ISO 27001 blev frigivet som den første i ISO 27000-serien af standarder for informationssikkerhed. Den udkom første gang i oktober 2005 og beskriver krav til et ISMS. Eller som den danske udgave beskriver det: Ledelsessystem for informationssikkerhed. I oktober 2022 blev den opdateret og den nye version tilbyder forbedringer på en række områder, fx øget fleksibilitet i valg af risikometode, forbedrede krav til løbende forbedringer, mindre rigide krav til ledelsesrapportering.
ISO 27001 er nu - som i første version - stærkt relateret til ISO 27002 (også kaldet Appendix A), som beskriver en "code of practice", altså en vejledning, omkring hvilke sikringsforanstaltninger en organisation kan vælge at indføre.
ISO 27001 er ganske kort: Efter sædvanlig ISO-praksis er afsnit 0 (!), 1, 2 og 3 henholdsvis introduktion, afgrænsning, referencer og termer.
Disse afsnit fylder blot 9 sider ud af standardens samlede 23 sider. Appendix A er en gengivelse af de sikringsforanstaltninger, som i detaljer er beskrevet i 2022-udgaven af ISO 27002.
Organisationer kan søge certificering i henhold til ISO 27001. Det er ikke muligt at blive ISO 27002-certificeret, fordi denne standard ikke stiller egentlige krav. Der er kun ganske få danske ISO 27001-certificerede virksomheder. Ønsker du hjælp til eller rådgivning om ISO 27001 certificering, så klik her og kontakt os.
Et af de styrende elementer i ISO 27001 er kravet om, at informationssikkerheden baseres på de reelle risici, organisationer er udsat for. Samlet set kaldes denne aktivitet for risikostyring. Vi har udfærdiget en vejledning til risikostyring med udgangspunkt i standarden for Risk Management ISO 27005.
I den ny ISO 27001, såvel som i den gamle, findes et centralt dokument, der hedder Statement of Applicability (SoA). SoA'en skal være tæt forbundet med jeres proces for risikohåndtering, og det er nyt at I skal udpege risikoejere, som godkender jeres risikohåndtering og jeres risikovillighed, også kaldet risiko-appetit.
SoA beskriver hvilke tiltag (controls på engelsk), der indgår i jeres ISMS. Det er nyt, at I skal begrunde både tilvalg og fravalg; en fin forbedring af standarden. Da SoA er eller bliver så centralt et dokument i jeres ISMS, har vi lavet en gratis vejledning til, hvordan I mest effektivt kan lave jeres SoA.
Effektivitet og produktivitet debatteres i mange sammenhænge. Også når vi taler informationssikkerhed, giver det mening at sikre, at virksomhedens processer fungerer effektivt. Men hvordan måler man om virksomhedens informationssikkerhed er effektiv, og om den udvikler sig i den rigtige retning? Læs mere her
Vi har udarbejdet en vejledning til formålet. Vejledningen har fokus på ISMS-processerne (Information Security Management System). ISMS-metrikker måler værdien/effektiviteten af jeres styring af informationssikkerheden. ISMS-metrikker er samtidigt et bud på udfordringen med at kunne vise ændringerne over tid - fx. til ledelsen.