# 9.1 Monitoren, meten, analyseren en evalueren

De organisatie moet vaststellen:

a)  wat moet worden gemonitord en gemeten, met inbegrip van processen en beheersmaatregelen voor informatiebeveiliging;

b)  de methoden voor het, voor zover van toepassing, monitoren, meten, analyseren en evalueren om valide resultaten te bewerkstelligen. Om als valide te worden te beschouwd behoren de resultaten van de geselecteerde methoden te kunnen worden vergeleken en gereproduceerd;

c)  wanneer moet worden gemonitord en gemeten;

d)  wie moet monitoren en meten;

e)  wanneer de resultaten van het monitoren en meten moeten worden geanalyseerd en geëvalueerd;

f)  wie deze resultaten moet analyseren en evalueren.

Gedocumenteerde informatie moet beschikbaar zijn als bewijs van de resultaten.

De organisatie moet de prestaties van de informatiebeveiliging en de doeltreffendheid van het managementsysteem voor informatiebeveiliging evalueren.
