via een controleprogramma en KPI’s. De IB-coördinator is verantwoordelijk voor het opstellen, uitvoeren en rapporteren.
Controleprogramma
Section titled “Controleprogramma”Het controleprogramma draait in Jira (project ISMS, epic “Controleprogramma”). De controles, hun frequentie en eigenaar staan in tools/jira/controleprogramma.yaml; een GitHub Action maakt de tickets maandelijks aan. Zie tools/jira/controleprogramma.md voor de volledige lijst met de mapping naar Annex A controls.
Soorten controles
Section titled “Soorten controles”| Soort | Beschrijving | Voorbeeld |
|---|---|---|
| Toetsen | Test of bespreking om naleving te controleren | Technische test, interview met eigenaar |
| Doornemen | Procedure walkthrough met betrokkenen | Interne audit van een proces |
| Meten | Nagaan of maatregelen effect hebben | KPI-meting, trendanalyse |
Bij afwijkingen worden maatregelen geregistreerd in het actieplan (Jira).
Meting is hoe vaak de waarde wordt vastgesteld; de controle onder “Beoordeeld in” is waar de meting wordt vastgelegd en tegen de target wordt beoordeeld. Een KPI die per incident of maandelijks wordt gemeten, kan dus in een jaarlijkse controle worden beoordeeld.
ISMS-effectiviteit
Section titled “ISMS-effectiviteit”| KPI | Target | Meting | Beoordeeld in |
|---|---|---|---|
| % assets met risicobeoordeling | 100% | Jaarlijks | C.28 |
| % behandelplannen op schema | >90% | Maandelijks | C.20 |
| Major non-conformiteiten | 0 | Jaarlijks (decemberronde) | C.23 |
| Directiebeoordeling gehouden | Ja | Jaarlijks (decemberronde) | C.23 |
Security operationeel
Section titled “Security operationeel”| KPI | Target | Meting | Beoordeeld in |
|---|---|---|---|
| Tijd tot containment (critical incident) | <4 uur | Per incident | C.11 |
| Kritieke Dependabot-alerts opgevolgd | 100% | Maandelijks | C.19 |
| Restore-test uitgevoerd | Ja | Jaarlijks | C.12 |
| Security log review uitgevoerd | Ja | Maandelijks | C.22 |
Awareness en toegang
Section titled “Awareness en toegang”| KPI | Target | Meting | Beoordeeld in |
|---|---|---|---|
| Deelname jaarlijkse IB-presentatie | 100% | Jaarlijks | C.15 |
| MFA actief op systemen die het ondersteunen | 100% | Jaarlijks | C.07 |
| Autorisatiereview uitgevoerd | Ja | Jaarlijks | C.07 |
| Offboarding-checklist volledig afgetekend | 100% | Jaarlijks | C.05 |
Monitoring-methoden
Section titled “Monitoring-methoden”Automatisch: Cloud Audit Logs (doorlopend), Dependabot (doorlopend)
Handmatig: KPI-verzameling (maandelijks via C.20, IB-coördinator), documentatiereview (jaarlijks via C.01), controleprogramma uitvoeren (conform de tickets in Jira)
Analyse en evaluatie
Section titled “Analyse en evaluatie”| Frequentie | Wat | Output |
|---|---|---|
| Maandelijks | KPI-trends, open acties | KPI-overzicht in het C.20-ticket |
| Per kwartaal | ISMS-prestaties, risico-evolutie | Kwartaalrapport aan directie (C.21) |
| Jaarlijks | Totaalbeoordeling, doelstellingen review | Input directiebeoordeling (C.23) |
Het controleprogramma wordt jaarlijks geëvalueerd tijdens de directiebeoordeling (09-evaluatie/9.3-directiebeoordeling.md).
Rapportage
Section titled “Rapportage”| Rapport | Frequentie | Ontvanger |
|---|---|---|
| KPI-overzicht (C.20) | Maandelijks | IB-coördinator |
| Kwartaalrapport (C.21) | Per kwartaal | Directie |
| Input directiebeoordeling | Jaarlijks | Directie |
Huidige status
Section titled “Huidige status”Het controleprogramma is in oktober 2026 opnieuw ingericht; de eerste rondes starten in november en december 2026. Er zijn nog geen KPI-metingen vastgelegd. Tussen mei 2024 en oktober 2026 is het programma niet uitgevoerd.
Gerelateerde controls
Section titled “Gerelateerde controls”| Control | Onderwerp |
|---|---|
| 8.15 | Logging |
| 8.16 | Monitoring |
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29