ISO 27001: Från Informationssäkerhet till Cybervärdighet & NIS2
ISO 27001 Kapitel 4. Sammanhang
Syftet med kraven i IS0 27001 är att skydda dina informationstillgångar. Det första är reda på vilket sammanhang din organisation lever i.
ISO 27001 Kapitel 5. Ledarskap
Informationssäkerhet är en kvalitet som alla andra kvaliteter, ska organisationen lyckas krävs en ledning som är förespråkare och engagerad.
ISO 27001 Kapitel 6. Planering
ISO 27001 Kapitel 7. Resurser
ISO 27001 Kapitel 8. Operativt arbete
ISO 27001 Kapitel 9. Utvärdering
ISO 27001 Kapitel 10. förbättringar
ISO 27001 är en standard som sätter krav på ett system för att uppnå cyber- och informationssäkerhet. Ett säkerhetssystem. Med ISO 27001 lär du dig av andras misstag och slipper tänka ut allt själv.
Jag är ute med min viggen på spaningsuppdrag. Jag är långt bort, mellan Kaliningrad och Hoburgen. Plötsligt klonkar det till, radar och nästan alla instrument slutar fungera. Jag stiger, sänker farten och tittar på feltablon. Generatorfel, det har jag tränat mycket i simulatorn.
Farten är under 700 km/h. Det är bra för klonket kom från ett litet automatiskt utfällt vindkraftverk, det tål inte mer än 700 km/h. Fram med nödchecklistan och gör resten av åtgärderna. Säkerhetssystemet har fungerat.
IT-säkerhet och cybersäkerhet är avgörande för företag och organisationer. Inte minst med cybersäkerhetslagen. ISO 27000 är standarder för informationssäkerhet.
ISO 27001 sätter krav på ett ledningssystem, ett system för att hantera informationssäkerhet. ISO 27001 innehåller standardiserade säkerhetsåtgärder. Med ISO 27000-serien slipper du tänka ut allt själv.
Cyberhot, traditionella hot och dålig systemdesign hotar säkerhetskritisk och samhällsviktig verksamhet. Finans, flyg, energiförsörjning och vård är exempel.
Cybersäkerhetslagen kräver säkerhetsåtgärder som skyddar samällsviktiga tjänster mot cyberhot och inre hot. NIS2 genomförandeförordningen är ISO 27001 omskriven för cybersäkerhet
ISO 27001 brister i cybersäkerhetslagen (NIS2) krav på en allriskansats. ISO skyddar information (CIA), men NIS2 kräver operativ leveransförmåga.
En allriskansats kräver teknisk analys för att eliminera SPOFs (Single Points of Failure) och bygga in resiliens i arkitekturen.
Istället för att lista IT-tillgångar och skydda dem fokuserar NIS2 på funktion. Riskanalysen ska fånga dolda risker i människa, process och miljö.
Kontext är grunden för att lyckas med informations- och cybersäkerhet. I organisationens kontext finns cyberhot och risker. I säkerhetssystemets kontext identifierar du åtgärder för att hantera risker.
I en kontextanalys enligt ISO 27001 finns intressenter och deras behov. Du hittar gränsytor och beroenden mot omvärlden. Baserat på detta definieras omfattninga av systemet för att hantera informationssäkerhet.
Idén om säkerhet är en idé högsta ledning måste brinna för, annars blir det ingen säkerhet. Ledningen måste sälja in säkerhetsarbetet och vara goda förebilder.
Om ledningen ser säkerhetssystemet som något byrokratiskt som katten har släpat in blir det svårt att lyckas med både informationssäkerhet och certifiering mot kraven i ISO 27001.
Analysera och hantera risker
Kärnan i arbetet med informations- och cybersäkerhet är att hantera risk. ISO 27001 ställer krav på att du sätter säkerhetsmål, identifierar riskerna och hanterar funna risker. ISO 27002 och 27005 vägleder dig.
Här kan du läsa om kraven i ISO 27001. Ension har även en guide för hur du praktiskt hanterar risk.
För att skydda informationstillgångarna krävs rätt resurser. Resurserna kan vara i form av människor, infrastruktur, verktyg o s v.
ISO 27001 sätter krav på att tillsätta resurserna samt dess förmåga i fråga om kompetens, medvetenhet och kommunikation samt kvaliteten på dokumentationen som stödjer arbetet.
Operativt arbete, när säkerhetssystemet används
Så efter allt planerande, med riskanalys och allt, så är redo att vara doers. Kapitel 8 handlar om hur du har kontroll över hur din produkt skapas och levereras, hur kunden operativt får rätt kvalitet.
Sätt säkerhetssystemet under lupp
Du ska veta att säkerhetssystemet fungerar. För detta krävs att systemet övervakas, mäts, analyseras och utvärderas. En revision tar reda på att du uppfyller kraven.
Högsta ledningen ska, som vid allt ledningsarbete, granska organisationens arbete. Detta för att säkra att säkerhetssystemet är adekvat och effektivt.
Du tänkte inte på allt från början. Kontinuerlig förbättring är grunden för att lyckas med säkerhetsarbetet. Incidenter kommer inträffa och det gäller att lära av dem.
Incidenterna kan bero på att du inte identifierat en risk, underskattat sannolikheten för risken. Eller så har du inte förstått konsekvenserna av en incident och kanske inte hanterar den på ett bra sätt. Dessutom förändras både förutsättningarna och omvärlden.
Att trycka in ISO 27000-serien i en organisation kommer stöta på problem. Detta framförallt om det är en organisation som arbetar med ett agilt arbetssätt, som t ex SAFe. Om beskrivet ovan är ISO 27001 en iterativ PDCA-process, precis som agila ramverk.
Ension har utvecklat en metod där det obligatoriska revisionsarbetet i ISO 27001 driver ett agilt införande. Du nyttjar tanken med MVP för att ta dig mot certifiering.
Ension har sammanställt en presentation att använda som en introduktion till informationssäkerhet med ISO 27000 /ISO 27001. Du finner här bilderna som pdf (länkade i bilden). Den följer samma struktur som denna artikel.
Ension hjälper er gärna med en utbildning i standarden ISO 27001 där du lär dig vad informationssäkerhet är, kraven i ISO 27001 och hur du uppnår säkerhet.
