Vejledning i risikostyring med ISO 27005

Få en praktisk introduktion til, hvordan du arbejder struktureret med risici i dit ISMS – baseret på ISO 27005

ISO 27005 er standarden for risikostyring i informationssikkerhed og et centralt element i ISO 27001 og ISMS.
Denne guide giver dig en konkret og operationel tilgang til, hvordan du identificerer, analyserer og håndterer risici i praksis.

Hvad får du i guiden

• En trin-for-trin-metode fra rammer og risikovurdering til risikohåndtering og opfølgning
• Femtrinsskalaer til vurdering af konsekvens og sandsynlighed
• Et trusselskatalog og skalaer til at vurdere modenheden af jeres tiltag
• En metode til at beregne en risikofaktor og samle et risikobillede
• Et begrebsskema til vurdering af forretningskonsekvenser
  
  

Kort forklaring 

 

Risikostyring i ISO 27005 bygger på en struktureret proces, hvor organisationen identificerer risici, vurderer sandsynlighed og konsekvens og implementerer relevante tiltag. Processen er tæt koblet til ISO 27001 og understøtter løbende forbedring af informationssikkerheden.

Hvem er guiden relevant for

 

Guiden er relevant for dig, hvis du arbejder med ISO 27001, ISMS eller compliance og har behov for en struktureret tilgang til risikostyring – fx i forbindelse med NIS2 eller GDPR.

 

Download vejledningen og få en praktisk metode til at arbejde med risikostyring baseret på ISO 27005.

Hvad er ISO 27005?

 

ISO 27005 er en international standard med vejledning i risikostyring for informationssikkerhed. ISO 27001 kræver, at informationssikkerheden bygger på en vurdering af organisationens reelle risici, men beskriver ikke i detaljer, hvordan vurderingen skal laves. Den vejledning findes i ISO 27005. Standarden indeholder ikke krav, så man kan ikke blive certificeret efter den. Den gældende version er fra 2022.

 

Risikostyringsprocessen i ISO 27005

 

Processen består af en række trin, som gentages løbende:

• Fastlæg rammerne. Afgræns scope, placér ansvaret, vælg metode til risikovurdering, og fastlæg de kriterier, der afgør, om en risiko er acceptabel.

• Vurdér risici. Identificér aktiver, sårbarheder, trusler og eksisterende kontroller. Analysér sandsynlighed og konsekvens, og evaluér risikoniveauet op mod jeres kriterier, så I kan prioritere.

• Håndtér risici. Beslut for hver risiko, hvordan den skal håndteres (se tabellen nedenfor).

• Acceptér restrisikoen. Ledelsen godkender planen for risikohåndtering og accepterer bevidst den risiko, der er tilbage.

• Kommunikér og følg op. Involvér de relevante personer undervejs, følg op på, om tiltagene virker, og gentag vurderingen med jævne mellemrum.

 

Fire måder at håndtere en risiko på

 

Strategi	Hvad det betyder
Reducere	Indfør forebyggende tiltag, der mindsker sandsynligheden, eller udbedrende tiltag, der mindsker konsekvensen
Acceptere	Lev med risikoen, fordi tiltag ikke kan betale sig, og risikoen ligger inden for jeres risikoappetit
Undgå	Stop den aktivitet, der skaber risikoen, fx brugen af et usikkert system
Dele	Del risikoen med andre via forsikring eller leverandørkontrakter. Det overordnede ansvar ligger stadig hos jer

 

Sådan hænger ISO 27005 sammen med ISO 27001

 

ISO 27005 understøtter kravene i ISO 27001 med vejledning i risikovurdering, metoder til at vælge risikohåndtering, tilgange til løbende opfølgning og en ramme for risikokommunikation. Resultatet af jeres risikohåndtering fører direkte ind i jeres Statement of Applicability, hvor I begrunder, hvilke kontroller I har valgt. I NorthGRC tager risikovurderingen udgangspunkt i jeres registrerede aktiver og et trusselskatalog. Risikoen beregnes ud fra konsekvens og sandsynlighed for fortrolighed, integritet og tilgængelighed, og hver vurdering kan begrundes, så ræsonnementet er dokumenteret over for både auditor og ledelse.