Styrk informationssikkerheden i virksomheden med en ISO 27001-standard

I denne artikel kigger vi på ISO 27001-standarden, som store dele af det offentlige Danmark allerede er pålagt at følge. Generelt kan private virksomheder af enhver størrelse og branche drage fordel af at gå denne vej. Vi dykker ned i indholdet af standarden og giver dig et overblik over:

• ISO 27001-standardens formål
• ISO 27001-standardens opbygning
• De 11 områder, der kræver dokumentation

Det skal understreges, at certificering ikke er en nødvendighed. Alene det at du følger principperne i standarden kan give betydelig positiv effekt på forretningen, men med en certificering har du dokumentation for, at virksomheden lever op til kravene i standarden.

Forskellen på IT-sikkerhed og informationssikkerhed

Det virker måske banalt, men forskellen på IT-sikkerhed og informationssikkerhed er væsentlig at holde sig for øje. De to termer bruges ofte i flæng, men der er tale om to vidt forskellige ting. Hvor IT-sikkerhed beskytter systemer, netværk og enheder mod skadelige angreb, er informationssikkerhed den overordnede politik, der dikterer, hvordan arbejdet med blandt andet IT-sikkerhed skal gribes an.
Standarden opstiller blandt andet krav til risikostyring, dokumentation af processer samt fordeling af roller og ansvar for informationssikkerhed.

Formålet med ISO 27001

Formålet med ISO 27001 er at opnå effektiv informationssikkerhedsledelse, der er tilpasset til den enkelte virksomheds særlige behov, samt sikre at denne effektivitet fastholdes gennem en iterativ forbedringsproces. Det betyder, at informationssikkerheden hele tiden opdateres, så virksomheden er i stand til at håndtere udfordringerne i en verden under konstant forandring. Der er mange gevinster ved en ISO 27001-proces. Vi har listet nogle af gevinsterne her.

Det skal bemærkes, at standarden ikke stiller krav til værktøjer eller metoder. Når det fx er beskrevet, at der skal laves risikovurderinger, er det op til den enkelte virksomhed at definere relevante metrikker til disse målinger.
Ligeledes stiller ISO 27001 heller ikke krav om værktøjs-/softwareunderstøttelse. Der findes talrige leverandører, der udvikler og sælger diverse softwareløsninger til at holde styr på et ISMS. Det kan være fordelagtigt, at du orienterer dig i markedet – jo større og kompleks ens organisation er, desto mere relevant bliver god værktøjsunderstøttelse, men som sagt er det ikke et ISO 27001-krav. Mange virksomheder driver deres ISMS i fx et Excel-regneark eller på en Sharepoint-platform.

Opbygning af ISO 27000-serien

• ISO 27000: Indeholder definitioner og forklaringer af alle de underliggende standarder.
• ISO 27001: Er kravstandarden for Informationssikkerhed, som du kan blive certificeret efter. Anneks A indeholder 93 foranstaltninger, som skal iagttages. Læs om kravene her.
• ISO 27002: Vejledende standard for udvælgelse af foranstaltninger i forbindelse med implementering af ISMS. Der er tale om konkretisering og eksemplificering af Anneks A i ISO 27001.
• ISO 27003: Vejledende standard for implementering af ISMS og foranstaltninger.
• ISO 27004: Vejledende standard for måling af informationssikkerheds foranstaltninger.
• ISO 27005: Vejledende standard for risikostyring relateret til informationssikkerhed.
• ISO 27007: Vejledende standard for opbygning af auditering/intern kontrol.
• ISO 27021: Vejledende standard for håndtering af kompetencer relateret til ISMS.
• ISO 27031: Vejledende standard for opbygning af Business Continuity.
• ISO27035: Vejledende standard for opbygning af Incident management under ISMS.
• ISO27036: Vejledende standard for håndtering af informationssikkerhed i forsyningskæden.
• Standarderne fra ISO 27002 til ISO 270036 konkretiserer og eksemplificerer, hvordan du gør dét, der i ISO 27001 er defineret som hvad.

11 områder, der kræver dokumentation

Du skal træffe en lang række beslutninger i en ISO 27001-proces, og i forbindelse med en eventuel certificering er det afgørende, at du kan fremlægge dokumentation for tilvalg, fravalg, løsninger, ansvarsplaceringer mv.

En almindeligt udbredt opfattelse er i denne sammenhæng også, at alt skal beskrives og dokumenteres. Det er ikke tilfældet. Uagtet at det giver mening at have styr på aftaler og beslutninger, betyder det ikke, at standarden sætter store krav til dokumentationen.

ISO 27001 kræver kun dokumentation for 11 områder. Herunder lister vi områderne, hvor der stilles krav (med reference til kapitler og punkter i standarden):

1. Politik og målsætninger (5.2; 6.2): En dokumenteret informationssikkerhedspolitik, der indeholder målsætninger og informationssikkerhed
2. Anvendelsesområde (4.3): En dokumenteret afgrænsning af ISMS’et
3. Risikometode (6.1.2): En beskrivelse af risikovurderings- og håndteringsprocessen
4. Risikovurdering (6.1.2, 8.2): En risikovurderingsrapport
5. Risikohåndteringsplan (6.1.3, 8.3): En plan for håndtering af risici
6. SOA-dokument (6.1.3): Et ”Statement of Applicability”
7. Medarbejderkompetencer (7.2d): Dokumentation for kvalifikationer, erfaring og uddannelse
8. Måling (9.1): Proces for og resultat af måling af foranstaltningers effektivitet
9. Interne audits (9.2): Programmer og rapporter for interne auditeringer
10. Ledelsens gennemgang (9.3): Rapportering til ledelsen om evaluering af informationssikkerhed og effekten af ISMS, afvigelser og opfølgende handlinger
11. Afvigelser og korrigerende handlinger (10.1): Registrering og håndtering af afvigelser og implementering af korrigerende handlinger