ISO/IEC 27001 (ISMS) sertifisering for informasjonssikkerhetsstyring

ISO 27001 er en internasjonal standard for administrasjonssystemer som definerer kravene til et informasjonssikkerhetsstyringssystem (ISMS). Standarden inneholder et rammeverk for beste praksis for å identifisere, analysere og iverksette kontroller for å håndtere og redusere risikoer – og dermed redusere faren for brudd på informasjonssikkerheten.
Alle slags foretak – uavhengig av størrelse og sektor – kan benytte kravene og kontrollmekanismene i ISO 27001 for å implementere et effektivt ISMS-system som kan sertifiseres uavhengig.

En akkreditert ISO 27001-sertifisering fra et velrenommert og uavhengig sertifiseringsorgan viser at dere tar informasjonssikkerhet på alvor, og gir dere en uavhengig evaluering av robustheten og effektiviteten i foretakets ISMS-system. Det hjelper dere å ivareta kontraktfestede forpliktelser og vil i mange tilfeller være selve adgangskortet til å drive forretninger.

Beskytt foretakets data og omdømme

En ISO 27001-sertifisering viser at dere har etablert en systematisk, risikobasert tilnærming til informasjonssikkerhet som sikrer optimal praksis for: 

• Å identifisere trusler innen informasjons- og cybersikkerhet
• Å analysere risiko basert på konsekvenser og sannsynlighet
• Å evaluere risikoer og prioriteringer basert på faktorer med betydning for virksomheten
• Å velge riktige verktøy for håndtering av trusler

Vis at dere arbeider i samsvar med lover, forskrifter og kontraktforpliktelser

Å oppnå sertifisering i henhold til ISO 27001 krever at dere identifiserer relevant lovgivning, f.eks. EUs personvernforordning (GDPR) og forskrifter som HIPAA. Det vil ha en positiv virkning på risikostyringen og ledelsen av foretaket, og hjelper dere å vise samsvar og overholdelse av kontraktforpliktelser.

Konkurransefordel

En sertifisering fra LRQA gir kunder og interessenter tryggheten om at sikkerhetsrisikoer – enten det gjelder IT, personale, fysiske omgivelser eller forretningskontinuitet – blir ivaretatt på en god måte og at informasjonen deres er sikret.

En ISO 27001-sertifisering er et tydelig bevis på foretakets kvaliteter, og viser at dere opererer i tråd med internasjonalt anerkjent beste praksis – noe som kan åpne for nye forretningsmuligheter.

ISO 27001-revisjoner følger samme tilnærmingsmåte som andre administrasjonssystemer basert på vedlegg SL. Dere kan begynne med trening og gapanalyse, men den formelle prosessen inkluderer også en revisjon av hvordan ISMS-systemet er utformet (trinn 1) og av bruken av det (trinn 2). Resultatet av disse revisjonene sendes til teknisk gjennomgang av en kvalifisert, uavhengig person i LRQA, som sikrer at det er i overensstemmelse med våre krav til beste praksis slik den er definert av akkrediteringsmyndighetene.

Så snart godkjenningen foreligger, utstedes et ISO 27001-sertifikat og en treårig syklus med overvåkningsrevisjoner starter, som leder frem til en fornyelsesrevisjon for tre nye år. Overvåkningen gjør det mulig både for LRQA og foretaket selv å administrere endringer og sikre at revisjonene holdes relevante i henhold til aktuelle behov i bransjen.

Etter godkjenningen varer sertifiseringen i tre år såfremt overvåkningsprogrammet viser effektivt systemvedlikehold.

Vanligvis inneholder en omfangserklæring for ISMS-sertifiseringen aktiviteter knyttet til levering av produkter og tjenester. Den må ikke nødvendigvis inneholde interne aktiviteter eller ISMS-prosesser. Målet er å forsikre leseren om at all informasjon som avgis ved mottak av produktet eller tjenesten, er beskyttet.

Relevanserklæringen viser til listen over valgte kontroller. Den inneholder ikke informasjon om selve kontrollene, men en sporingsreferanse til en kontrollerklæring som ble benyttet som grunnlag for den siste ISO 27001-revisjonen. Noen ganger har virksomheter en delbar, offentlig utgave som lister opp kontrollene som er valgt fra ISO 27001 vedlegg A, men dette er ikke obligatorisk.

Kostnadene er basert på antallet revisjonsdager, som avhenger av antall ansatte som omfattes av ISMS. Antallet revisjonsdager er angitt i akkrediteringsstandarden ISO 27006, som er åpent tilgjengelig for alle. Ved å engasjere et akkreditert sertifiseringsorgan som LRQA får du et forslag til en revisjonsvarighet som er basert på beste praksis i bransjen, og som er sammenlignbar med alle andre akkrediterte sertifiseringsorganer.

For eksempel kan en virksomhet med 100 fulltidsekvivalenter (FTE) forvente en grunnleggende revisjonsvarighet (trinn 1 + trinn 2) på mellom 8 og 12 dager, avhengig av sektoren de arbeider i, hvor komplekse arbeidsforholdene er, om de er involvert i programvareutvikling og om det må integreres sikkerhet i produktet. Det påfølgende overvåkningsprogrammet vil ta 3–4 dager årlig, og en fornyelse vil vare i 6–8 dager.

Ja. Ettersom både ISO 9001 og ISO 27001 er basert på en generisk modell for beste praksis for administrasjonssystemer – vedlegg SL – kan de grunnleggende administrasjonsprosessene optimaliseres for å overholde kravene i begge standardene. Å utvikle et system som håndterer dem begge vil faktisk forbedre effektiviteten i organisasjonsstyringen. For eksempel forutsetter et mål som vekst gjerne utvikling av nye produkter, der sikkerhet vanligvis anses som en kvalitetsstandard markedet forventer. En integrasjon kan dessuten minimere dobbelt innsats, som igjen kan redusere revisjonstiden og være et kostnadseffektivt alternativ.

Hvilken vei virksomheten din vil ta for å oppnå en ISO 27001-sertifisering, avhenger gjerne av foretakets modningsgrad når det gjelder informasjonssikkerhet og den bredere risikostyringen, og av andre faktorer. De fleste virksomheter som forholder seg til ISO 27001 for første gang, følger prosessen som er skissert nedenfor. 

1. Akselerer implementeringen av ISO 27001: Vårt utvalg av ISO 27001-treningskurs hjelper virksomheten å bygge opp kunnskap om standarden og kravene i den – og gir dere den innsikten og de ferdighetene dere trenger for å optimalisere administrasjonssystemet.

2. Evaluer i hvilken grad dere er klare: Våre valgfrie forberedelsestjenester før vurderingen kan gjennomføres i form av en gapanalyse eller en foreløpig vurdering. En av våre ekspertrevisorer vil evaluere hvorvidt systemet deres er klart, og eventuelt peke på hvilke områder som trenger ytterligere arbeid før dere går inn i den formelle ISO 27001-revisjonen.

3. Revisjon trinn 1 – dokumentgjennomgang og planlegging: Revisoren vil gjennomgå systemets oppbygning og dokumentasjon for å avgjøre hvorvidt det oppfyller kravene i standarden og det foreslåtte omfanget av revisjonen. Deretter følger et intervju med nøkkelpersoner i teamet. I de fleste tilfeller kan trinn 1 gjennomføres uten lokal tilstedeværelse.
4. Revisjon trinn 2 – evaluering av implementeringen: I trinn 2 vil revisoren evaluere implementeringen og effektiviteten i ISMS-systemet i henhold til kravene i ISO 27001. Hvis det ikke dukker opp betydelige avvik, vil en godkjenning anbefales, og dere vil motta sertifiseringen. Trinn 2 i revisjonen kan utføres lokalt eller via fjernkontakt.
5. Fortell om ISO 27001-sertifiseringen: Sertifiseringen viser at dere tar internasjonalt anerkjente rutiner for beste praksis på alvor og at dere forbedrer dere kontinuerlig – det kan åpne nye forretningsmuligheter og imøtekomme kundenes behov.
6. Årlig overvåkningsrevisjon – behold full kontroll: ISO 27001-sertifiseringen går i sykluser på tre år. Vi utfører årlige overvåkningsrevisjoner for å sikre at administrasjonssystemet forblir effektivt og godt vedlikehold, og det forbedres kontinuerlig.
7. Fornyelse av sertifiseringen: Tre måneder før sertifiseringen utløper, reviderer vi virksomhetens aktiviteter på nytt for å sikre at de fortsatt overholder kravene i ISO 27001.

Publiseringen av ISO 27002:2022 er en oppdatering av listen over kontroller i ISO 27001 – som rekker tilbake til 2013. De reviderte kontrollene reflekterer utviklingen både når det gjelder aktuelle trusler og beste praksis, og det utvidede omfanget i ISO 27002 bidrar til å sikre at risikostyringstiltak blir vidtfavnende og effektive. Virksomheter kan bruke den omfattende listen over kontroller til å håndtere risikoer de har oppdaget eller til å identifisere potensielle svakheter – og dermed holde seg et skritt foran det komplekse trusselbildet som stadig utvikler seg.

En ny utgave av ISO 27001 forventes å bli publisert i slutten av oktober 2022. Den vil omfatte de nye kontrollene som ble skissert i ISO 27002:2022 og som pålegger virksomheter å gjennomgå sin risikovurdering og avgjøre om en ny risikohåndtering må innføres.