ISO 27001 Implementering

Hvad er ISO 27001 Implementering? ISO 27001 Implementering er arbejdet med at opbygge et ledelsessystem for informationssikkerhed, også kaldet et ISMS, efter kravene i ISO/IEC 27001.

Det handler ikke kun om firewalls, antivirus og andre tekniske sikkerhedsløsninger. Virksomheden skal kunne vise, hvordan den identificerer sikkerhedsrisici, beslutter hvilke risici der skal behandles, placerer ansvar og følger op på, om sikkerhedsarbejdet virker.

En typisk implementering starter med at afgrænse, hvilke dele af virksomheden ISMS'et skal omfatte. Derefter kortlægges relevante krav, aktiver, risici, eksisterende sikkerhedsforanstaltninger og mangler. Virksomheden etablerer blandt andet sikkerhedspolitikker, risikostyring, ansvar, hændelseshåndtering, leverandørstyring, adgangsstyring, dokumentation og processer for løbende forbedring.

Et centralt dokument er Statement of Applicability, ofte forkortet SoA. Her dokumenterer virksomheden, hvilke sikkerhedsforanstaltninger der er nødvendige, og hvordan de hænger sammen med risikobehandlingen. ISO/IEC 27001 kræver ikke, at alle foranstaltninger i Annex A automatisk skal implementeres. Valgene skal være begrundede og dokumenterede.

Virksomheder hyrer ofte hjælp, fordi sikkerhedsarbejdet allerede findes, men er spredt mellem IT, HR, jura, drift og ledelse. Andre mangler en sammenhængende risikometode, dokumentation, ejerskab eller beviser på, at sikkerhedsprocesserne faktisk bliver udført.

ISO 27001 Implementering bruges også, når kunder eller kontrakter stiller krav om dokumenteret informationssikkerhed, eller når virksomheden ønsker at forberede sig på en certificeringsaudit.

Implementering og certificering er to forskellige ting. En virksomhed kan arbejde efter ISO/IEC 27001 uden at blive certificeret. Hvis virksomheden ønsker et certifikat, foretages certificeringen af et eksternt certificeringsorgan. ISO udsteder ikke selv certifikater.

Det aktuelle internationale grundlag er ISO/IEC 27001:2022 med den gældende ændring ISO/IEC 27001:2022/Amd 1:2024. I Danmark findes standarden gennem Dansk Standard som den danske og europæiske udgave DS/EN ISO/IEC 27001.

Hvem arbejder med ISO 27001 Implementering? ISO 27001 Implementering ligger typisk hos informationssikkerhedskonsulenter, GRC-specialister, Information Security Managers, CISO-profiler, risk managers, compliance-specialister, interne auditorer og sikkerhedsarkitekter med forståelse for ledelsessystemer.

Kompetencen kræver både sikkerhedsforståelse og organisationsforståelse. En specialist skal kunne omsætte kravene i standarden til arbejdsprocesser, som faktisk kan fungere i virksomheden. Det omfatter blandt andet risikovurderinger, kontrolvalg, politikker, roller, leverandørstyring, dokumentation, målinger, intern audit, ledelsens evaluering og håndtering af afvigelser.

Teknisk erfaring er nyttig, men en ISO 27001-specialist behøver ikke selv at konfigurere alle sikkerhedssystemer. Specialisten skal derimod kunne forstå, om tekniske og organisatoriske foranstaltninger passer til virksomhedens risici og kan dokumenteres.

En selvstændig specialist er ofte relevant, når virksomheden allerede har IT- og sikkerhedsressourcer og mangler en person, der kan strukturere ISMS'et, udføre en gap-analyse, etablere risikometoden, udarbejde SoA eller drive certificeringsforberedelsen.

Et konsulenthus eller bureau er typisk mere relevant, når implementeringen omfatter flere forretningsområder, omfattende tekniske ændringer eller parallelle krav fra eksempelvis kunder, myndigheder og andre sikkerhedsstandarder. Her kan der være behov for flere kompetencer inden for GRC, teknik, revision, privacy og projektledelse.

Ved valg af specialist er praktisk erfaring med at etablere og drive et ISMS normalt vigtigere end blot kendskab til standardens ordlyd. Erfaring med interne audits, risikobehandling, SoA og certificeringsforberedelse er særligt relevant.

Kurser og uddannelser Der findes ikke én bestemt dansk grunduddannelse, som alene gør en person til ISO 27001-implementeringsspecialist. Fagfolk kommer ofte fra informationssikkerhed, IT, revision, risk management, compliance eller kvalitetsledelse og bygger ISO-kompetencen oven på deres eksisterende erfaring.

Dansk Standards ISO/IEC 27001: Diplomkursus i informationssikkerhed er en direkte dansk introduktion til standardens krav og arbejdet med et ledelsessystem for informationssikkerhed. Kurset er relevant for personer, der skal deltage i eller understøtte et ISMS.

ISO/IEC 27001 Lead Implementer, certificeret af PECB og udbudt blandt andet gennem Dansk Standard, er en mere implementeringsrettet vej. Fokus er på at planlægge, etablere, drive, vedligeholde og forbedre et ISMS samt forberede organisationen på certificeringsaudit.

PECB Certified ISO/IEC 27001 Lead Implementer er en international personcertificering med særskilte krav til eksamen og, afhængigt af certifikationsniveauet, dokumenteret erhvervs- og projekterfaring. Et kursusbevis og en fuld Lead Implementer-certificering er derfor ikke nødvendigvis det samme.

Dansk Standards kursus i intern audit efter ISO/IEC 27001 er et relevant supplement for personer, der skal kontrollere, om ISMS'et efterleves og fungerer i praksis. Intern audit er en del af driften og forbedringen af et ISO/IEC 27001-baseret ledelsessystem.

For en fagperson, der vil arbejde direkte med implementering, er praktisk deltagelse i et rigtigt ISMS-projekt vigtig. Kurser giver standardforståelse, men erfaring med risikovurderinger, SoA, kontrolimplementering, auditfund og ledelsesrapportering er det, der gør kompetencen anvendelig i praksis.

Standardværker og ressourcer ISO/IEC 27001:2022 er selve kravstandarden og det vigtigste arbejdsgrundlag. En implementering bør læses direkte op mod standarden frem for kun at bygge på kursusmateriale, skabeloner eller internetguides.

ISO/IEC 27002:2022 er den centrale vejledning til informationssikkerhedsforanstaltninger. Den hjælper med at forstå og udforme relevante kontroller inden for blandt andet organisatorisk, personalemæssig, fysisk og teknologisk sikkerhed.

ISO/IEC 27005:2022 er den vigtigste supplerende standard til arbejdet med informationssikkerhedsrisici. Den beskriver en struktureret tilgang til at identificere, vurdere, behandle, kommunikere og følge op på risici.

ISO/IEC 27003 er en vejledning til ISMS-implementering, som Dansk Standard også peger på. Den nuværende publicerede udgave tager udgangspunkt i den tidligere udgave af ISO/IEC 27001 og er under revision. Den bør derfor bruges som supplerende vejledning og ikke som erstatning for den aktuelle kravstandard.

ISO's officielle håndbog ISO/IEC 27001:2022 – Information Security Management Systems – A practical guide for SMEs er en praktisk ledsager til standarden. Den gennemgår kravene med eksempler og cases og er især anvendelig, når standardens korte kravtekster skal omsættes til praktisk arbejde.

Dansk Standards materiale om ISO/IEC 27001 og 27000-serien er desuden en relevant dansk indgang til standarderne, deres indbyrdes forhold og de kurser, der anvendes på området.