Att påbörja en ISO 27001-certifieringsresa kan kännas överväldigande. Standard, krav, kontroller, revisorer, certifiering... Låt inte dessa fina ord göra dig nedstämd!

Att bli ISO 27001-certifierad är i slutändan ett ganska tydligt projekt. Det finns till och med ett färdigt dokument som beskriver alla krav! När det lyckas skapar du ett ISMS-system och att driva det blir en naturlig del av din organisation.

På Cyberday har vi varit ISO 27001-certifierade sedan 2021 och vi har hjälpt hundratals kunder (från alla storlekar och branscher) att nå samma mål.

Detta har hjälpt oss att samla många lärdomar som kan vara till hjälp - särskilt för alla ISMS-administratörer. Här är de tio viktigaste sakerna som jag önskar att jag hade vetat innan vi började.

Lite bakgrund från Cyberday Inc.

För mig började resan in i den fascinerande världen av ramverk för informationssäkerhet redan 2017. Då var GDPR en grej, ISO 27001 var en grej ... och fler nya ramverk skapades kontinuerligt.

Vi började med att gräva djupt i ISO 27001-standarden och försökte framför allt förstå de olika möjliga sakerna att göra för att uppfylla kraven och implementera kontroller.

Vi har sedan dess utökat ramverkstäckningen i Cyberday till 35+ säkerhetsramverk. Det vi ständigt ser är att alla de olika säkerhetsramverken har samma kärna. De talar alla om säkerhetskopiering, personalmedvetenhet, riskhantering, tillgångshantering och så vidare - med lite olika prioriteringar. Du bör inte se efterlevnad av olika ramverk som separata saker - utan som prioriteringar för att bygga upp din organisations egen informationssäkerhetshantering.

Detta är vad vi nuförtiden strävar efter att göra genom Cyberday - hjälpa dig att förenkla god hantering och efterlevnad av informationssäkerhet och samtidigt rädda ditt förstånd.

1. ISO 27001 är ett projekt - precis som alla andra

Informationssäkerhetsstandarder kan låta lite skrämmande. Särskilt för andra personer i din organisation, som du någon gång bör få med dig i processen.

Du bör dock närma dig ISO 27001 som vilket annat affärsprojekt som helst:

• Förstå vad som krävs.
• Implementera det som behövs.
• Lägg inte ut förståelsen av standarden på entreprenad - det är där mycket av det verkliga värdet ligger.

ISO 27001 har 22 krav och 93 kontroller, och det lönar sig att förstå dessa i ditt sammanhang. Köp standarden och förstå dess innehåll.

Du bör sikta högt, men också alltid hålla saker och ting praktiska. Och genom att förstå standarden kan du undvika överdrifter och se till att du skapar ett ISMS som är relevant och som du vill fortsätta att driva och förbättra efter den första certifieringen.

2. Tidslinjen är ett mysterium till en början

Hur lång tid tar certifieringen? Det beror på hur lång tid det tar. För vissa är det två veckor. Andra behöver två år - eller kommer aldrig dit. De flesta kan göra det på några månader.

Tidslinjen beror på:

• Organisationens omfattning: Hur breda aktiviteter har ni?
• Starta informationssäkerhetsmognad: Har saker tidigare skrivits ner? Har du använt några bästa metoder för att jämföra dina åtgärder med?
• Resurser: Hur tydligt kan du definiera det team som behövs för projektet?
• Verktyg: Använder ni smarta ISMS-system eller gör ni det på ett mer manuellt sätt?

Om du börjar smart genom att först förstå standarden och sedan jämför ISO 27001 med dina nuvarande åtgärder, får du en bra känsla för vägen framåt.

På så sätt kan du skapa förståelse för det arbete och den tidslinje som behövs i din organisation.

3. Hoppa inte över att definiera dina mål

Se till att framför allt du och din högsta ledning har en gemensam förståelse för varför ni arbetar med ISO 27001. Är det...

• för att förbättra informationssäkerheten?
• för att uppfylla kundernas krav?
• för att sticka ut från konkurrenterna?
• eller allt det ovanstående?

Det är inga små mål, men det är oftast dessa som eftersträvas med ISO 27001-certifiering.

När målen är stora måste ansträngningen vara matchande. ISO 27001 kan bli svårt om man förväntar sig att det ska vara lätt.

Se till att den högsta ledningen och det ISMS-team som behövs är överens om målen, så att du också kan skapa en realistisk förståelse för den insats som krävs.

Din högsta ledning är en nyckelspelare när det gäller att säkerställa resurser för att nå dessa mål. Utan detta kan projektet tappa fart när saker och ting inte är helt enkla.

Och kom ihåg - oavsett hur många timmar du lägger på ditt ISMS kommer inte andra personer i din organisation att plötsligt börja bry sig om ISO 27001. De måste förstå målen och se relevansen för att engagera sig.

4. Du kan ha 3 eller 30 försäkringar - det är ditt beslut.

Dokumentation är viktigt inom informationssäkerhet, men det finns ingen anledning att göra den överväldigande.

Oftast blir saker och ting bara bättre om man tydligt definierar dem och skriver ner dem. Detta säkerställer också att du kan revidera, granska och förbättra saker och ting. Vissa nyckeldokument (t.ex. SoA, riskhanteringsprocedur, ISMS-beskrivning) är obligatoriska krav i ISO 27001, men det finns inte många av dessa.

Du bör alltid fokusera på tydlighet och ändamålsenlighet framför längd när du dokumenterar informationssäkerhet.

• Se till att dokumentationen är praktisk och lätt att underhålla.
• Använd smarta format (t.ex. uppgifter) - allt behöver inte vara en 10-sidig ordpolicy.
• Undvik alltför komplexa eller kopierade säkerhetspolicyer - de skrämmer bort människor och gör ISMS irrelevant för din organisation.

ISMS-administratören bör alltid fungera som ett filter för att hålla saker och ting enkla och relevanta.

5. Ingen får en medalj för perfekt kontrollimplementering

Ja, de flesta av kontrollerna i ISO 27001 är relevanta. Standarden är skapad av mycket smarta människor och har testats under årens lopp av hundratusentals organisationer. Så ta kontrollerna på allvar.

Men det finns olika nivåer för att implementera kontrollerna. ISO 27001-standarderna ger en hel del vägledning för implementering, och dessa ska ses som exempel på bästa praxis. Allt behöver inte vara en lärobok från dag ett, och du bör använda riskdrivet tänkande för att hitta den nivå som passar dig bäst.

• En riskbaserad lättviktsimplementering kan vara mer försvarbar än att helt utesluta grundläggande kontroller.
• Undvik att överanvända "Ej tillämpligt" - det kräver alltid en gedigen motivering.
• Du kommer att upptäcka förbättringar naturligt över tid i din kontrollimplementering.

6. Rollen som ISMS-administratör kan kännas ensam

Eftersom ISO 27001 kan vara lite skrämmande kan ISMS-administratören känna att de är ensamma om detta. Andra människor kanske inte är så intresserade av att dyka så djupt in i idén med säkerhetsstandarder - särskilt om de inte ser relevansen ur din organisations synvinkel.

Det finns dock ett par viktiga saker som kommer att hjälpa dig mycket. Fokusera på bra rolldefinitioner i början - detta är en kritisk del av uppbyggnaden av ett ISMS.

Fastställ tydliga roller, relaterade myndigheter och kompetenser åtminstone för:

• ISMS-administratör (förmodligen du)
• CISO (kan också vara du, eller i större organisationer en separat roll)
• Ansvarig för HR/personalmedvetenhet
• Riskhanterare
• Ansvarig för teknisk säkerhet
• Ansvarig för fysisk säkerhet

Dessa personer kommer att stödja dig och arbeta tillsammans med dig. Och om du bara hittar ditt eget namn för alla dessa roller är detta ett meddelande till din organisation att förmodligen engagera fler personer i vissa aspekter - åtminstone inom en snar framtid.

Och glöm inte den högsta ledningens aktiva roll (ISO 27001 klausul 5). De behövs för att stödja framstegen, granska saker ur deras perspektiv, definiera mål och relaterade resurser, och så vidare.

ISO 27001 handlar om att bygga en kultur, det är inte "bara en IT-grej". Och kultur byggs genom människor. Du behöver ha med dig människorna, och ett relevant ISMS hjälper dig att få med dem.

7. Revisorer är också (upptagna) människor

Om du vill bli certifierad ska du boka din revisor i god tid. Deras kalendrar kan fyllas upp månader i förväg.

När du genomför revisionen:

• Sträva inte efter perfektion. Perfektion är inget som förväntas.
• Var transparent, tydlig och ärlig för att få ut mesta möjliga av revisionerna.
• Fokusera på lärande och förbättring - revisioner är mest värdefulla när de används som verktyg för att göra framsteg.

Ett bra samarbete mellan revisorerna (med interna och externa revisioner) kan vara mycket värdefullt för att hitta de viktigaste områdena i ISMS som behöver förbättras.

8. Det värsta är att göra onödigt arbete

För att undvika detta bör din riskhanteringsprocess styra skeppet på ett korrekt sätt.

Riskhantering för informationssäkerhet är en viktig process i ISO 27001. Men du bör närma dig den på ett korrekt sätt:

• Överkomplicera det inte, men undvik generiska risklistor.
• Använd riskhantering för att ställa frågan till din organisation - är vi nöjda med den nuvarande säkerhetsnivån och var ser vi de största hoten?
• Prioritera tydlighet tidigt och fördjupa sedan din strategi över tid.

Riskhanteringen utvecklas med ditt ISMS och blir till och med viktigare när ditt ISMS mognar - det är definitivt inte en engångsövning i Excel.

9. Certifiering är bara början

Det verkliga arbetet börjar när du har blivit certifierad.

• Hålla ISMS uppdaterat
• Genomföra ledningens genomgång och interna revisioner
• Utbildning av dina medarbetare
• Kontinuerlig förbättring av din informationssäkerhet

Rätt utförd blir ISO 27001 en viktig del av organisationens DNA - en garanti för mogna säkerhetsrutiner, inte bara för att kryssa i rutor.

Ett viktigt tips: Kom ihåg att fokusera på kärnklausulerna i ISO 27001 (4-10) även efter den första certifieringen. Oavsett hur snygga anomalidetekteringar eller andra tekniska saker du har byggt, kommer din ISO 27001-revisor alltid att ägna mest uppmärksamhet åt dessa obligatoriska krav i standarden.

10. Ett bra verktyg kan rädda ditt förstånd

Att göra allt manuellt är lika med smärta i det långa loppet. Det blir väldigt svårt att övervaka eller förbättra ISMS utifrån statiska dokument.

Ett modernt ISMS-verktyg hjälper dig genom att:

• Förtydliga vad som krävs
• Stöd för teamsamarbete
• Automatisering av dokumentation och rapportering
• Hjälper dig att visa att ditt system underhålls och förbättras

Verktyget är dock bara ett hjälpmedel. Du måste fortfarande se till att du gör saker som är relevanta för din organisation och som passar för ändamålet.

Bonus: Vill du lära dig mer om ISO 27001?

Förhoppningsvis kan dessa lärdomar hjälpa dig att komma igång med ISO 27001 på rätt sätt.

Om du vill lära dig mer från olika perspektiv har vi sammanställt ett stort antal användbara resurser åt dig:

📚 ISO 27001 resursinsamling

🔗 Checklista för efterlevnad och certifiering av ISO 27001

Eller kontakta oss direkt - vi vill gärna dela med oss av våra erfarenheter och hjälpa dig på din resa.

‍