ISO/IEC 27001 (ISMS) certificering til administration af informationssikkerhed

ISO 27001 er den internationale standard for administrationssystemer, der definerer kravene til et system til styring af informationssikkerhed (ISMS). Standarden indeholder en ramme for bedste praksis til at identificere, analysere og implementere kontroller til at håndtere og mindske risici – hvilket reducerer sandsynligheden for brud på informationssikkerheden.
Enhver organisation – uanset størrelse og sektor – kan anvende kravene og kontrollerne inden for ISO 27001 til at implementere et effektivt ISMS, der kan certificeres uafhængigt.

En akkrediteret ISO 27001-certificering leveret af et anerkendt og uafhængigt certificeringsorgan viser et engagement i informationssikkerheden, og du får et upartisk syn på robustheden og effektiviteten i dit ISMS. Det hjælper med at opfylde kontraktlige forpligtelser og fungerer i mange tilfælde som en handelslicens.

Beskyt dine data og dit omdømme

En ISO 27001-certificering viser, at du har etableret en systematisk, risikobaseret tilgang til informationssikkerhed, der fremmer best practices omkring: 

• Identifikation af risici i forbindelse med informations- og cybersikkerhed
• Analyse af risici baseret på påvirkning og sandsynlighed
• Evaluering af risici og prioritering, når de behandles, baseret på faktorer, der relaterer til din virksomhed
• Valg af muligheder for risikobehandling

Vis, at du overholder love, bestemmelser og kontraktmæssige krav

Når du får en ISO 27001-certificering, skal du følge relevant lovgivning, f.eks. den europæiske GDPR eller amerikanske HIPAA. Det har en positiv indvirkning på risikostyring og virksomhedsledelse, hvilket hjælper dig med at påvise overholdelse og opfyldelse af kontraktmæssige krav.

Konkurrencefordel

En certificering fra LRQA giver kunder og interessenter tillid til, at sikkerhedsrisici – i forbindelse med IT, mennesker, det fysiske miljø og forretningskontinuitet – håndteres i tilstrækkelig grad for at beskytte deres oplysninger.

En ISO 27001-certificering giver en klar tilkendegivelse af dine evner og viser, at du arbejder i overensstemmelse med internationalt anerkendte best practices, hvilket hjælper dig med at vinde nye kunder.

ISO 27001-revisioner følger samme fremgangsmåde som andre Annex SL-baserede ledelsessystemer. Du kan starte med kurser og gap-analyser, men den formelle proces omfatter en revision af ISMS-designet (fase 1) og en revision af dets funktion (fase 2). Resultaterne af disse revisioner gennemgås teknisk af en kvalificeret, uafhængig person i LRQA for at sikre sammenhæng og overensstemmelse med vores forpligtelse til at følge den bedste praksis, som akkreditorerne har defineret.

Når din ISO 27001-certificering er godkendt, udstedes det, og du starter en treårig cyklus med overvågningsrevisioner, der fører til en fornyelsesrevision, der genetablerer certificeringen de næste tre år. Overvågningen gør det muligt for både LRQA og din organisation at administrere ændringer og sikre, at revisionerne er relevante iht. aktuelle branchebehov.

Når certificeringen er godkendt, holder den i tre år, forudsat at en effektiv systemvedligeholdelse påvises gennem overvågningsprogrammet.

En typisk erklæring om omfanget af en ISMS-certificering omfatter aktiviteter i forbindelse med levering af produkter og tjenester. Det behøver ikke at omfatte interne aktiviteter eller ISMS-processer. Formålet er at sikre læseren, at de oplysninger, der gives ved modtagelse af produktet eller tjenesten, er beskyttet.

Erklæringen om anvendelighed henviser til listen over valgte kontroller. Den indeholder ikke nærmere oplysninger om disse kontroller, men en sporbar henvisning til en kontrolerklæring, der blev anvendt som grundlag for den seneste ISO 27001-revision. Nogle gange har organisationer en offentlig udgave, der kan deles, og som blot indeholder en liste over de kontroller, der er valgt i ISO 27001-bilaget, men dette er ikke et obligatorisk krav.

Omkostningerne er baseret på antallet af revisionsdage, som igen er baseret på antallet af medarbejdere, der arbejder med ISMS. Antallet af revisionsdage er offentliggjort i vurderingsstandarden ISO 27006 og er tilgængeligt for alle. Et samarbejde med et akkrediteret certificeringsorgan som LRQA sikrer, at du får en foreslået revisionsperiode baseret på best practices i branchen, og som kan sammenlignes med alle andre akkrediterede certificeringsorganer.

Som eksempel kan en organisation med 100 årsværk forvente en indledende revisionsperiode (fase 1 + fase 2) på mellem 8 og 12 dage afhængigt af den sektor, de arbejder i, hvor komplekst deres arbejdsmiljø er, om de er involveret i udvikling af software eller om de har brug for at bygge sikkerhed ind i produktet. Det efterfølgende overvågningsprogram vil være 3-4 dage om året, og en fornyelsen vil tage 6-8 dage.

Ja – eftersom både ISO 9001 og ISO 27001 er baseret på den generiske best practice-model for ledelsessystemer – Annex SL – kan kernestyringsprocesserne optimeres til at opfylde kravene for begge standarder. Faktisk forbedrer designet af et system til at håndtere begge dele effektiviteten af den organisatoriske styring. For eksempel kræver et forretningsmål som vækst ofte udvikling af nye produkter, hvor sikkerhed typisk betragtes som en kvalitetsstandard i overensstemmelse med markedets forventninger. Integration kan også minimere duplikering, hvilket kan føre til en reduktion af revisionstiden, hvilket igen er en omkostningseffektiv mulighed.

Den vej, som din organisation skal følge for at opnå en ISO 27001-certificering, afhænger bl.a. ofte af virksomhedens modenhed i forhold til informationssikkerhed og den bredere risikostyring. De fleste virksomheder, der er nye inden for ISO 27001, har en tendens til at følge den proces, der er beskrevet nedenfor. 

1. Sæt fart på din implementering af ISO 27001: Vores udvalg af ISO 27001-kurser hjælper dig med at opbygge din viden om standarden og dens krav, så du får indsigt og færdigheder til at optimere dit ledelsessystem.

2. Vurder din parathed: Vores valgfri før-evalueringstjenester kan udføres i form af en gap-analyse eller foreløbig vurdering. En af vores ekspertrevisorer vil vurdere paratheden af dit system og angive, hvilke områder der kan kræve yderligere opmærksomhed, før du går videre med din formelle ISO 27001-revision.

3. Fase 1 revision – gennemgang af dokumenter og planlægning: Din revisor vil gennemgå systemets design og dokumentation for at afgøre, om det opfylder kravene i standarden og det foreslåede revisionsomfang. Det efterfølges af et interview med vigtige teammedlemmer. I de fleste tilfælde udføres fase 1 af revisionen eksternt.
4. Fase 2 revision – evaluering af din implementering: I fase 2 vil din revisor evaluere implementeringen og effektiviteten af dit ISMS i overensstemmelse med kravene i ISO 27001. Hvis der ikke er større afvigelser, anbefales det at godkende, og du får din certificering. Fase 2 af revisionen kan udføres eksternt eller på arbejdspladsen.
5. Markedsfør din ISO 27001-certificering: Din certificering viser et engagement i internationalt anerkendte best practices og løbende forbedringer, der hjælper dig med at vinde nye forretninger og opfylde kundernes krav.
6. Årlig overvågningsrevision – så du holder dig på sporet: Din ISO 27001-certificering kører i tre år ad gangen. Vi foretager årligt kontrolbesøg for at sikre, at dit ledelsessystem forbliver effektivt, vedligeholdes og leverer løbende forbedringer.
7. Fornyelse af certifikat: Tre måneder før dit certifikat udløber, vil vi igen kontrollere din organisations aktiviteter for at sikre, at de er i overensstemmelse med kravene i ISO 27001.

Udgivelsen af ISO 27002:2022 indeholder en opdatering til listen over kontroller i ISO 27001, som går tilbage til 2013. De reviderede kontroller afspejler udviklingen i forbindelse med både trusler og best practices, og det udvidede anvendelsesområde for ISO 27002 er med til at sikre, at risikostyringsforanstaltningerne er vidtrækkende og effektive. Organisationer kan bruge den omfattende liste over kontroller til at håndtere de risici, de har identificeret, eller opdage potentielle huller. Det hjælper dem med at forblive et skridt foran det komplekse trusselslandskab, der konstant ændrer sig, som virksomheder står over for i dag.

En ny version af ISO 27001 forventes offentliggjort i slutningen af oktober 2022. Den vil indeholde de nye kontroller, der er beskrevet i ISO 27002:2022, og som kræver, at organisationerne genvurderer deres risikovurdering og afgør, om nye risikobehandlinger skal gennemføres.