ISO 27001 och ISMS

ISMS bygger på PDCA-cykeln för ständiga förbättringar:

• Planera — fastställ ISMS-omfattning, policy, riskbedömning och riskbehandling.
• Genomföra — implementera de valda kontrollerna och processerna.
• Kontrollera — övervaka, revidera och mäta resultatet.
• Agera — korrigera avvikelser och förbättra.

Det är därför certifiering inte är en engångshändelse. Revisorer förväntar sig bevis på att cykeln faktiskt är i gång.

ISO 27001 är i grunden riskdriven. Ni identifierar risker för konfidentialitet, riktighet och tillgänglighet och beslutar sedan hur varje risk ska hanteras.

De fyra standardalternativen för riskbehandling:

Ett centralt ISO 27001-dokument är Statement of Applicability (SoA). Det listar alla kontroller från standardens referensuppsättning och anger:

• Om kontrollen är tillämplig.
• Om den är implementerad.
• Motiveringen till att den inkluderas eller utesluts.

SoA kopplar er riskbedömning till era kontroller och är ett av de första dokumenten som en revisor granskar. Det är tillåtet att utesluta en kontroll, men ni måste motivera varför.

ISO 27001 hänvisar till en katalog med kontroller i Annex A, som beskrivs mer detaljerat i den kompletterande vägledningen ISO 27002. I 2022 års version organiserades kontrollerna om i fyra teman:

• Organisatoriska kontroller (policyer och leverantörshantering).
• Personrelaterade kontroller (bakgrundskontroller och säkerhetsmedvetenhet).
• Fysiska kontroller (säkra områden och utrustning).
• Tekniska kontroller (åtkomst, kryptografi och loggning).

Ni väljer vilka som är tillämpliga utifrån er riskbedömning och dokumenterar detta i SoA.

Tidigt i arbetet med att bygga ett ISMS definierar ni dess omfattning: vilka delar av organisationen, vilka system och vilken information som ISMS omfattar.

Omfattningen är mycket viktig. En snäv omfattning (en produktlinje) går snabbare att certifiera men är begränsad. En bred omfattning (hela företaget) är mer trovärdig men kräver mer arbete. Certifikatet anger omfattningen och kunder granskar den noggrant, så ange den ärligt utifrån vad ni kan upprätthålla.

ISO 27001 kräver engagemang från den högsta ledningen. Ledningen måste fastställa säkerhetspolicyn, tilldela roller, tillhandahålla resurser och granska ISMS.

Standarden är också avsiktligt dokumentationstung: policyer, riskbedömningen, SoA, rutiner och dokumentation av övervakning. Revisorer lever efter devisen om det inte är dokumenterat har det inte hänt. Underlag är certifieringens valuta.

Utöver kontrollerna i Annex A kräver certifiering att ni uppfyller de obligatoriska klausulerna 4 till 10, som beskriver själva ledningssystemet:

• 4 Kontext, 5 Ledarskap, 6 Planering, 7 Stöd.
• 8 Drift, 9 Utvärdering av prestanda, 10 Förbättring.

Dessa är inte valfria. Ni kan anpassa kontrollerna i Annex A, men alla klausuler för ledningssystemet måste vara uppfyllda för att ni ska certifieras.

De två kompletterar varandra i stället för att konkurrera:

• ISO 27001 är certifierbar, internationellt erkänd och betonar ledningssystemet och styrningen.
• NIST CSF är frivilligt och flexibelt och betonar praktiska riskresultat inom olika funktioner.

Många organisationer använder CSF för att strukturera den operativa förmågan och ISO 27001 för att formalisera och certifiera programmet. Deras kontrolluppsättningar kan i stor utsträckning mappas mot varandra.

ISMS innehåller två återkommande kontroller som håller PDCA-cykeln ärlig:

• Internrevision — en regelbunden och oberoende granskning av ISMS mot ISO 27001 och era egna policyer, för att hitta avvikelser innan certifieringsorganet gör det.
• Ledningens genomgång — ledningen granskar formellt ISMS-resultat, revisionsresultat, incidenter och förändringar i riskbilden och beslutar sedan om förbättringar och resurser.

Båda är obligatoriska. De visar att ledningssystemet är levande och inte bara består av en statisk pärm.

ISO 27001 och ISMS:

• ISO 27001 är en certifierbar internationell standard som kretsar kring ISMS, ett hanterat system för att hantera informationssäkerhetsrisker.
• ISMS bygger på PDCA-cykeln (Planera, Genomföra, Kontrollera, Agera) för ständiga förbättringar.
• Det är riskdrivet: bedöm riskerna och begränsa, överför, undvik eller acceptera sedan varje risk.
• Statement of Applicability kopplar risker till kontrollerna i Annex A (organisatoriska, personrelaterade, fysiska och tekniska) med motiveringar.
• De obligatoriska klausulerna 4–10 styr ledningssystemet. Engagemang från ledningen och dokumentation krävs. ISO 27001 kompletterar NIST CSF.