ISO 27001 pienyritykselle – onko se vaivan arvoinen?

Monessa pienyrityksessä tietoturva on jo arkea, vaikka sitä ei olisi paketoitu viralliseksi kokonaisuudeksi. Käyttöoikeuksia hallitaan, varmuuskopioita otetaan ja asiakasdataa suojataan. Silti kysymys jää usein ilmaan: pitäisikö tämä kaikki viedä ISO 27001 -tasolle ja hakea vielä sertifiointi, vai riittääkö kevyempi malli?

Tässä artikkelissa käymme läpi, mitä ISO 27001 käytännössä tarkoittaa pienyritykselle, milloin sertifiointi tuo oikeaa liiketoimintahyötyä ja milloin se voi olla liian raskas juuri nyt. Saat myös selkeän etenemismallin, jonka avulla voit arvioida päätöstä omassa yrityksessäsi ilman turhaa byrokratiaa.

Mitä ISO 27001 tarkoittaa pienyritykselle käytännössä?

ISO 27001 on kansainvälinen standardi tietoturvan hallintajärjestelmälle. Hallintajärjestelmä tarkoittaa käytännössä sovittua tapaa johtaa tietoturvaa: mitä suojataan, kuka vastaa, miten riskejä arvioidaan ja miten toimintaa parannetaan ajan myötä.

Pienyritykselle tämä ei tarkoita automaattisesti raskasta dokumenttipinoa. Hyvin toteutettuna kyse on siitä, että 10–50 hengen organisaatio tunnistaa omat 3–5 keskeistä riskiään, määrittää niille hallintakeinot ja sopii selkeät pelisäännöt esimerkiksi käyttöoikeuksille, laitteille, toimittajille ja poikkeamien käsittelylle.

Tyypillisiä ISO 27001 -teemoja pienyrityksessä ovat esimerkiksi:

• käyttäjätunnusten hallinta ja poistaminen 24 tunnin sisällä työsuhteen päättymisestä
• monivaiheinen tunnistautuminen kriittisiin palveluihin
• varmuuskopioiden palautuksen testaus 2–4 kertaa vuodessa
• toimittajien tietoturvavaatimusten läpikäynti ennen sopimusta
• tietoturvapoikkeamien kirjaaminen ja käsittely 5 työpäivän sisällä

Oleellinen huomio on tämä: standardi ei vaadi samaa mittaluokkaa kuin suuryritykseltä. Se vaatii, että ratkaisut ovat suhteessa yrityksesi kokoon, riskeihin ja liiketoimintaan.

Mitä sertifiointi tuo verrattuna siihen, että vain noudatat standardia?

Tämä on pienyritykselle usein tärkein kysymys. Voit rakentaa ISO 27001:n mukaisen toimintamallin myös ilman virallista sertifikaattia. Sertifiointi tarkoittaa, että riippumaton auditoija arvioi järjestelmän ja toteaa sen täyttävän standardin vaatimukset.

Käytännössä ero näkyy erityisesti myynnissä, uskottavuudessa ja asiakasvaatimuksissa. Jos asiakkaasi kysyvät tarjouskilpailuissa todisteita tietoturvasta, sertifikaatti on paljon vahvempi näyttö kuin oma vakuutus siitä, että asiat ovat kunnossa.

Alla karkea vertailu pienyrityksen näkökulmasta:

Monelle pienyritykselle paras ratkaisu ei ole heti sertifiointi, vaan kaksivaiheinen eteneminen:

• ensin rakennetaan toimiva hallintajärjestelmä
• sitten arvioidaan 3–6 kuukauden käytön jälkeen, tuoko sertifiointi riittävästi lisäarvoa

Milloin sertifiointi on pienyritykselle aidosti kannattava?

Sertifiointi on yleensä vaivan arvoinen silloin, kun se tukee suoraan kasvua, myyntiä tai riskien hallintaa. Joskus päätös syntyy helposti: asiakas tai toimiala käytännössä edellyttää sitä. Toisinaan hyöty on epäsuorempi, mutta silti merkittävä.

Kysy itseltäsi ainakin nämä viisi kysymystä:

• Häviättekö tarjouskilpailuja, koska ette pysty osoittamaan tietoturvan tasoa riittävän uskottavasti?
• Käsittelettekö asiakkaiden luottamuksellista dataa, henkilötietoja tai liiketoimintakriittisiä järjestelmiä?
• Onko tavoitteena päästä suurempien yritysten alihankkijaksi seuraavan 12 kuukauden aikana?
• Onko tietoturva tällä hetkellä yhden avainhenkilön varassa ilman selkeitä vastuita?
• Haluatteko vähentää asiakaskohtaisten tietoturvakyselyiden määrää ja nopeuttaa myyntiä?

Jos vastaat vähintään 3 kohtaan kyllä, sertifiointi on usein liiketoiminnallisesti perusteltu. Jos kyllä-vastauksia on 0–1, voi olla järkevämpää rakentaa ensin standardin mukainen perusta ilman sertifiointia.

Tyypillisiä tilanteita, joissa ISO 27001 -sertifiointi kannattaa pienyritykselle:

• SaaS-yritys myy keskisuurille tai suurille asiakkaille
• IT-palveluyritys hallinnoi asiakkaan ympäristöjä tai pääsee käsiksi tuotantodataan
• asiantuntijayritys käsittelee luottamuksellisia henkilöstö-, talous- tai terveystietoja
• kasvuyritys haluaa yhtenäistää toimintatavat ennen kansainvälistymistä

Milloin sertifiointi voi olla liian raskas juuri nyt?

Rehellinen vastaus on, että kaikille pienyrityksille sertifiointi ei ole heti oikea ratkaisu. Jos liiketoiminta on vasta käynnistymässä, prosessit muuttuvat kuukausittain ja vastuut ovat vielä epäselviä, sertifiointi voi sitoa aikaa väärään kohtaan.

Yleisiä merkkejä siitä, että kannattaa aloittaa kevyemmin, ovat esimerkiksi:

• yrityksessä ei ole nimettyä vastuuhenkilöä tietoturvalle edes osa-aikaisesti
• perusasiat, kuten laiteluettelo, käyttöoikeusprosessi tai varmuuskopioiden testaus, puuttuvat
• johto ei pysty varaamaan kehitystyöhön vähintään 2–4 tuntia kuukaudessa
• asiakkailta ei tule vielä tietoturvavaatimuksia eikä kilpailuetua ole näkyvissä

Tässä kohtaa hyvä tavoite voi olla niin sanottu sertifiointivalmius. Se tarkoittaa, että rakennatte ISO 27001:n mukaiset käytännöt kuntoon, mutta lykkäätte ulkoista auditointia siihen asti, kun liiketoimintahyöty on selvä.

Mitä pienyrityksen kannattaa laskea ennen päätöstä?

Pelkkä auditoinnin hinta ei kerro koko kuvaa. Olennaisempaa on arvioida kokonaiskuormitus: sisäinen työaika, prosessien rakentaminen, mahdolliset työkalut, koulutus ja ylläpito.

Pienyrityksen päätöksenteossa kannattaa tarkastella ainakin seuraavia tekijöitä:

Hyvä nyrkkisääntö on tämä: jos sertifiointi auttaa suojaamaan tai voittamaan liikevaihtoa enemmän kuin sen toteutus ja ylläpito maksavat, päätös on usein helppo. Jos hyöty jää epäselväksi, aloita kevyemmällä mallilla ja mittaa vaikutuksia 6 kuukauden ajan.

Näin pienyritys voi edetä ilman yliraskasta projektia

Jos päätös tuntuu vaikealta, älä ajattele sertifiointia kertarysäyksenä. Toimivampi tapa on rakentaa tietoturvan perusta vaiheittain ja tehdä sertifiointipäätös vasta, kun näkyvyys hyötyihin paranee.

Alla käytännön etenemismalli pienyritykselle.

Pienyrityksen yleisimmät virheet ISO 27001 -matkalla

Useimmat ongelmat eivät johdu standardista vaan tavasta, jolla projekti käynnistetään. Kun tavoitteet ovat epäselvät, työ paisuu helposti liian suureksi.

Vältä erityisesti nämä virheet:

• yritetään sertifioida kaikki kerralla ilman selkeää soveltamisalaa
• tehdään dokumentaatio ennen kuin arjen käytännöt ovat olemassa
• jätetään johto sivuun ja oletetaan, että IT hoitaa kaiken yksin
• mitataan liikaa asioita, vaikka 3–5 mittaria riittäisi alkuun
• ajatellaan, että sertifikaatti ratkaisee tietoturvan ilman jatkuvaa ylläpitoa

Hyvä käytännön tarkistuslista ennen projektin käynnistystä:

Entä jos haluatte yhdistää tietoturvan ja laadunhallinnan?

Moni pienyritys kehittää samaan aikaan sekä tietoturvaa että laatua. Tässä kohtaa kannattaa huomata, että ISO 27001 ja ISO 9001 tukevat toisiaan. Molemmissa rakennetaan johtamisen malli, määritellään vastuut, seurataan tavoitteita ja parannetaan toimintaa systemaattisesti.

Jos yrityksellä on jo laadunhallinnan käytäntöjä, niitä voi hyödyntää suoraan myös tietoturvassa. Esimerkiksi poikkeamien käsittely, johdon katselmukset ja jatkuvan parantamisen malli eivät ole täysin uusia asioita. Softapankki Oy:n ja QMClouds Oy:n ratkaisuissa tätä yhteensopivuutta hyödynnetään myös Laatupankki-tuotemerkin puolella.

Käytännössä yhdistäminen voi tarkoittaa esimerkiksi tätä:

• yksi yhteinen vuosikello auditoinneille ja katselmuksille
• sama poikkeamien käsittelymalli laadulle ja tietoturvalle
• yhteinen vastuumatriisi prosessinomistajille
• yksi työkalu dokumentaation, riskien ja tehtävien hallintaan

Tämä on pienyritykselle tärkeää, koska erilliset järjestelmät lisäävät helposti hallinnollista työtä. Kun malli pidetään yhtenäisenä, ylläpito vie vähemmän aikaa ja henkilöstön on helpompi toimia oikein.