Kort svar
En del af ISO 27001 kan du selv etablere: beskrivelse af dine processer, vurdering af risici og implementering af foranstaltninger. Men certificatet selv må du ikke udstede selv. Det udstedes af en uafhængig, akkrediteret certificeringsorgan, som vurderer din organisation ud fra standarden. At gøre det selv og at outsource er derfor ikke to separate valg, men to trin i samme proces.
Hvorvidt du har brug for et rådgivningsfirma, afhænger mest af, hvor meget tid, viden og intern kapacitet du selv har. For en lille virksomhed med et overskueligt IT-miljø er det ofte helt til at etablere systemet selv. For en organisation med flere lokationer, leverandører og systemer kræver denne proces normalt så mange timer, at vejledning forkorter processen.
Hvad er ISO 27001 præcist
ISO 27001 er en international standard for informationssikkerhed. Standarden beskriver ikke tekniske produkter, men et system af aftaler: hvordan du vurderer risici, hvilke foranstaltninger du imod sætter derimod, og hvordan du vedligeholder dette system. Dette hele kaldes ISMS, informationssikkerhedsstyringsmanagementsystemet. Et certificat viser, at en uafhængig part har afprøvet dette system, ikke at der aldrig kan gå noget galt.
Hvad du selv kan gøre
Det at etablere ISMS selv er principielt ikke arbejde, der ved lov er forbeholdt en ekstern part. Du kan selv: oprette et overblik over, hvilken information og hvilke systemer du beskytter, foretage en risicoanalyse, opstille politik og procedurer, implementere foranstaltninger som adgangskontrol og sikkerhedskopier, og foretage en intern revision for at kontrollere, at alt faktisk sker, som det er skrevet. Mange virksomheder gør dette med en fast medarbejder, som påtager sig rollen som informationssikkerhedsmedarbejder, suppleret med en skabelon eller handlingsplan.
Udfordringen er mindre indholdet end fuldstændigheden. Standarden kræver et stort antal gensidigt forbundne komponenter, og en certificeringsorgan afprøver netop, om intet mangler. Den, som gør dette for første gang, undervurderer ofte, hvor meget dokumentation og bevis der er nødvendigt for at vise, at en foranstaltning ikke kun eksisterer, men også gennemføres.
Hvad du ikke selv kan gøre: certificeringsorganet
Certificatet selv kommer fra et certificeringsorgan, som er akkrediteret til at afprøve mod ISO 27001-standarden. Dette organ foretager en ekstern revision, normalt i to faser: først en vurdering af dokumentationen, derefter en vurdering i praksis. Dette trin kan du ikke gennemføre internt, heller ikke med en meget erfaren medarbejder: uafhængighed af revisoren er en del af, hvad certificatet er værd. Du vælger selv, hvilket akkrediteret organ du indsætter.
Hvad et rådgivningsfirma bidrager med
Et rådgivningsfirma erstatter certificeringsorganet ikke, men hjælper med trinnet før: etablering og ordning af ISMS, så den eksterne revision har større chance for at lykkes. Det kan dreje sig om strukturering af eksisterende dokumentation, træning af medarbejdere eller vejledning af den interne revision. For virksomheder uden deres egen IT- eller compliance-afdeling sparer dette især tid: nogen, som allerede kender standarden, behøver ikke at opslå hver komponent på ny.
Hvorvidt denne tidsbesparelse retfærdiggør omkostningerne ved et rådgivningsfirma, varierer fra organisation til organisation. En virksomhed med én lokation og et overskueligt applicationlandskab har en kortere vej end en virksomhed med flere lokationer og mange eksterne parter i kæden.
Er ISO 27001 altid nødvendig, eller er der et alternativ
Ikke hver køber, der spørger om påviselig informationssikkerhed, kræver bogstaveligt talt et ISO 27001-sertifikat. Nogle kunder accepterer en selvvurdering, et spørgeskema eller en erklæring om de vigtigste foranstaltninger, især hvis din virksomhed er lille, eller hvis du har begrænset adgang til kundens følsomme data. Det er derfor fornuftigt først at kontrollere, hvad din kunde præcist spørger efter, før du påbegynder en certificeringsproces. forklaringen pr. emne i vidensbasen viser, hvilke begreber der ofte ligger bag et sådant spørgsmål, og hvordan de forholder sig til hinanden.
Supplia.eu sertificerer eller bedømmer ikke noget og kan derfor ikke afgøre, om din organisation overholder normen. Hvad vi gør, er at genkende dit kundes spørgeskema og udfylde svarene fra ét kædearkiv, så du ikke hver gang skal forklare på ny, hvilke foranstaltninger du allerede har gennemført. Med nogle få spørgsmål ser du, hvor din situation cirka står, uden at det siger noget om selve certificeringsprocessen.
Hvad du kan gøre nu
Start med at finde ud af, om din kunde kræver et sertifikat, eller om et begrundet svar på spørgeskemaet er tilstrækkeligt. Derefter skal du vurdere, hvor meget af ISMS'en du allerede uformelt har på plads: risici, adgangskontrol, sikkerhedskopier og hændelseshåndtering er ofte allerede delvist indrettet, selv uden at det er blevet kaldt således. Først når du ved, hvad der mangler, er det fornuftigt at bestemme, om du selv skal håndtere det, eller om du skal have et rådgivningsbureau med for skridt mod certificeringsstellen.
På siden om, hvordan oplysninger på supplia.eu kommer til stand kan du læse, hvor vores forklaringer kommer fra, så du kan slå dem op sammen med normen selv. Hvis du stadig er usikker på, om din situation kræver et sertifikat, så udfør den gratis quick-scan, eller se de hyppigt stillede spørgsmål om spørgeskemaer og bevismateriale for en første vejledning.