Momice: een schoolvoorbeeld voor het ISO-27001 certificaat

Voor softwarebedrijven is veiligheid en privacy enorm belangrijk. En terecht. Niet iedereen weet bijvoorbeeld wat er nou echt met jouw data gebeurt als jij je registreert voor een event. Voldoen aan de AVG is al jaren verplicht, maar Momice doet er nog een schep bovenop met het ISO-27001 certificaat.

Gegevens van de klant komen in de event software van Momice terecht bij de registratie, maar ook door ticketverkoop, mailings, of een enquête achteraf. ‘Hier moeten we goed voor zorgen. We realiseren ons goed welke verantwoordelijkheid Momice heeft in het waarborgen van de veiligheid en privacy van onze klanten. We werken voor honderden bedrijven die hun belangrijkste relaties aan ons toevertrouwen. Sinds de oprichting van Momice, 9 jaar geleden, denken we goed na over hoe we de veiligheid en privacy kunnen garanderen,’ stelt Rutger Bremer, CEO en oprichter van Momice.

ISO 27001: Van nice-to-have naar must-have
De ISO-27001 certificering gaat over informatiebeveiliging. Grote bedrijven hebben de grootste moeite om de veiligheid van hun systemen op orde te houden. En dat is niet zo gek. Ze maken vaak gebruik van honderden verschillende software applicaties. Het is voor deze bedrijven noodzakelijk dat de leveranciers waarmee ze werken ISO gecertificeerd zijn. Rutger Bremer: “We merkten dat voor bedrijven 5 jaar geleden een ISO certificering een ‘nice-to-have’ was, maar dat is nu veranderd in een must-have. Ik zie steeds vaker meldingen voorbij komen dat SaaS bedrijven het ISO-certificaat behalen. Een goede zaak naar mijn idee. Het laat zien dat zij het belangrijk vinden dat de hele keten van leveranciers hun eigen informatiebeveiliging versterkt.”

Een schoolvoorbeeld volgens de auditors
Voor het verkrijgen van een ISO-certificaat worden alle bedrijfsprocessen helemaal doorgelicht door een externe auditor. Een organisatie moet bijvoorbeeld laten zien hoe de toegang tot bedrijfssystemen wordt beheerd en hoe ervoor gezorgd wordt dat de data van klanten veilig en volgens de wet worden verwerkt en opgeslagen. Rutger Bremer: ‘We werkten al jaren volgens deze internationale standaard, maar we vonden het nu tijd om ons ook officieel te laten certificeren’.

‘Ook al waren we heel goed voorbereid, zo’n audit is toch een spannende week. Want je wordt op allerlei vlakken getoetst door zeer ervaren auditors. Gelukkig ging dit allemaal heel erg goed. Sterker nog: we waren volgens de auditor een schoolvoorbeeld! Het verkrijgen van het certificaat ging ons dus redelijk makkelijk af, omdat we hier vanaf dag één mee bezig zijn. Dat was duidelijk zichtbaar volgens de experts.’

WCAG: Een schepje er bovenop
Steeds meer software bedrijven zijn ISO gecertificeerd. Maar Momice wil een betrouwbare partner zijn, dus doet er in dit ‘compliance’ thema er nog een schepje bovenop. Het softwarebedrijf voldoet ook aan de Europese Digitale Toegankelijkheidsnorm ‘WCAG 2.1 AA’. De WCAG geeft richtlijnen om ervoor te zorgen dat een zo groot mogelijke doelgroep toegang heeft tot digitale communicatie. Zoals in dit geval een event website of een digitaal registratieformulier. Deze zouden ook toegankelijk moeten zijn voor mensen met bijvoorbeeld een visuele beperking.

Voor overheidsinstellingen is het verplicht om aan de WCAG richtlijnen te voldoen, voor andere organisaties niet. Toch vindt Momice het belangrijk. “Wij zien de WCAG als een hygiëne standaard, zodat iedereen die uitgenodigd wordt voor een event zich welkom voelt.” De WCAG is niet eenvoudig te implementeren in (event) websites. “Om als event organisator aan deze richtlijnen te voldoen is heel veel gedoe: kleurcontrast moet altijd een minimale ratio hebben en de structuur van de website moet logisch opgebouwd zijn. Dat hebben we bij Momice allemaal geautomatiseerd, zodat de eventmanager hier niet meer over na hoeft te denken bij het bouwen van hun website. Zij hebben het al druk genoeg!” aldus Bremer.

Kortom, voldoen aan de standaard is een pré, maar Momice vraagt méér van zichzelf. Bremer: ‘Bij ons gaat het om het goed zorgen voor en het ontzorgen van de klant, op alle niveaus. Door het hebben én behouden van een ISO-certificaat ben je een betrouwbare partner, wordt de kans op datalekken kleiner en laat je zien dat je goed voor de klant-data zorgt.’