Hoe pak je een norm aan die vooral voor grote organisaties geschreven is, als je team uit een handvol mensen bestaat? En hoe hou je alles goed gedocumenteerd, zonder dat de administratie je dagelijkse werk overneemt? Novellas Healthcare koos bewust voor een managementsysteem voor informatiebeveiliging (of een ISMS) dat past bij haar eigen manier van werken. Cingulum begeleidde hen van de eerste documenten tot het ISO 27001-certificaat. Lees hoe ze dat aanpakten.
Software voor de zorg, met hoge verwachtingen
Dit SaaS-platform brengt zorgverleners, artsen en farmaceutische bedrijven samen. Verpleegkundigen gebruiken het om verslagen van hun patiëntbezoeken meteen met de arts te delen. Farmaceutische bedrijven kunnen er nieuwe medicatie mee aanbieden aan patiënten voor wie er nog geen alternatief bestaat. En voor market access verzamelt het platform real-world data over hoe een behandeling in de praktijk verloopt, onder meer voor terugbetalingsdossiers. Omdat elke farmaceutische klant eigen noden heeft, kan het platform volledig op maat worden ingesteld.
Achter dat platform staat een compact team, met mensen die elk een eigen achtergrond meebrengen. Inge Wyns startte bij Novellas als verpleegkundige en groeide door tot quality manager, met ervaring in ISO 9001. Bjorn Vereecken bouwde zelf een softwarebedrijf uit, waarvan de SaaS-oplossing vorig jaar door Novellas werd overgenomen. Vandaag is hij er digital solutions architect. Samen namen Inge en Bjorn het ISO 27001-traject op zich.
Bij de opstart van een nieuw patiëntenprogramma ontvangt Novellas Healthcare vaak uitgebreide due-diligencevragenlijsten, waarin ISO 27001 vrijwel altijd aan bod komt. Ook in contracten wordt het certificaat steeds vaker gevraagd. Novellas Healthcare wilde hierop een duidelijk en onderbouwd antwoord kunnen bieden
De uitdaging: Een grote norm voor een klein team
Het traject vroeg tijd en inzet, wat binnen een klein team niet vanzelfsprekend is. Iedereen combineert verschillende verantwoordelijkheden, terwijl het dagelijkse werk doorgaat. Inge en Bjorn maakten daarom bewust ruimte voor het traject. Ze gaven het prioriteit en reserveerden vaste momenten in hun agenda om de voortgang te bewaken.
Naarmate ze dieper in de norm doken, werd duidelijk dat een ISMS (Information Security Management System) verder kijkt dan het eigen product. Het gaat over de volledige organisatie en over hoe het team elke dag werkt.
Dat bredere perspectief vroeg om een kritische blik op de eigen werking. Sommige maatregelen waren al aanwezig en moesten nog verfijnd of beter gedocumenteerd worden. Andere werkwijzes vroegen om een aanpassing. Dat maakte het traject intensiever, en tegelijk zinvoller.
Onze aanpak
Om dat intensieve traject haalbaar te houden, koos Cingulum voor een pragmatische aanpak op maat van Novellas. Het team stond daarbij niet helemaal aan het begin. Inge had al ervaring met ISO 9001, en wist dus hoe een managementsysteem in elkaar zit. Die ervaring maakte de manier van werken meteen een stuk vertrouwder.
Al snel vond het traject zijn ritme. Elke week werkte Novellas zelf aan een aantal taken, en leverde de consultant van Cingulum nieuwe documentatie of procedures aan. Voor beleid en procedures reikten we eigen templates aan, gebaseerd op onze ervaring met gelijkaardige trajecten. Zo had het team een concreet vertrekpunt en zag het meteen hoe zo’n document er in de praktijk uitziet. Inge en Bjorn pasten die vervolgens aan hun eigen werking aan. Die vaste cadans hield het project in beweging, ook in drukkere weken.
Na een startmeeting verliep de samenwerking volledig op afstand, en dat liep vlot. Liepen Inge en Bjorn ergens op vast, dan bundelden ze hun vragen in een mail. Ingewikkeldere vragen werden even telefonisch besproken. Novellas had zo altijd een extra paar ogen om iets te controleren. Ook toen in de laatste fase een andere consultant het traject overnam, bleef er een vast aanspreekpunt en ging het traject gewoon verder.
Het resultaat? Meer dan een certificaat
Na een successvolle interne audit behaalde Novellas Healthcare haar ISO 27001-certificaat na ongeveer acht maanden.
Minstens even waardevol is wat er in de dagelijkse werking veranderde. Het team legt vandaag sneller de link tussen een nieuwe situatie en een mogelijk risico. Wat kan er misgaan, en wat doen we eraan? Die vraag komt nu vanzelf aan bod. Zaken die vroeger bleven liggen omdat ander werk dringender leek, krijgen nu een vaste plek. En wanneer er bij een leverancier iets wijzigt of niet helemaal loopt zoals afgesproken, valt dat sneller op. Voor Inge en Bjorn het bewijs dat het systeem echt werkt.
Tot slot, nog enkele tips van Inge en Bjorn
Voor andere kleine organisaties benadrukt Bjorn het belang van een ISMS dat aansluit bij de eigen werking. Bepaal wat haalbaar is voor je team en stem je doelstellingen daarop af. Inge zou bij een volgend traject vanaf het begin de risicoanalyse centraal stellen. Die vormt een stevige basis om verder op te bouwen en beperkt de nood aan latere aanpassingen. Hun gezamenlijke advies: maak voldoende tijd vrij, want dit traject vraagt gerichte aandacht en een volgehouden inzet.
Volgende stappen
Nu het certificaat er is, ligt de focus op het levend houden van het ISMS. De risicoanalyse en de regelmatige opvolging zorgen ervoor dat informatiebeveiliging verankerd blijft in de werking van Digital Solutions.
Wil je weten wat ISO 27001 voor jouw organisatie betekent? Neem contact op met Cingulum voor een vrijblijvend gesprek. www.cingulum.eu
