ISO 27001

PRYSM werkt met een managementsysteem voor informatiebeveiliging dat is ingericht volgens ISO 27001, de internationale norm daarvoor. Sinds 25 september 2026 is de groep waar PRYSM bij hoort, JoinSeven Groep B.V., gecertificeerd voor ISO 27001:2022. PRYSM B.V. en het platform vallen binnen dat certificaat.

De norm vraagt geen losse maatregelen maar een werkend systeem. Risico's worden systematisch beoordeeld, er worden passende maatregelen bij gekozen, en de werking wordt gemeten en verbeterd. Een externe auditor toetst dat in twee fasen; daarna volgt certificering, die periodiek opnieuw wordt getoetst.

Bij ons is fase 1 in juli 2026 uitgevoerd en fase 2 op 18, 20 en 21 augustus 2026. Die tweede audit sloot af met nul zware afwijkingen en één lichte, over de manier waarop risico's werden beoordeeld. Die is direct hersteld: de schalen zijn van vaste ijkpunten voorzien en alle actieve risico's zijn daarlangs opnieuw gescoord. Op 25 september 2026 gaf Brand Compliance het certificaat af (NL 3127.1.1), geldig tot en met 21 september 2029. De eerste tussentijdse controle staat gepland voor augustus 2027, en we auditen het systeem ook elk jaar zelf. Het certificaat en de Verklaring van Toepasselijkheid, de twee stukken waar inkoop meestal om vraagt, krijg je via ciso@joinseven.nl.

In het product zie je de norm terug in concrete maatregelen. Al het verkeer loopt over TLS 1.2 of hoger, toegang gaat op basis van rollen en niet ruimer dan nodig, en toegang en gebeurtenissen worden gelogd en gemonitord. Staging en productie zijn gescheiden, sleutels staan in HashiCorp Vault, en elke codewijziging wordt gereviewd en gescand. Een kritieke bevinding blokkeert de release naar productie.

Twee maatregelen die je bij een norm zou verwachten, zijn er nog niet helemaal. Wie met een PRYSM-wachtwoord inlogt, heeft nog geen tweede factor; dat staat op de planning. Logt je organisatie in met het Microsoft-account van het werk, dan gelden de inlogeisen die je organisatie daar zelf heeft ingesteld, zoals tweestapsverificatie. Daarnaast wordt versleuteling van alles wat in opslag staat gefaseerd doorgevoerd. Dat we het hier opschrijven in plaats van het weg te laten, is een keuze: een norm dekt de werkwijze af, niet de belofte dat alles al klaar is. Voor inloggen met een wachtwoord gelden in de tussentijd een activatielink en afgedwongen wachtwoordcomplexiteit.