Compliance-software til ISO 27001

Hvad ISO 27001 er

ISO 27001 er den internationale standard for et ledelsessystem for informationssikkerhed (ISMS) - en systematisk måde at beskytte informationers fortrolighed, integritet og tilgængelighed på ved at vurdere risiko og indføre kontroller. Den er det anerkendte referencepunkt for "denne organisation tager sikkerhed alvorligt og kan bevise det", og for leverandører inden for forsvar, teknologi og dual-use er den i stigende grad en kontraktlig forventning snarere end noget, der skiller sig ud.

Et ISMS er ikke en firewall eller et antivirusprodukt. Det er ledelsessystemet omkring jeres sikkerhed: politikkerne, risikobeslutningerne, kontrollerne og dokumentationen for, at de faktisk virker. ISO 27001 definerer, hvad det system skal indeholde; hvilken teknologi I bruger til at opfylde det, er jeres eget valg.

Hvorfor ISO 27001 findes

Sikkerhedshændelser skyldes sjældent mangel på værktøjer - de skyldes ustyret risiko: et system uden opdateringer, som ingen havde ansvaret for, en leverandør, ingen vurderede, en adgangsrettighed, ingen tilbagekaldte. ISO 27001 findes for at gøre sikkerhed til en styret, dokumenteret disciplin frem for en samling gode hensigter. Et certifikat fortæller en kunde, at en uafhængig auditor ikke bare har kontrolleret, at I har kontroller, men også at I forstår jeres risici og styrer dem i en fast cyklus.

Hvem har brug for ISO 27001

Enhver organisation, der ligger inde med information, andre bekymrer sig om - kundedata, intellektuel ejendom, kontrolleret teknisk information. I praksis er det drevet af:

• Kunde- og kontraktkrav: virksomheds- og offentlige indkøbere kræver det i stigende grad, før de deler data eller tildeler opgaver, og forsvarskontrakter kan gøre det obligatorisk ved håndtering af kontrolleret information.
• Regulering og tilstødende krav: den er rygraden, som rammeværker som ISO 27018 (cloud-privatliv), EU's NIS2-direktiv og mange GDPR-programmer læner sig op ad.
• Selve risikoen: for en virksomhed, hvis produkt eller omdømme afhænger af tillid, er et styret ISMS ganske enkelt måden, hvorpå man undgår den hændelse, der afslutter samtalen.

Sådan er standarden opbygget

ISO 27001:2022 består af to dele. Ledelsessystemets afsnit (4-10) svarer til ISO 9001 - kontekst, ledelse, planlægning, støtte, drift, evaluering, forbedring - så de to standarder passer naturligt sammen. Det, der gør den til en informationssikkerhedsstandard, er risikoprocessen og Annex A:

• En proces til risikovurdering og -behandling: identificér jeres informationssikkerhedsrisici, beslut, hvordan hver enkelt skal behandles, og registrér beslutningen.
• Annex A: et katalog over 93 kontroller i 2022-revisionen, grupperet i organisatoriske, personmæssige, fysiske og teknologiske temaer, som man kan trække på ved behandling af risiko.
• Statement of Applicability (SoA): dokumentet, der angiver, hvilke Annex A-kontroller I anvender, hvilke I ikke anvender, og hvorfor - rygraden i hele certificeringen.

Certificering tildeles af et akkrediteret organ efter en audit i to trin, med årlig overvågning og recertificering hvert tredje år, præcis som ved ISO 9001.

Almindelige misforståelser

• Det er ikke et projekt for IT-afdelingen. Informationssikkerhed spænder over HR (til- og fratrædelser), indkøb (leverandørrisiko), facilities (fysisk adgang) og ledelse (risikovillighed) - standarden gør det eksplicit.
• Det handler ikke om at "købe kontrollerne". Annex A er en menu, ikke en tjekliste: I anvender de kontroller, jeres risikovurdering begrunder, og skal kunne forklare dem, I fravælger.
• Det er ikke gjort én gang for alle. Certifikatet bortfalder uden de løbende risikogennemgange, interne audits og ledelsens evalueringer, der holder systemet i live.