ISO 27005 är standarden för riskhantering inom informationssäkerhet och en central del av ISO 27001 och ISMS. Den här guiden ger dig ett konkret och praktiskt arbetssätt för att identifiera, analysera och hantera risker. Guiden finns på engelska.
Det här får du i guiden
- En steg-för-steg-metod från ramar och riskbedömning till riskhantering och uppföljning
- Femgradiga skalor för bedömning av konsekvens och sannolikhet
- En hotkatalog och skalor för att bedöma mognaden i era åtgärder
- En metod för att beräkna en riskfaktor och sammanställa en riskbild
- Ett begreppsschema för bedömning av affärskonsekvenser
Vem passar guiden för
Guiden passar dig som arbetar med ISO 27001, ISMS eller compliance och behöver ett strukturerat arbetssätt för riskhantering, till exempel i samband med NIS2 eller GDPR.
Vad är ISO 27005?
ISO 27005 är en internationell standard med vägledning för riskhantering inom informationssäkerhet. ISO 27001 kräver att informationssäkerheten bygger på en bedömning av organisationens verkliga risker, men beskriver inte i detalj hur bedömningen ska göras. Den vägledningen finns i ISO 27005.
Standarden innehåller inga krav, så man kan inte certifieras mot den. Den gällande versionen är från 2022.
Riskhanteringsprocessen i ISO 27005
Processen består av ett antal steg som upprepas löpande:
- Fastställ ramarna. Avgränsa omfattningen, placera ansvaret, välj metod för riskbedömning och fastställ de kriterier som avgör om en risk är acceptabel.
- Bedöm riskerna. Identifiera tillgångar, sårbarheter, hot och befintliga kontroller. Analysera sannolikhet och konsekvens, och utvärdera risknivån mot era kriterier så att ni kan prioritera.
- Hantera riskerna. Bestäm för varje risk hur den ska hanteras (se tabellen nedan).
- Acceptera kvarvarande risk. Ledningen godkänner planen för riskhantering och accepterar medvetet den risk som finns kvar.
- Kommunicera och följ upp. Involvera rätt personer under arbetet, följ upp att åtgärderna fungerar och upprepa bedömningen regelbundet.
Fyra sätt att hantera en risk
|
Strategi |
Vad det innebär |
|
Reducera |
Inför förebyggande åtgärder som minskar sannolikheten, eller avhjälpande åtgärder som minskar konsekvensen |
|
Acceptera |
Lev med risken, eftersom åtgärder inte lönar sig och risken ligger inom er riskaptit |
|
Undvika |
Avsluta den aktivitet som skapar risken, till exempel användningen av ett osäkert system |
|
Dela |
Dela risken med andra genom försäkring eller leverantörsavtal. Det övergripande ansvaret ligger fortfarande hos er |
Så hänger ISO 27005 ihop med ISO 27001
ISO 27005 stödjer kraven i ISO 27001 med vägledning för riskbedömning, metoder för att välja riskhantering, arbetssätt för löpande uppföljning och en ram för riskkommunikation. Resultatet av er riskhantering förs direkt in i er Statement of Applicability, där ni motiverar vilka kontroller ni har valt.
I NorthGRC utgår riskbedömningen från era registrerade tillgångar och en hotkatalog. Risken beräknas utifrån konsekvens och sannolikhet för konfidentialitet, integritet och tillgänglighet, och varje bedömning kan motiveras, så att resonemanget är dokumenterat för både revisor och ledning.