Vad är ISO 27001? Introduktion till den globala guldstandarden för informationssäkerhet.

I takt med att cyberbrottsligheten fortsätter att öka och cyberhoten utvecklas, ökar trycket på företagen att visa sitt engagemang för informationssäkerhet.

ISO 27001 är den globalt erkända bästa metoden för att hantera din informationssäkerhet och driva ett ISMS (information security management system). Eftersom ISO 27001 är den mest populära informationssäkerhetsstandarden i världen kommer även många av dina kunder att känna till den och uppskatta att den efterlevs.

Oavsett om du är nybörjare på ISO 27001 eller vill stärka dina nuvarande rutiner, kommer det här inlägget att gå igenom de viktigaste delarna, varför det är viktigt och hur det kan förbättra din inställning till informationssäkerhet.

Vad är en standard för informationssäkerhet?

Låt oss börja med de allra första grunderna. ISO 27001 är en säkerhetsstandard. Det innebär att den tillhandahåller en strukturerad uppsättning bästa praxis som du kan följa. Dessa bästa metoder har skapats av experter på området för att representera bästa möjliga sätt att minska cyberrisker.

Vissa säkerhetsstandarder (t.ex. ISO 27001) innehåller också en certifieringsmekanism. Det innebär att du kan låta en extern ackrediterad revisor verifiera (enligt en förinställd lista med regler) att du följer alla de bästa metoderna i standarden. Som ett slutresultat av denna process får du sedan ett certifikat för din organisation.

Ur synvinkeln för en person som ansvarar för informationssäkerheten i en organisation ger säkerhetsstandarder t.ex. följande fördelar:

• Få en beprövad lista med bästa praxis: Du behöver inte bygga upp ditt informationssäkerhetsprogram från grunden och kan spara tid genom att använda de bästa metoderna som skapats av experter på området och testats av hundratusentals organisationer.
• Förstå din egen säkerhetsnivå: Är ni 30/100, 60/100 eller 90/100 i enlighet med ISO 27001? Det ger din organisation något att tänka på och gör det möjligt att sätta upp mål. Alltför ofta baserar organisationer sin förståelse för informationssäkerhet på en föraning om genomförda (ofta endast tekniska) investeringar, utan att egentligen ha något att jämföra med.
• Skapa kundvänlig säkerhetskommunikation: Dina kunder känner också till ISO 27001 och därför kommer rapportering mot den att betyda något för dem. Överensstämmelse med en standard i världsklass som ISO 27001 indikerar en säker organisation som tar informationssäkerhet på allvar och som kan anförtros kunddata.

Vilken typ av innehåll omfattar ISO 27001?

I ISO 27001 finns dessa bästa metoder i två former:

• Krav på högsta ledningen: Dessa krav säkerställer att du definierar ditt informationssäkerhetsprogram tydligt och hanterar det på rätt sätt.
• Säkerhetskontroller för information: Dessa säkerställer att du tar väl hand om konfidentialiteten, integriteten och tillgängligheten för data.

Krav på högsta ledningen enligt ISO 27001

I ISO 27001:s nuvarande version (2022) finns 22 krav på högsta ledning.

Varje krav har ett tydligt namn, en identifierare (nummer) och en beskrivning av det krav som måste uppfyllas för att standarden ska följas.

Kraven på säkerhetshantering omfattar ämnen som:

• 4. Organisationens kontext (dvs. att förstå organisationen): Identifiera organisationens miljö, nyckelfaktorer och intressenter som kan påverka informationssäkerheten.
• 5. Ledarskap: Högsta ledningen måste aktivt stödja ISMS genom att sätta upp tydliga mål, fördela ansvar och främja en kultur som prioriterar informationssäkerhet.
• 6. Planering (d.v.s. riskhantering): Utveckla ett strukturerat tillvägagångssätt för att identifiera, utvärdera och behandla informationssäkerhetsrisker och genomföra planerade åtgärder för att minska valda risker.
• 7. Stöd (t.ex. resurser och dokumentation): Säkerställ att organisationen har de resurser, färdigheter och kunskaper som krävs för att implementera ISMS på ett framgångsrikt sätt. Upprätthåll välorganiserad dokumentation och kommunicera tydligt om säkerhetspraxis.
• 8. Drift (dvs. genomförande av ISMS): Omvandla ISMS till handling genom att implementera kontroller och köra nyckelprocesser (t.ex. riskhantering och kontinuerlig förbättring). Säkerställ att ISMS körs på ett tillförlitligt och konsekvent sätt i den dagliga verksamheten.
• 9. Utvärdering av prestanda (dvs. övervakning och granskning): Bedöm regelbundet hur väl ISMS fungerar genom revisioner, granskningar och mätvärden. Använd denna information för att utvärdera ISMS effektivitet.
• 10. Kontinuerlig förbättring: Kontinuerligt förbättra ISMS genom att ta itu med avvikelser, vidta korrigerande åtgärder och förbättra processer för att säkerställa att ISMS förblir effektivt och uppdaterat.

Informationssäkerhetskontroller enligt ISO 27001

Det finns 93 informationssäkerhetskontroller i ISO 27001:s nuvarande version (2022).

Varje kontroll har ett tydligt namn, en identifierare (numret), den obligatoriska delen som ska implementeras och riktlinjer för att ytterligare förstärka implementeringen. Riktlinjerna för informationssäkerhetskontroller finns i dokumentet ISO 27002.

I den nuvarande versionen av ISO 27001 är kontrollerna indelade i fyra kapitel: organisatoriska kontroller, personkontroller, fysiska kontroller och tekniska kontroller. Denna gruppering understryker på ett bra sätt det faktum att endast en del av informationssäkerheten huvudsakligen är teknisk. I många kontroller är dina processer, personalmedvetenhet eller fysiska skydd mer framträdande än tekniska skyddsåtgärder.

ISO 27001-kontrollerna för informationssäkerhet omfattar alla aspekter av informationssäkerhet, till exempel:

• Förvaltning av tillgångar: Identifiering, kategorisering, definition av ägande och därmed systematisk hantering och skydd av viktiga informationstillgångar (t.ex. datasystem, data, människor, fysiska platser, utrustning).
• Identitets- och åtkomsthantering: Definiera processer för att säkerställa att endast behöriga personer har åtkomst till informationstillgångar, t.ex. genom rollbaserad åtkomsthantering, åtkomstgranskning, skydd av autentiseringsinformation och robusta inloggningsrutiner.
• Leverantörsrelationer: Identifiering av viktiga leverantörer (t.ex. leverantörer av datasystem och personuppgiftsbiträden) och hantering av deras risker för dina uppgifter, t.ex. genom att kategorisera leverantörer och säkerställa att de har tillräckliga garantier för en god informationssäkerhetsnivå.
• Kontinuitetshantering: Säkerställer att kritisk verksamhet och information förblir tillgänglig under störningar genom starka backup-processer, skapande och övning av kontinuitetsplaner och definition av kontinuitetskrav för olika tillgångar eller processer.
• Säkerhet för mänskliga resurser: Säkerställer att de anställda förstår sitt säkerhetsansvar, följer sina personliga riktlinjer, kontrolleras före åtkomst och följer andra säkerhetspolicyer under hela sin anställning.
• Fysisk säkerhet: Skyddar anläggningar, utrustning och information från obehörig fysisk åtkomst, skada eller störning och säkerställer en säker fysisk miljö.
• System- och nätverkssäkerhet: Skydda IT-infrastrukturen genom att hantera sårbarheter, kontrollera åtkomst och säkerställa säkra konfigurationer för att förhindra obehörig åtkomst eller avbrott.
• Hot- och sårbarhetshantering: Ha processer för att följa den föränderliga hotbilden och identifiera tekniska sårbarheter för att minska riskerna för informationstillgångar.
• Incidenthantering: Se till att du har kapacitet att identifiera och undersöka potentiella säkerhetsincidenter och, när de identifierats, säkerställa systematisk respons, behandling och analys av incidenter för att minimera påverkan och förhindra upprepning.
• Applikationssäkerhet: Säkerställa att utvecklad programvara är utformad, utvecklad, testad och underhållen med robusta kontroller för att skydda data och förhindra sårbarheter under hela dess livscykel.

Det som är bra med ISO 27001:s kontroller är att alla aspekter av informationssäkerhet är starkt inkluderade.

Några populära frågor relaterade till ISO 27001

Vad är skillnaden mellan ISO 27001- och ISO 27002-dokument?

ISO 27001-dokumentet beskriver de processer och policyer som en organisation måste följa för att uppnå och upprätthålla en effektiv informationssäkerhet. Alla krav i detta dokument är obligatoriska att följa om du vill bli certifierad.

I bilaga A i ISO 27001 hänvisas till de kontroller som beskrivs mer i detalj i ISO 27002.

Dokumentet ISO 27002 ger vägledning och bästa praxis för att genomföra de kontroller som anges i bilaga A till ISO 27001. Du förväntas vanligtvis implementera de flesta kontroller, men vissa kan anses vara "inte tillämpliga" när du presenterar ett starkt resonemang.

I avsnitten om implementeringsvägledning ger ISO 27002 rekommendationer om hur man kan anpassa kontrollerna utifrån varje organisations specifika behov. Dessa delar är inte obligatoriska att implementera, men ger mycket värdefulla detaljer.

Så för att sammanfatta måste du använda båda dokumenten tillsammans. Mer detaljerad vägledning för kontroll av informationssäkerhet finns i 27002, krav på hantering av informationssäkerhet förklaras i 27001.

Vad innebär ett ledningssystem för informationssäkerhet (ISMS)?

Ett ISMS (Information Security Management System) avser det centrala system där du har dokumenterat nödvändig information som förklarar hur du uppfyller standardkraven och implementerar kontrollerna.

Standarden ger inga formatkrav för ISMS - det kan vara ett enda verktyg som Cyberday, eller det kan vara en massa ord, excels, powerpoints och skrivningar på väggen. Men du måste tillhandahålla ett ISMS-beskrivningsdokument för en revisor, som förklarar ISMS-strukturen och innehållet för dem.

ISMS roll är att säkerställa att alla informationssäkerhetsrelaterade åtgärder är tydligt dokumenterade, tilldelade och övervakade. Det ger ett strukturerat tillvägagångssätt för att hantera informationssäkerhet och koppla samman alla dess delar.

Vad avses med ISO?

ISO hänvisar till den internationella standardiseringsorganisationen. Om du vill få tillgång till det faktiska innehållet i ISO 27001- och ISO 27002-dokumenten måste du köpa dem, t.ex. via deras webbplats på ISO.org.

Du kanske ser ISO 27001-standarden också kallas ISO / IEC 27001: 2022. IEC-delen hänvisar till den gemensamma ansträngningen med International Electrotechnical Commission. Slutdelen (:2022 i det här fallet) hänvisar till den senaste versionen av standarden, som släpptes 2022.

Hur kan du använda ISO 27001?

Det finns många olika sätt att använda ISO 27001. Jag ska presentera några som vi har sett i vår kundbas:

• Använd det som ett riktmärke: Välj ut bra metoder att implementera i dina egna säkerhetsåtgärder och hitta bra vägledning för att förbättra dem steg för steg.
• Hitta din informationssäkerhetsnivå: Jämför dina nuvarande åtgärder med ISO 27001 för att skapa förståelse för hur väl du för närvarande matchar dess bästa praxis - så att du kan sätta upp mål för framtiden.
• Sikta på att bli kompatibel: Sätt som internt mål att följa hela standarden, så att du är redo att rapportera om din efterlevnad av ISO 27001, t.ex. till kunder eller myndigheter.
• Sikta på att bli certifierad: När du vill ha starkast möjliga bevis för din löpande efterlevnad och säkerställa att du kontinuerligt förbättrar ditt ISMS, samarbetar du med en ackrediterad revisor och genomgår en certifieringsrevision.

Var och en av metoderna ger dig en starkare bas för att kunna fortsätta med nästa, så de stöder varandra på ett bra sätt.

Vem kan använda ISO 27001?

ISO 27001-standarden kan användas av alla organisationer, oavsett storlek, bransch eller typ. Så länge du vill förbättra din informationssäkerhet och använda bästa praxis, omfattas du av standarden.

Vår organisation har varit ISO 27001-certifierad i cirka 6 år. På den tiden var vi små, och sedan dess har vi vuxit ganska mycket. Dessutom har vi hjälpt hundratals organisationer i alla typer av branscher att förbättra sin ISO 27001-efterlevnad genom Cyberday . Så vi har sett att det fungerar i praktiken för alla som är intresserade av att förbättra sin informationssäkerhet.

Olika organisationer kan dra nytta av standarden på lite olika sätt. För små och medelstora företag kan en ISO 27001-certifiering till stor del vara ett sätt att skapa förtroende och trovärdighet. I stora organisationer kan den ge struktur för att hantera informationssäkerhetsrisker på flera avdelningar, i flera länder och i komplexa leveranskedjor. I reglerade branscher kan det hjälpa till att uppfylla kundernas och lagstiftningens krav.