Augustus 2026. Hybride en thuiswerken zijn structureel, maar scope, SoA en auditbewijs blijven acher op de werkelijkheid. Certificerende instellingen steekproeven op remote access, device posture en logging buiten kantoor.
Scope en grenzen
Leg vast welke locaties, devices en netwerken in scope vallen. BYOD alleen toestaan met expliciet beleid en risicoacceptatie in management review. Thuiswerk zonder MDM is een bewuste keuze, documenteer rest-risico.
Controls die auditors checken
- MFA op alle remote access, geen uitzonderingen voor bestuur;
- endpoint: patch, encryptie, screen lock, remote wipe;
- logging: VPN, IdP, cloud-apps, zelfde retentie als kantoor;
- awareness: thuiswerk en phishing, metrics in review.
Meer: ISMS, ISO 27001 en readiness.
Herzie remote work jaarlijks of bij grote SaaS-wijziging. Scope drift is een veelgezien surveillance-thema wanneer teams nieuwe tools adopteren zonder ISMS-update.