ISO 27001 og ISO 27002: hvad er forskellen, og hvad blev der af DS 484?
Informationssikkerhed bliver stadig mere standardiseret. Her får du et overblik over de internationale standarder, som har mest relevans for danske virksomheder.
ISO 27001 indeholder kravene til et ledelsessystem for informationssikkerhed (ISMS), og det er den standard, man kan blive certificeret efter. ISO 27002 er en vejledning i, hvordan de 93 sikringsforanstaltninger i ISO 27001’s Annex A kan implementeres. De to standarder bruges sammen, og i NorthGRC er de bygget ind i det samme kontrolbibliotek, så I arbejder med krav og vejledning i én kontrol.
Hvad er forskellen på ISO 27001 og ISO 27002?
ISO 27001 fortæller, hvad I skal have på plads. ISO 27002 giver vejledning i, hvordan I kan gøre det.
|
ISO 27001 |
ISO 27002 |
|
|---|---|---|
|
Formål |
Krav til et ISMS |
Vejledning i sikringsforanstaltninger |
|
Krav eller vejledning? |
Krav (“skal”) |
Vejledning (“bør”) |
|
Kan man blive certificeret? |
Ja |
Nej |
|
Indhold |
Afsnit 4-10 med krav til ledelse, risikostyring, drift og forbedring, plus Annex A |
Uddybende beskrivelse af de 93 sikringsforanstaltninger, deres formål og vejledning i implementering |
|
Gældende version |
ISO 27001:2022 |
ISO 27002:2022 |
I praksis bruger I ISO 27001 til at bygge jeres ISMS og ISO 27002 som opslagsværk, når I skal implementere de enkelte sikringsforanstaltninger.
NorthGRCs kontrolbibliotek er struktureret efter ISO 27002:2022, og kontrollerne er mappet til de standarder, de understøtter, herunder ISO 27001. Når I implementerer en kontrol, opdateres status for begge standarder.
ISO 27001 og ISO-certificering
ISO 27001 og ISO 27002 er “søsterdokumenter”. ISO 27001 beskriver de konkrete krav til it-sikkerhedsledelse (ISMS, Information Security Management System), og ISO 27002 er en “code of practice”, altså en vejledning. Hvis man som virksomhed ønsker at have ISO-certificeret informationssikkerhed, kan man søge certificering efter ISO 27001, men ikke efter ISO 27002.
Den gældende version af ISO 27001 er fra oktober 2022. Certifikater efter den tidligere 2013-version udløb 31. oktober 2025, så alle gyldige certifikater er i dag udstedt efter 2022-versionen.
Vil du vide mere om, hvad ISO 27001 kræver, kan du læse vores gennemgang af kravene i ISO 27001 afsnit for afsnit.
Hvad er ISO 27002?
ISO 27002 er en international standard med vejledning i, hvordan en organisation kan vælge og implementere sikringsforanstaltninger (kontroller) til informationssikkerhed. Den gældende version, ISO 27002:2022, indeholder 93 kontroller fordelt på fire temaer:
|
Tema |
Antal kontroller |
Eksempler |
|---|---|---|
|
Organisatoriske |
37 |
Politikker, roller, leverandørforhold, hændelseshåndtering |
|
Personer |
8 |
Screening, awareness, fortrolighedsaftaler |
|
Fysiske |
14 |
Adgangskontrol til bygninger, sikring af udstyr |
|
Teknologiske |
34 |
Adgangsstyring, kryptering, logning, sikker udvikling |
For hver kontrol beskriver standarden formålet og giver vejledning i implementeringen.
ISO 27002:2022 indførte også attributter. Hver kontrol er mærket med blandt andet kontroltype (forebyggende, opdagende eller korrigerende), hvilke informationssikkerhedsegenskaber den beskytter (fortrolighed, integritet og tilgængelighed) og hvilke cybersikkerhedskoncepter den understøtter. Attributterne gør det lettere at sortere kontrollerne efter jeres behov, for eksempel hvis I vil se alle forebyggende kontroller eller alle kontroller, der beskytter tilgængelighed.
I NorthGRC er kontrollerne struktureret efter de fire temaer i ISO 27002:2022. Hver kontrol er delt op i mindre enheder, så den samme implementering kan genbruges, når kontrollen også dækker krav i NIS2 eller andre standarder.
Annex A og ISO 27002: hvordan hænger de sammen?
Annex A er et bilag i ISO 27001. Det indeholder en liste over de samme 93 kontroller, som ISO 27002 beskriver, men kun med en kort formulering af hver kontrol. ISO 27002 uddyber hver kontrol med formål og vejledning.
I et ISO 27001-projekt skal I tage stilling til alle kontrollerne i Annex A i jeres Statement of Applicability (SoA). For hver kontrol skal I angive, om den er relevant, begrunde til- eller fravalg og beskrive, om den er implementeret. Når I skal implementere en kontrol i praksis, er det ISO 27002, I slår op i.
I NorthGRC bliver jeres SoA genereret ud fra jeres arbejde med kontrollerne, så den altid viser den aktuelle status. Hver fravalgt kontrol har et felt til begrundelse.
Hvad ændrede sig fra 2013 til 2022?
Med 2022-versionerne af ISO 27001 og ISO 27002 blev kontrolkataloget omstruktureret:
|
2013-versionen |
2022-versionen |
|
|---|---|---|
|
Antal kontroller |
114 |
93 |
|
Struktur |
14 domæner |
4 temaer |
|
Nye kontroller |
11, blandt andet trusselsefterretning, sikkerhed ved brug af cloudtjenester, forebyggelse af dataudsivning og sikker kodning |
|
|
Attributter |
Nej |
Ja |
Mange af de gamle kontroller blev slået sammen, så færre kontroller betyder ikke færre krav.
Se hvordan NorthGRC understøtter ISO 27001 og ISO 27002
NorthGRC er bygget op omkring internationale standarder for informationssikkerhed. Se hvordan platformen mapper direkte til kravene i ISO 27001 og ISO 27002 med strukturerede arbejdsområder, risikostyring og complianceoverblik.
Se hvordan NorthGRC understøtter ISO 27001 →
Internationale standarder: overblik
27000 er International Organization for Standardizations (ISO) nummerserie for internationale standarder om informationssikkerhed. Her er et overblik over de vigtigste standarder i serien:
|
ISO/IEC |
Beskrivelse |
|---|---|
|
27000 |
Information security management systems - Overview and vocabulary. Begreber og definitioner. |
|
27001 |
Information security management systems - Requirements. Kravene til et ISMS. Findes på dansk og engelsk. |
|
27002 |
Information security controls. Vejledning i de 93 sikringsforanstaltninger. Afløste ISO 17799. |
|
27003 |
Information security management systems - Guidance. Vejledning i at implementere et ISMS. |
|
27004 |
Monitoring, measurement, analysis and evaluation. Måling af ISMS’ets effektivitet. |
|
27005 |
Guidance on managing information security risks. Vejledning i risikostyring. Tager udgangspunkt i og erstatter de ældre og mindre udbredte ISO 13335-standarder. |
|
27006 |
Requirements for bodies providing audit and certification of ISMS. Krav til de certificeringsorganer, der auditerer og certificerer efter ISO 27001. |
|
27701 |
Privacy information management. Udvider et ISMS til også at dække beskyttelse af personoplysninger. |
Ønsker I at blive ISO 27001-certificeret?
NorthGRC hjælper virksomheder med at opbygge og vedligeholde et ISMS, der lever op til kravene i ISO 27001. Book en gratis demo og se, hvordan platformen kan accelerere jeres certificeringsforløb.
Du kan også læse om vores konsulentydelser her.
Dansk Standard DS 484:2005
DS 484 var i en årrække de facto-standard for it-sikkerhedsimplementering i stat, kommune og mange virksomheder. DS 484 byggede på det samme katalog af sikringsforanstaltninger, som i dag findes i ISO 27002, men den er udfaset til fordel for ISO 27001. Staten, som tidligere havde et egentligt krav om DS 484, har for længst valgt at kræve ISO 27001 i stedet.
Forskelle mellem ISO 27001 og DS 484
DS 484 var en ren dansk standard, hvor ISO 27001 er international. Men der er også faglige forskelle mellem de to standarder:
- ISO 27001 stiller specifikke krav til et ISMS. Eksempler er krav til politik, risikovurdering, intern audit og opfølgning, ikke mindst fra ledelsens side. Disse krav fandtes ikke så konkret i DS 484 (og findes heller ikke i ISO 27002).
- I et ISO 27001-projekt udarbejdes et “Statement of Applicability”. Her kan organisationen, med passende forretningsmæssig begrundelse, vælge ikke at indføre en sikringsforanstaltning.
- I DS 484 var også implementeringsretningslinjerne formuleret som absolutte krav, idet ordet “skal” indgik i alle implementeringsretningslinjer. Det betød, at de 135 sikringsforanstaltninger blev suppleret med ca. 600 krav, hvoraf en del kaldtes skærpede krav (markeret med en *).
ISO 27001 er således mere omfattende på ledelsesområdet, hvor DS 484 havde mere omfattende krav til konkrete sikringsforanstaltninger. Lidt populært kan man sige, at DS 484 var en tjeklistestandard, hvor man “slap for at tage stilling til sit behov”, mens ISO 27001 bedre kan tilpasses et individuelt behov.
Ofte stillede spørgsmål om ISO 27001 og ISO 27002
Kan man blive certificeret efter ISO 27002?
Nej. ISO 27002 indeholder vejledning og ikke krav, så man kan ikke blive certificeret efter den. Certificering sker efter ISO 27001, mens ISO 27002 bruges til at implementere de sikringsforanstaltninger, ISO 27001 henviser til.
Hvad er forskellen på Annex A og ISO 27002?
Annex A i ISO 27001 er en liste over 93 sikringsforanstaltninger med en kort beskrivelse af hver. ISO 27002 beskriver de samme 93 sikringsforanstaltninger i detaljer med formål og vejledning i implementering.
Hvor mange kontroller er der i ISO 27002:2022?
ISO 27002:2022 indeholder 93 kontroller fordelt på fire temaer: 37 organisatoriske, 8 personrelaterede, 14 fysiske og 34 teknologiske. Den tidligere version fra 2013 havde 114 kontroller fordelt på 14 domæner.
Gælder DS 484 stadig?
Nej. DS 484 er udfaset og erstattet af ISO 27001 som den anerkendte standard for informationssikkerhed i Danmark.
Hold dig opdateret om informationssikkerhed og compliance
Tilmeld dig vores nyhedsbrev og modtag vejledninger, guides og nyheder om ISO 27001, NIS2, GDPR og meget mere direkte i din indbakke.
