Maatwerk software die wij vanaf de eerste sprint bouwen volgens de eisen die uit ISO 27001 voortvloeien: security-by-design, threat-modeling vooraf, secure coding, gelaagde encryptie, sterke toegangscontrole, aantoonbare logging en getoetste incident-response. Dit gaat over hoe wij software bouwen — niet over een GRC-tool om uw certificering bij te houden.
ISO 27001 is de internationale standaard voor Information Security Management Systems (ISMS). De norm beschrijft de governance rond informatiebeveiliging, en in Annex A staan 93 controls verdeeld over vier thema's: organizational, people, physical en technological. Een groot deel van die controls landt direct in de software die u laat bouwen — denk aan toegangscontrole (A.5 en A.8), cryptografie (A.8.24), secure development (A.8.25 tot A.8.28), logging en monitoring (A.8.15 en A.8.16), supplier-relationships (A.5.19 tot A.5.22) en incident-management (A.5.24 tot A.5.30).
Wij worden gevraagd door organisaties die door een certificeringstraject lopen of er al doorheen zijn, en die nu een nieuw platform of bedrijfsapplicatie laten ontwikkelen die binnen de scope van het ISMS valt. De vraag is dan niet "regel ISO 27001 voor ons", maar "zorg dat het systeem dat jullie bouwen geen risk-finding wordt bij de eerstvolgende audit". Dat is een ander gesprek, met andere bewijslast en andere ontwerpkeuzes.
We voeren de certificeringsaudit zelf niet uit — dat is voorbehouden aan geaccrediteerde partijen zoals TÜV, BSI, DEKRA, Lloyd's of Bureau Veritas. Wat we wel doen is de software bouwen en de bewijsstukken aanleveren waarmee uw auditor de relevante Annex A-controls afvinkt. Dat past binnen bredere trajecten rond DORA compliance software, KYC- en AML-compliance software of een risicomanagement-software-traject, en is een logische bouwsteen als u toewerkt naar een breder enterprise-software-traject.
De meeste opdrachten beginnen in één van deze drie smaken. We adviseren in het eerste gesprek welke aanpak het beste past bij uw scope, uw type data en hoever uw organisatie al is met het ISMS.
Uw organisatie is al gecertificeerd of ver gevorderd, het ISMS staat. U laat een nieuwe applicatie bouwen die in scope valt: een klantportaal, een interne tool, een data-platform of een verwerker-applicatie. Wij brengen de relevante Annex A-controls vooraf in kaart, kiezen architectuur- en build-keuzes die daarbij passen, en leveren per oplevering de bewijsstukken die uw interne auditor of certificerende instelling verwacht.
U werkt toe naar uw eerste certificering, terwijl de nieuwe applicatie parallel wordt gebouwd. Wij sluiten aan op de informatiebeveiligings-functionaris of CISO die het ISMS opzet, vertalen het opkomende beleid naar concrete architectuur- en codeerstandaarden, en zorgen dat de software bij Stage 1 en Stage 2 niet de bottleneck is. Vaak schrijven we mee aan de Statement of Applicability voor de controls die softwarematig worden geïmplementeerd.
U valt onder een aanvullend regime — NEN 7510 voor de zorg, BIO voor de overheid, of strenge klant-due-diligence van een grote zakelijke afnemer die uw SOC 2 of ISO 27001 vraagt. Het systeem moet door meerdere lenzen heen werken. Wij bouwen één coherente architectuur die alle regimes tegelijk dekt, met traceerbare mapping van features naar de controls die per kader gevraagd worden, zodat u één keer bouwt en meerdere keren oplevert.
Een productieklare applicatie plus de bewijsstukken die uw interne audit, externe certificerende instelling of zakelijke klant nodig heeft om de relevante Annex A-controls af te tekenen.
Vier patronen die wij terugzien bij organisaties die ons benaderen voor een ISO 27001-compliant bouwtraject. Herkent u er één, dan praten we graag verder.
Uw grootste afnemer — een bank, verzekeraar, retailer of overheidsinstelling — zet ISO 27001 in het contract en doet een eigen due-diligence. Een SaaS-product zonder aantoonbare security-by-design zakt af in de selectie. De nieuwe applicatie of integratie die u nu bouwt moet vanaf release-één onder die lens uitlegbaar zijn.
U bent een zorgaanbieder onder NEN 7510 (de Nederlandse uitbreiding op ISO 27001 voor de zorg), een gemeente of zelfstandig bestuursorgaan onder BIO, of een entiteit onder Wft- of DNB-toezicht. De norm is geen optioneel keurmerk maar een wettelijke of toezichtsmatige basis voor uw bedrijfsvoering.
U werkt toe naar de eerste certificering en wilt voorkomen dat de nieuwe applicatie bij Stage 2 onverwachte non-conformiteiten oplevert. Het ISMS staat nog niet helemaal, het beleid wordt geschreven, en de software wordt parallel ontwikkeld. Wij sluiten aan op de informatiebeveiligings-functionaris of CISO en bouwen mee in dat tempo.
De applicatie verwerkt patiëntdossiers, financiële transacties, biometrische data, kinderdossiers of bedrijfsgevoelige informatie van uw klanten. Een data-incident raakt niet alleen u maar ook uw klanten en hun klanten. Een security-onderbouwde architectuur is hier geen luxe maar de start-aanname.
Met OneDayBuild maken we je idee in één dag tastbaar voor €950, zodat je weet of verdere ontwikkeling de investering waard is. Besluit je door te gaan met de volledige bouw? Dan verrekenen we de kosten volledig.
Bekijk OneDayBuild →Een gesprek waarin we begrijpen welke applicatie u wilt laten bouwen, welk regime van toepassing is (ISO 27001 stand-alone, NEN 7510, BIO, SOC 2-overlap, klant-due-diligence), welke data wordt verwerkt en welke kernsystemen er staan. We brengen ook in beeld of het ISMS van uw organisatie al staat of nog ingericht moet worden, en met welke informatiebeveiligings-functionaris of CISO wij gaan samenwerken.
Workshop met uw CISO of security-officer, plus de business-eigenaar van het systeem. We doen een threat-modeling-sessie (STRIDE of PASTA), schrijven de relevante Annex A-controls op die in scope zijn — denk aan A.5 access-control, A.8.24 cryptografie, A.8.25 tot A.8.28 secure development, A.8.15 en A.8.16 logging — en kiezen architectuurpatronen die die controls afdekken. Aan het eind ligt er een controls-mapping document, een eerste architectuur, en een sprintplanning die de security-keuzes vooraan zet.
We werken in tweewekelijkse sprints en elke sprint loopt door dezelfde poorten: code-review met vier-ogen-principe, SAST- en SCA-scan, IaC-policy-check, end-to-end-test en een security-acceptatie-check. Threat-model wordt bijgewerkt als de architectuur evolueert. Een onafhankelijke penetration-test wordt ingepland voor go-live, niet erna, zodat bevindingen nog in scope zijn. Dependency- en container-scanning loopt doorlopend zodat een nieuwe CVE binnen werkbare termijn wordt opgepakt.
Bij oplevering krijgt uw CISO een complete evidence-pack: threat-model, controls-mapping, pen-test-rapport, restore-test, incident-response runbook en de operationele runbooks voor het beheer. Tijdens uw audit ondersteunen we met de antwoorden op vragen die specifiek de software raken. Vanaf go-live verzorgen we monitoring, patch-management, dependency-updates, periodieke retests en doorontwikkeling — zodat het systeem ook bij toekomstige audits comfortabel staat.
De vragen die CISO's, security-officers en compliance-officers ons meestal stellen voor een traject begint.
Een kennismaking van een half uur, vrijblijvend. We luisteren naar welke applicatie u wilt laten bouwen, hoever uw ISMS staat, welke data wordt verwerkt en wat uw klanten of toezichthouders specifiek vragen — en geven richting waar u meteen iets aan hebt, ook als we uiteindelijk niet samenwerken.
Appfront gebruikt cookies en vergelijkbare technieken voor een goede werking van de website, voor analyse en voor marketing. Je kiest zelf wat je toestaat. Lees meer in ons privacybeleid.
