Et ISMS (Information Security Management System), på dansk et ledelsessystem for informationssikkerhed, er den samlede ramme af politikker, processer, roller og kontroller, som en organisation bruger til at styre sine informationssikkerhedsrisici. ISO 27001 er den internationale standard, der beskriver kravene til et ISMS, og det er den, I kan blive certificeret efter. Standarden foreskriver ikke bestemte tekniske løsninger. I vælger selv jeres sikringsforanstaltninger ud fra jeres egne risici.
I NorthGRC bygger I jeres ISMS i én platform. Risikovurdering, kontroller, dokumenter og opgaver hænger sammen, og jeres Statement of Applicability henter status direkte fra jeres kontroller, så den aldrig halter efter virkeligheden.
Indhold på siden:
ISO 27001 blev udgivet som den første standard i ISO 27000-serien, som i dag samler standarderne for informationssikkerhed. Den udkom første gang i oktober 2005 og beskriver kravene til et ISMS, eller som den danske udgave kalder det: et ledelsessystem for informationssikkerhed.
Standarden er siden revideret to gange. I 2013 kom blandt andet begrebet risikoejer ind, og kravet om at bruge Plan-Do-Check-Act (PDCA) forsvandt. I oktober 2022 kom den nuværende version, hvor især Annex A blev omstruktureret.
ISO 27001 har fra starten været tæt forbundet med ISO 27002. ISO 27002 er en “code of practice”, altså en vejledning i, hvilke sikringsforanstaltninger en organisation kan vælge at indføre, og hvordan de kan implementeres. Kontrollerne i ISO 27001’s Annex A svarer til dem, der er beskrevet i ISO 27002.
Fordi standarden er bygget på risici frem for fastetekniske krav, kan den bruges af alle typer organisationer, uanset størrelse og branche.
I NorthGRC er ISO 27001 og ISO 27002 bygget ind i platformens kontrolbibliotek, så I arbejder med kravene og vejledningen i én og samme kontrol.
Et ISMS er ikke et dokument eller et it-system. Det er den måde, organisationen styrer informationssikkerhed på. ISO 27001 stiller krav til en række faste byggesten, som tilsammen udgør systemet.
|
Byggesten |
Afsnit i ISO 27001 |
Hvad det betyder i praksis |
|---|---|---|
|
Kontekst og scope |
4 |
I beslutter, hvilke dele af organisationen, hvilke lokationer og hvilke systemer ISMS’et dækker |
|
Ledelsens ansvar og politik |
5 |
Ledelsen godkender informationssikkerhedspolitikken og fordeler roller og ansvar |
|
Risikovurdering og risikohåndtering |
6 |
I identificerer risici, vurderer dem op mod jeres risikovillighed og beslutter, hvordan de skal håndteres |
|
Statement of Applicability (SoA) |
6.1.3 |
En oversigt over alle Annex A-kontroller med begrundelse for, om de er valgt til eller fra |
|
Kompetencer og awareness |
7 |
Medarbejderne ved, hvad der forventes af dem, og har de nødvendige kompetencer |
|
Drift |
8 |
Handlingsplanerne fra risikohåndteringen bliver ført ud i livet |
|
Måling, intern audit og ledelsens evaluering |
9 |
I måler, om ISMS’et virker, og ledelsen gennemgår resultaterne regelmæssigt |
|
Afvigelser og løbende forbedring |
10 |
Fejl og afvigelser bliver håndteret, og systemet bliver bedre over tid |
Afsnit 4-10 udgør selve kravene. Annex A er et bilag med en liste over sikringsforanstaltninger (kontroller), som I skal forholde jer til i jeres SoA.
I NorthGRCs Compliance-modul er kontrollerne struktureret efter standardens kapitler. Hver kontrol er koblet til de dokumenter i biblioteket og de opgaver i planlægningsmodulet, der understøtter den, og får status som implementeret, delvist implementeret eller ikke relevant.
De fire begreber bliver ofte blandet sammen. Kort fortalt er ISMS’et selve systemet, mens ISO-standarderne beskriver, hvordan det skal og kan bygges.
|
Hvad er det? |
Kan man blive certificeret? |
|
|---|---|---|
|
ISMS |
Jeres ledelsessystem for informationssikkerhed |
Nej, men det er ISMS’et, der bliver auditeret |
|
ISO 27001 |
Standarden med kravene til et ISMS, inklusive Annex A |
Ja |
|
ISO 27002 |
Vejledning i, hvordan kontrollerne i Annex A kan implementeres |
Nej, standarden indeholder ikke krav |
|
ISO 27005 |
Vejledning i risikostyring for informationssikkerhed |
Nej |
Hvis I kun læser én standard, skal det være ISO 27001. ISO 27002 bliver relevant, når I skal implementere de konkrete kontroller, og ISO 27005, når I skal designe jeres risikometode.
I NorthGRC er ISO 27002-kontrollerne en del af et fælles kontrolbibliotek, hvor hver kontrol er mappet til de standarder, den er relevant for. Når I arbejder med en kontrol til ISO 27001, opdateres status også for NIS2 og andre standarder, som kontrollen dækker.
ISO 27001 udkom første gang i 2005 og blev senest revideret i oktober 2022. Den største ændring er i Annex A, som blev omstruktureret og skåret ned.
|
ISO 27001:2013 |
ISO 27001:2022 |
|
|---|---|---|
|
Antal kontroller i Annex A |
114 |
93 |
|
Struktur |
14 domæner |
4 temaer: organisatoriske (37), personer (8), fysiske (14) og teknologiske (34) |
|
Nye kontroller |
11, blandt andet trusselsefterretning, sikkerhed ved brug af cloudtjenester, dataudsivning, overvågning og sikker kodning |
Derudover fik kravene et nyt punkt om planlægning af ændringer i ISMS’et (6.3). Overgangsperioden er slut: certifikater efter 2013-versionen udløb 31. oktober 2025, så alle gyldige certifikater er i dag udstedt efter 2022-versionen.
NorthGRCs kontroller er struktureret efter de fire temaer i ISO 27002:2022. Hver kontrol er delt op i mindre enheder, så den samme implementering kan genbruges på tværs af standarder.
I NorthGRC registrerer I aktiverne ét sted, og det samme aktiv kan indgå i både informationssikkerhed og databeskyttelse, så I ikke vedligeholder to lister. Vælger I ambitionsniveauet Certificering, genererer platformen de ekstra opgaver og dokumenter, der kræves for at bestå en ekstern ISO 27001-audit.
Certificering sker hos et akkrediteret certificeringsorgan og foregår typisk i to trin. Først gennemgår auditoren jeres dokumentation (stage 1). Derefter vurderer auditoren, om ISMS’et fungerer i praksis (stage 2). Et certifikat er gyldigt i tre år, med opfølgende audits hvert år og en fuld recertificering efter tre år.
Et ISMS kræver ikke en certificering. Mange organisationer bygger deres ISMS efter ISO 27001 uden at blive certificeret, fordi kunder, partnere eller lovgivning som NIS2 kræver dokumenteret informationssikkerhed, men ikke et certifikat.
Inden en audit kan I versionere og godkende jeres SoA i NorthGRC, så dokumentets dato viser, at det er opdateret. Hver fravalgt kontrol har et felt til begrundelse, så auditoren kan se, hvorfor den er valgt fra.
Har I brug for hjælp til at blive klar til certificering, kan I få rådgivning fra NorthGRCs konsulenter.
NIS2-loven gælder i Danmark fra 1. juli 2025. Loven kræver, at virksomheder omfattet af NIS2 har passende foranstaltninger til styring af cybersikkerhedsrisici. Et ISMS efter ISO 27001 dækker en stor del af de krav, fordi begge bygger på risikobaseret styring, politikker og løbende opfølgning.
Et ISMS dækker dog ikke det hele. NIS2 stiller blandt andet særlige krav til indberetning af væsentlige hændelser til myndighederne inden for faste frister og til ledelsens ansvar og uddannelse. Dem skal I håndtere ud over ISMS’et.
I NorthGRC er der et betydeligt overlap mellem ISO 27002- og NIS2-kontrollerne i kontrolbiblioteket. Arbejdet med jeres ISO 27001-kontroller tæller derfor automatisk med i jeres NIS2-status.
Risikostyring med ISO 27005. ISO 27001 kræver, at informationssikkerheden bygger på de reelle risici, organisationen står over for. Vores vejledning viser, hvordan I strukturerer risikovurdering og risikohåndtering efter ISO 27005.
Statement of Applicability efter ISO 27001:2022. SoA’en er et af de mest centrale dokumenter i jeres ISMS. Den skal hænge tæt sammen med jeres risikohåndtering, og I skal begrunde både til- og fravalg af kontroller. Vores gratis vejledning viser, hvordan I laver den mest effektivt.
Måling med ISMS-metrikker. Hvordan ved I, om jeres informationssikkerhed virker og udvikler sig i den rigtige retning? ISMS-metrikker måler effekten af jeres styring og gør det muligt at vise udviklingen over tid, for eksempel over for ledelsen.
Et ISMS er fundamentet for både ISO 27001-certificering og NIS2-compliance. Jo tidligere risikovurdering, kontroller og dokumentation hænger sammen, jo mindre dobbeltarbejde får I senere. Se, hvordan I kan styre jeres ISMS i NorthGRC, eller læs mere om ISO 27001 i NorthGRC.
ISMS står for Information Security Management System. På dansk hedder det et ledelsessystem for informationssikkerhed. Det er den samlede ramme af politikker, processer, roller og kontroller, som en organisation bruger til at styre sine informationssikkerhedsrisici.
Nej. I kan bygge og drive et ISMS efter ISO 27001 uden at blive certificeret. Certificering er en ekstern bekræftelse af, at ISMS’et lever op til standarden, og er typisk relevant, når kunder eller partnere efterspørger den.
ISO 27001 indeholder kravene til et ISMS, og det er den, man kan blive certificeret efter. ISO 27002 er en vejledning i, hvordan de kontroller, der står i ISO 27001’s Annex A, kan implementeres. Man kan ikke blive certificeret efter ISO 27002.
Det afhænger af jeres scope, størrelse og hvor meget I allerede har på plads. Typisk et sted mellem 6 og 12 måneder.
Ja. Et ISMS efter ISO 27001 dækker en stor del af NIS2’s krav til risikostyring, fordi begge bygger på de samme principper. NIS2 har dog egne krav, blandt andet til indberetning af hændelser og ledelsens ansvar, som I skal håndtere ud over ISMS’et.