ISO 27005 er standarden for risikostyring innen informasjonssikkerhet og et sentralt element i ISO 27001 og ISMS. Denne veiledningen gir deg en konkret og praktisk tilnærming til hvordan du identifiserer, analyserer og håndterer risikoer.
Dette får du i veiledningen
- En trinnvis metode fra rammer og risikovurdering til risikohåndtering og oppfølging
- Femtrinnsskalaer for vurdering av konsekvens og sannsynlighet
- En trusselkatalog og skalaer for å vurdere modenheten i tiltakene deres
- En metode for å beregne en risikofaktor og samle et risikobilde
- Et begrepsskjema for vurdering av forretningsmessige konsekvenser
Hvem er veiledningen relevant for
Veiledningen er relevant for deg som jobber med ISO 27001, ISMS eller compliance og trenger en strukturert tilnærming til risikostyring, for eksempel i forbindelse med NIS2 eller GDPR.
Hva er ISO 27005?
ISO 27005 er en internasjonal standard med veiledning i risikostyring for informasjonssikkerhet. ISO 27001 krever at informasjonssikkerheten bygger på en vurdering av virksomhetens reelle risikoer, men beskriver ikke i detalj hvordan vurderingen skal gjøres. Den veiledningen finnes i ISO 27005.
Standarden inneholder ikke krav, så man kan ikke sertifiseres etter den. Gjeldende versjon er fra 2022.
Risikostyringsprosessen i ISO 27005
Prosessen består av en rekke trinn som gjentas løpende:
- Fastsett rammene. Avgrens omfanget, plasser ansvaret, velg metode for risikovurdering, og fastsett kriteriene som avgjør om en risiko er akseptabel.
- Vurder risikoer. Identifiser verdier, sårbarheter, trusler og eksisterende kontroller. Analyser sannsynlighet og konsekvens, og evaluer risikonivået mot kriteriene deres, slik at dere kan prioritere.
- Håndter risikoer. Bestem for hver risiko hvordan den skal håndteres (se tabellen nedenfor).
- Aksepter restrisikoen. Ledelsen godkjenner planen for risikohåndtering og aksepterer bevisst risikoen som gjenstår.
- Kommuniser og følg opp. Involver de relevante personene underveis, følg opp om tiltakene virker, og gjenta vurderingen med jevne mellomrom.
Fire måter å håndtere en risiko på
|
Strategi |
Hva det betyr |
|
Redusere |
Innfør forebyggende tiltak som reduserer sannsynligheten, eller korrigerende tiltak som reduserer konsekvensen |
|
Akseptere |
Lev med risikoen, fordi tiltak ikke lønner seg, og risikoen ligger innenfor risikoappetitten deres |
|
Unngå |
Stopp aktiviteten som skaper risikoen, for eksempel bruken av et usikkert system |
|
Dele |
Del risikoen med andre gjennom forsikring eller leverandørkontrakter. Det overordnede ansvaret ligger fortsatt hos dere |
Slik henger ISO 27005 sammen med ISO 27001
ISO 27005 støtter kravene i ISO 27001 med veiledning i risikovurdering, metoder for å velge risikohåndtering, tilnærminger til løpende oppfølging og en ramme for risikokommunikasjon. Resultatet av risikohåndteringen går direkte inn i Statement of Applicability, der dere begrunner hvilke kontroller dere har valgt.
I NorthGRC tar risikovurderingen utgangspunkt i de registrerte verdiene deres og en trusselkatalog. Risikoen beregnes ut fra konsekvens og sannsynlighet for konfidensialitet, integritet og tilgjengelighet, og hver vurdering kan begrunnes, slik at resonnementet er dokumentert overfor både revisor og ledelse.