ISO 27001 krav enkelt för nybörjare

ISO 27001 blir intressant för många småföretag först när en kund frågar efter certifikat, en offertförfrågan kräver informationssäkerhet eller verksamheten vuxit till den punkt där personuppgifter, kunddata och behörigheter inte längre kan hanteras med post-it-lappar. Problemet är ofta inte ovilja att göra rätt, utan att standardens krav vid första anblick kan verka svåra och byråkratiska.

I denna artikel förklarar jag enkelt vad ISO 27001 faktiskt kräver. Ni får en begriplig bild av vad som är obligatoriskt, vad företaget verkligen behöver göra och hur ni kan starta utan att projektet omedelbart växer till ett 6–12 månaders jättelångt åtagande.

Vad kräver egentligen ISO 27001?

ISO 27001 är en internationell standard som definierar kraven för ett informationssäkerhetsledningssystem. Ett ledningssystem betyder i praktiken gemensamma spelregler, ansvar, dokumentation och uppföljning som gör att företaget skyddar information planerat istället för slumpmässigt.

En viktig insikt för nybörjare är: ISO 27001 kräver inte perfekt informationssäkerhet. Det kräver att ni identifierar risker, bestämmer hur ni ska hantera dem, genomför beslutad åtgärder och följer upp om dessa fungerar. Fokus ligger alltså inte på pappren utan på styrd handling.

ISO 27001:s kärnkrav kan sammanfattas i fem punkter:

• definiera vilka verksamheter och information som tillämpningsområdet omfattar
• identifiera 3–5 centrala risker minst i startskedet
• välj lämpliga informationssäkerhetskontroller baserat på riskerna
• dokumentera de viktigaste rutinerna, ansvarsfördelningen och besluten
• följ regelbundet upp att överenskomna åtgärder genomförs

Om ni undrar om detta låter bekant från kvalitetsledning är inte det fel. Samma tankesätt finns även i standarder som ISO 9001: först definieras arbetssättet, sedan agerar man efter det och slutligen mäter och förbättrar.

Centrala termer som nybörjaren bör förstå

Standarden känns ofta svår just för att den använder termer som inte är vanliga i vardagen. När ni har koll på dessa få begrepp blir helheten snabbt tydlig.

Tillämpningsområde anger vilken del av företaget ISO 27001 gäller för. Det kan omfatta hela företaget eller till exempel bara produktion, kundsupport och tillhörande IT-system för en SaaS-tjänst. I småföretag är det ofta klokt att från början avgränsa en tydlig helhet för att hålla arbetet hanterbart.

Riskbedömning betyder att ni bedömer vad som kan gå fel, hur sannolikt det är och vilken påverkan det skulle ha på verksamheten. Till exempel kan ett driftstopp för en kritisk molntjänst stoppa försäljning, kundarbete eller leveranser i flera timmar.

Kontroll är ett praktiskt sätt att hantera risken. Kontroll kan vara teknisk, som multifaktorautentisering, eller administrativ, som instruktionen att stänga av behörigheter för avgående anställda inom 24 timmar.

Här är ett enkelt sätt att greppa termerna:

När dessa termer är klara framstår ISO 27001 inte längre som en lösryckt standard utan som en ledningsmodell.

Vilka dokument och beslut krävs vanligtvis?

Nybörjaren tänker ofta att ISO 27001 innebär en enorm mängd dokument. I verkligheten är det i småföretag bäst att börja smått, bara grundläggande saker är på plats och besluten kan bevisas.

Typiskt behöver ni åtminstone följande:

• beskrivning av tillämpningsområdet
• informationssäkerhetspolicy eller motsvarande riktlinje
• riskbedömning och plan för riskhantering
• lista över valda kontroller med motiveringar
• definierade roller och ansvar
• bevis på uppföljning, som genomgångar, revisioner och korrigerande åtgärder

I praktiken kan detta vara en förvånansvärt kompakt helhet. I många småföretag räcker det med 8–15 centrala dokument så länge de faktiskt används och inte enbart sparas i mapp för revision.

En bra tumregel är: för varje viktig informationssäkerhetsfråga ska det finnas svar på tre frågor:

• vad har beslutats
• vem ansvarar
• när ska saken granskas nästa gång

Vilka praktiska krav innebär ISO 27001 i vardagen?

Standardens krav syns i vardagen främst som rutiner. Om informationssäkerheten hänger på att en enda IT-expert kommer ihåg allt, är ISO 27001 ännu inte på plats i någon större utsträckning. Om processerna däremot är överenskomna och upprepbara, är ni redan väl på väg.

På praktisk nivå bör företaget åtminstone säkerställa följande:

• nya användare får endast behörigheter som behövs för arbetsuppgiften
• behörigheter kontrolleras exempelvis 2 gånger per år
• avgående anställdas konton stängs av inom 24 timmar
• säkerhetskopior av kritiska system tas minst dagligen
• återställningstest görs minst 1–2 gånger per år
• informationssäkerhetsavvikelser dokumenteras centralt och hanteras enligt överenskommen tidsplan
• personal får informationssäkerhetsinstruktion vid introduktion och repetition minst årligen

Många blir förvånade över att ISO 27001 inte kräver en enda teknisk lösning. Den säger till exempel inte vilken brandvägg eller molntjänst som ska användas. Däremot kräver den att valda lösningar baseras på risker och att deras funktion följs upp.

Här är ett enkelt exempel på samband mellan risk, kontroll och mått:

Vad är ledningens roll, och varför är den avgörande?

ISO 27001 är inte bara ett IT-projekt. Standarden kräver att ledningen deltar, fattar beslut och följer upp resultat. Detta är för många företag den punkt där arbetet antingen går framåt eller stannar upp.

Ledningen behöver inte kunna all teknik. Deras uppgift är att säkerställa att mål, resurser och ansvar är tydliga. I praktiken bör VD, affärsansvarig eller annan ansvarig person kunna svara på åtminstone följande frågor:

• vilken information skyddar vi och varför
• vilka är våra största informationssäkerhetsrisker just nu
• vem ansvarar för riskhantering och vem utför de praktiska åtgärderna
• hur följer vi utvecklingen till exempel kvartalsvis

Ledningens genomgång låter som ett tungt uttryck, men kan i praktiken vara ett 30–60 minuters möte 2–4 gånger per år. Då går man igenom till exempel avvikelser, risker, revisionsfynd och beslut om nästa steg.

Så här kommer ni igång praktiskt

När grundbegreppen är klara är nästa fråga: vad ska göras först? Här är en steg-för-steg modell som fungerar för de flesta småföretag.

Vanligaste misstagen för nybörjare

Samma fallgrop återkommer från företag till företag. Genom att känna igen dem i förväg sparar ni tid och undviker onödig dokumentation.

De vanligaste misstagen är:

• starta med mallar utan egen riskbedömning
• skriva instruktioner som ingen hinner eller kan följa
• avgränsa tillämpningsområde oklart så ingen vet vad som ingår
• glömma ledningens beslut och uppföljning
• fokusera enbart på tekniska verktyg när problemet är processer eller ansvar

Ett bra sätt att testa sin situation är att ställa tre frågor om ett praktiskt ämne, t.ex. behörigheter:

• vem godkänner rättigheterna
• inom vilken tid tas rättigheterna bort
• hur bevisar ni att det verkligen gjordes

Om ni inte snabbt kan svara på dessa är det troligtvis där första förbättringsområdet ligger.

Hur underlättas arbetet med rätt verktyg och expertstöd?

Många småföretag kan förstå ISO 27001:s krav själva, men den praktiska genomförandet bromsas när dokument, uppgifter, ansvariga och uppföljning är utspridda. Då går mer tid åt till att bygga systemet än till att förbättra informationssäkerheten.

Därför väljer många en tjänst som kombinerar applikation och expertstöd. Till exempel är Tietoturvapankki byggd för att göra ISO 27001:s krav hanterbara i vardagen som uppgifter, dokument och uppföljning. Bakom står Softapankki Oy och QMClouds Oy, och i samma koncern ingår även Kvalitetsbanken — koncernens varumärke för kvalitetsledning.

Praktiska fördelar för småföretag är ofta:

• mindre tid åt att anpassa mallar
• tydligare bild av ansvar och deadlines
• färdigare struktur för revision
• expertstöd när standardens tolkning känns svår