Ledningssystem för informationssäkerhet (ISO 27001)

Vad standarden kräver

Kraven står i standardens avsnitt 4 till 10. De gäller alla organisationer som vill följa standarden, oavsett storlek.

Det som ska finnas dokumenterat är förhållandevis lite: omfattningen, policyn, riskmetoden och resultaten av riskbedömning och riskbehandling, Statement of Applicability, målen, bevis på kompetens, resultat av uppföljning, internrevisionsprogram och resultat, ledningens genomgång samt avvikelser och åtgärder. Resten avgör ni själva utifrån risk.

Annex A och ISO 27002

Annex A i ISO 27001 är en katalog med 93 säkerhetsåtgärder i fyra teman: organisatoriska (37), personrelaterade (8), fysiska (14) och tekniska (34). Ni måste inte införa alla. Ni ska jämföra era riskbehandlingsåtgärder med katalogen så att inget nödvändigt har missats, och i ett Statement of Applicability motivera varför varje åtgärd ingår eller inte.

ISO/IEC 27002 är vägledningen till samma 93 åtgärder: vad varje åtgärd syftar till och hur den kan införas. Den går inte att certifiera sig mot, men den är det praktiska stödet när åtgärderna ska utformas.

Certifiering eller inte

Certifiering är frivillig. Ett certifikat utfärdas av ett ackrediterat certifieringsorgan efter en revision i två steg, gäller i tre år och följs upp med en uppföljningsrevision varje år. Certifiering är rätt när kunder, upphandlingar eller ägare kräver den, eller när ni behöver ett externt bevis. Utan certifiering kan standarden ändå vara den bästa ramen för arbetet, och ni kan följa den med samma internrevision och ledningens genomgång. Hur lång tid uppbyggnaden tar beskriver vi i erbjudandet ISO 27001 från gap-analys till certifiering.

Ett ledningssystem som lever

Det vanligaste problemet vi ser är inte att ledningssystemet saknas, utan att det slutar användas efter certifieringen. Ett levande ledningssystem har några kännetecken:

• riskbedömningen görs om när verksamhet, system eller leverantörer förändras, inte bara en gång per år;
• ledningens genomgång leder till beslut med ansvar och datum;
• internrevisionen görs av någon som inte granskar sitt eget arbete, och avvikelserna stängs;
• målen går att mäta, och någon följer upp dem;
• medarbetarna vet vad som gäller för dem, och nya medarbetare får veta det från första dagen.

Det är också det en certifieringsrevisor letar efter vid uppföljningsrevisionerna.

Ett system för flera regelverk

NIS2 och cybersäkerhetslagen, DORA, GDPR och CRA ställer överlappande krav: riskanalys, styrdokument, incidenthantering, kontinuitet, leverantörsstyrning och ledningens ansvar. Ett ledningssystem enligt ISO 27001 hanterar de gemensamma delarna en gång. Vår erfarenhet är att ett fungerande ledningssystem ger cirka 80 procent av den styrnings- och säkerhetsstruktur som cybersäkerhetslagen kräver. Det som återstår är lagens egna skyldigheter, som anmälan, rapportering av incidenter inom fasta tider och ledningens utbildning. Dem bygger vi in i samma system i stället för i ett separat spår. Samma sak gäller DORA:s krav på IKT-risk och register över IKT-tredjepartsavtal, GDPR:s krav på personuppgiftsbehandling och CRA:s krav på säker utveckling och sårbarhetshantering.

Ska ni även ha ledningssystem för dataskydd (ISO 27701), kontinuitet (ISO 22301) eller kvalitet (ISO 9001) bygger standarderna på samma grundstruktur, så de kan dela policy, internrevision och ledningens genomgång.

Vanliga fallgropar

• Omfattningen är för vid eller för snäv: hela koncernen på en gång, eller bara IT-avdelningen när informationen finns i verksamheten.
• Riskbedömningen görs i en workshop och används sedan aldrig.
• Statement of Applicability är ifyllt men saknar motiveringar.
• Styrdokumenten är skrivna för revisorn och inte för den som ska följa dem.
• Internrevisionen görs av samma personer som byggde systemet.
• Ledningen är med vid starten men inte i ledningens genomgång.

Så hjälper vi er

• Nuläge: gap-analys mot ISO 27001, NIS2 eller DORA med dokumenterat nuläge och prioriterad plan.
• Uppbyggnad och certifiering: ISO 27001 från gap-analys till certifiering: riskmetod, styrdokument, Statement of Applicability, införande, internrevision och förrevision.
• Oberoende granskning: internrevision enligt ISO 27001, också för organisationer som byggt sitt ledningssystem själva eller med någon annan.
• Löpande förvaltning: senior GRC-rådgivning eller interim CISO när ledningssystemet behöver en ägare.

I teamet finns certifierade ISO 27001 Lead Implementer och ISO 27001 Lead Auditor. Läs om ett mjukvaruföretag som byggde sitt ledningssystem.