Vejen til en ISO 27001-certificering går gennem et ledelsessystem for informationssikkerhed, som ledelsen skal stå bag fra start. Hvor lang tid det tager, afhænger af jeres udgangspunkt og afgrænsning. Forløbet omfatter afgrænsning af, hvad certificeringen dækker, en systematisk risikovurdering, implementering af sikkerhedskontroller, intern audit og til sidst en ekstern certificeringsaudit. Hvis jeres kunder eller NIS2 stiller krav om dokumenteret informationssikkerhed, kan certificeringen være en struktureret vej til at opfylde dem.
Hvad ISO 27001 kræver af virksomheden
ISO/IEC 27001 stiller krav til etablering, implementering, vedligeholdelse og løbende forbedring af et ledelsessystem for informationssikkerhed (ISMS), blandt andet om risikostyring, dokumentation af processer og fordeling af roller og ansvar. Det betyder, at certificeringen ikke blot handler om tekniske løsninger, men om at ledelsen tager ansvar for informationssikkerheden og integrerer den i virksomhedens daglige drift.
Standarden handler om løbende forbedring: I planlægger jeres sikkerhedsarbejde, udfører det, kontrollerer, om det virker, og justerer. Arbejdet fortsætter efter certificeringen, fordi systemet skal vedligeholdes. Dansk Standard certificerer ikke selv, men sælger standarden og tilbyder rådgivning og kurser.
Trin 1: Ledelsens forankring og beslutning
Inden I går i gang, skal ledelsen beslutte, om ISO 27001 er det rigtige valg. Det kræver tid og ressourcer, og certificeringen giver kun værdi, hvis I har kunder, samarbejdspartnere eller myndighedskrav, der efterspørger den. Ledelsen skal udpege en ansvarlig for projektet, afsætte budget til rådgivning og eventuelt værktøjer, og forpligte sig til at deltage i risikovurderinger og godkendelser undervejs.
Trin 2: Afgrænsning af scope
I skal definere, hvad jeres ISMS dækker. Det kan være hele virksomheden eller en afgrænset del, fx en bestemt afdeling, et produkt eller en lokation. En præcis afgrænsning gør arbejdet mere overskueligt og sikrer, at I fokuserer ressourcerne der, hvor risikoen og forretningsværdien er størst. Scopet beskrives i en dokumenteret erklæring, som auditoren senere vurderer.
Trin 3: Risikovurdering
Kernen i ISO 27001 er risikovurdering. I identificerer de aktiver, trusler og sårbarheder, der er relevante for jeres scope, og vurderer sandsynlighed og konsekvens. På baggrund af vurderingen beslutter I, hvilke risici der skal behandles, accepteres eller overføres. Risikovurderingen skal dokumenteres, så I kan vise auditoren, hvordan I er nået frem til jeres valg af kontroller.
Trin 4: Valg og implementering af kontroller
I den nye version af ISO 27001 er de 14 kapitler i anneks A omstruktureret til fire hovedområder, og det samlede antal foranstaltninger går fra 114 til 93, hvoraf 11 er nye. I vælger de kontroller, der adresserer jeres identificerede risici, og dokumenterer valget i en anvendelseserklæring (på engelsk Statement of Applicability). Implementeringen kan omfatte tekniske tiltag som adgangsstyring og kryptering, organisatoriske tiltag som politikker og procedurer, og fysiske tiltag som aflåsning og adgangskort.
Trin 5: Dokumentation af politikker og procedurer
ISO 27001 kræver dokumentation af jeres informationssikkerhedspolitik, mål, risikovurderingsproces, kontroller og de procedurer, der understøtter dem. Dokumentationen skal være tilgængelig for de medarbejdere, der har brug for den, og I skal have en proces for at holde den opdateret. Omfanget af dokumentation afhænger af virksomhedens størrelse og kompleksitet.
Trin 6: Awareness og træning
Medarbejderne skal vide, hvad der forventes af dem, og hvorfor informationssikkerhed er vigtig. Det indebærer typisk en introduktion til jeres politik, træning i de procedurer, der er relevante for deres rolle, og løbende påmindelser om god praksis. Dokumentér, hvem der har modtaget træning og hvornår.
Trin 7: Intern audit
Før certificeringsauditten skal I gennemføre en intern audit. Den interne auditor — som kan være en medarbejder uden for det auditerede område eller en ekstern konsulent — undersøger, om jeres ISMS lever op til standardens krav og jeres egne politikker. Afvigelser skal rettes, og alvorlige mangler skal lukkes, inden I går videre.
Trin 8: Ledelsens evaluering
Ledelsen gennemgår ISMS’et med faste mellemrum for at sikre, at det fortsat er egnet, tilstrækkeligt og effektivt. Evalueringen tager udgangspunkt i resultater fra intern audit, hændelser, risikovurderinger og feedback fra interessenter. Ledelsen beslutter eventuelle ændringer og afsætter ressourcer til forbedringer.
Trin 9: Certificeringsaudit
Certificeringsauditten udføres af et akkrediteret certificeringsorgan. DANAK tilbyder akkreditering til certificering af ledelsessystem efter ISO 17021-1 med tilføjelsen informationssikkerhed ISO/IEC 27006. Spørg certificeringsorganet, hvordan auditten forløber, hvad den kræver af dokumentation, og hvilke opfølgende audits certifikatet forudsætter.
Arbejdseksempel: En IT-virksomhed med 45 medarbejdere
Eksemplet er TechLeads eget, og tallene er fiktive.
En IT-virksomhed med 45 medarbejdere beslutter at certificere sig, fordi tre større kunder kræver dokumenteret informationssikkerhed. Virksomheden afgrænser sit scope til udviklings- og driftsafdelingen, som håndterer kundedata. En intern projektleder får ansvaret og bruger fire timer om ugen på opgaven det første halve år. Virksomheden hyrer en ekstern rådgiver til risikovurdering og dokumentgennemgang. Den interne audit afdækker manglende adgangsstyring til testmiljøer, som rettes inden certificeringsauditten. Derefter gennemføres certificeringsauditten.
Hvornår en lettere ramme kan være nok
Ikke alle virksomheder har brug for en fuld ISO 27001-certificering. Hvis jeres kunder ikke kræver det, og I ikke er omfattet af NIS2, kan det være tilstrækkeligt at arbejde efter standardens principper uden at gennemføre certificeringsauditten. I får stadig værdien af en systematisk tilgang til informationssikkerhed, men sparer udgiften til certificeringsorganet. Overvej, om en selvevaluering mod standardens krav giver den dokumentation, jeres samarbejdspartnere efterspørger.
Hvad guiden ikke dækker
Denne guide giver et overblik over processen, men dækker ikke konkret rådgivning om, hvilke kontroller jeres virksomhed skal vælge, eller hvordan I opfylder specifikke krav i NIS2. Den erstatter ikke en rådgiver med erfaring i informationssikkerhed og ISO 27001, som kan tilpasse arbejdet til jeres situation. Hvis I er i tvivl om, hvorvidt jeres virksomhed er omfattet af NIS2, kan I læse mere i guiden NIS2: Er jeres virksomhed omfattet, og hvad kræver loven?
Valg af rådgiver og certificeringsorgan
Mange virksomheder bruger en ekstern rådgiver til risikovurdering, dokumentation og forberedelse af audit. Vælg en rådgiver, der har erfaring med virksomheder af jeres størrelse og branche, og bed om referencer. Vælg et akkrediteret certificeringsorgan — DANAK tilbyder akkreditering til certificering af ledelsessystemer for informationssikkerhed — og spørg, hvordan det sikrer sin uafhængighed af den rådgivning, I har fået.
Prisen for rådgivning og certificering varierer afhængigt af virksomhedens størrelse, kompleksitet og scopets omfang. Indhent tilbud fra flere udbydere og sammenlign, hvad der er inkluderet i prisen, herunder forberedelse, selve auditten og opfølgningsaudits.
Start med at få overblik
Inden I beslutter jer for certificering, kan I bruge Sikkerheds- og compliancetjek for virksomheder til at se, hvilke grundlæggende sikkerhedstiltag I allerede har på plads, og hvor I skal starte. Det giver et udgangspunkt for den risikovurdering, der er central i ISO 27001-arbejdet.
