ISO 27001

ISO 27001 er en international standard for styring af informationssikkerhed. Den beskriver kravene til et ledelsessystem for informationssikkerhed, ofte kaldet et ISMS, som hjælper virksomheder med at arbejde systematisk med risici, kontroller, ansvar og løbende forbedringer.

Hvorfor er begrebet vigtigt?

ISO 27001 er vigtig, fordi den giver virksomheder en fælles og dokumenterbar metode til at styre informationssikkerhed. Fokus er ikke kun på tekniske løsninger, men også på ledelse, processer, medarbejdere, leverandører og løbende opfølgning.

For virksomheder er standarden relevant ved risikovurderinger, sikkerhedspolitikker, adgangsstyring, leverandørstyring, backup, incident response, compliance, audit og dokumentation over for kunder.

Typisk misforståelse

Den mest almindelige fejl er at tro, at ISO 27001 er en liste over tekniske sikkerhedsprodukter. Standarden handler i stedet om at etablere et ledelsessystem, hvor virksomheden vælger og dokumenterer passende kontroller ud fra sine egne risici.

Eksempel

En virksomhed kortlægger sine vigtigste informationer og vurderer, hvilke trusler og konsekvenser der er relevante. På baggrund af risikovurderingen vælger virksomheden kontroller, tildeler ansvar og følger regelmæssigt op på, om sikkerhedsarbejdet fungerer.

Best practice

• Afgræns tydeligt hvilke dele af virksomheden ledelsessystemet omfatter.

• Gennemfør og vedligehold en dokumenteret risikovurdering.

• Tildel ejerskab for risici, kontroller og opfølgning.

• Mål om sikkerhedsindsatsen virker efter hensigten.

• Brug audits og ledelsens evaluering til løbende forbedringer.