ISO/IEC 27001-sertifisering: Styringssystem for informasjonssikkerhet

• Skaff standarden:

Skaff en lisensiert kopi av den relevante standarden og gjør deg kjent med kravene for å avgjøre om sertifisering/registrering etter denne standarden er hensiktsmessig for din organisasjon. 

• Gjennomgå tilgjengelig litteratur og bruk digitale verktøy

Utforsk tilgjengelig litteratur, retningslinjer fra standardens eiere (f.eks. ISO/TS 9002 for ISO 9001, ISO 14004 for ISO 14001) og digitale kilder og verktøy som kan hjelpe deg med implementeringen. Merk at som DNV-kunde får du tilgang til skreddersydde verktøy som kan hjelpe deg.

• Sett sammen et team og definer strategi:

Å implementere et styringssystem bør være en strategisk beslutning for hele organisasjonen. Toppledelsen må være involvert i beslutningen og engasjert i utformingen av systemet. De bestemmer forretningsstrategien som styringssystemet skal støtte. I tillegg trenger du et dedikert team for å utvikle og implementere styringssystemet. 

• Bestem kompetansebehov:

Først og fremst trenger teamet som implementerer og vedlikeholder styringssystemet en grundig forståelse av de valgte standardene. Deretter følger kursing for resten av organisasjonen, med fokus på forståelse og bevissthet. DNV tilbyr en rekke åpne og bedriftsinterne kurs over hele verden som dekker kompetansebehovene på alle nivåer i organisasjonen.

• Gjennomgå konsulentalternativer:

Uavhengige konsulenter kan gi råd om en gjennomførbar, realistisk og kostnadseffektiv strategiplan for implementering hvis du ikke allerede har denne kompetansen eller kapasiteten. 

• Utvikle dokumentasjon for styringssystemet: 

Bestem deg for en passende plattform for den dokumenterte informasjonen (f.eks. programvare, prosesskart eller SharePoint-basert). Den riktige plattformen er viktig for å sikre effektiv styring, kommunikasjon og implementering.  

• Bestem, styr og dokumenter prosesser:

Identifiser først nøkkelprosesser – hva de er, hvordan de fungerer og hvordan de samhandler. Hver prosess bør ha et klart formål, definerte ansvarsområder og forventede resultater. Hvor mye dokumentasjon som kreves, avhenger av organisasjonens størrelse, kompleksitet og prosessenes betydning. Samtidig må dokumentasjonen være tilstrekkelig til å oppfylle kravene i standarden og støtte de tiltenkte resultatene. 

• Implementer styringssystemet: 

Tydelig kommunikasjon og nødvendig kompetanseheving er avgjørende elementer. I implementeringsfasen vil du arbeide for å sikre at organisasjonen din fungerer i henhold til definerte og dokumenterte prosesser. Når dette er oppnådd, kan du dokumentere systemets samsvar og effektivitet.

• Velg sertifiseringsorgan/registrator: 

Valg av riktig sertifiseringsorgan/registrator kan gjøre en forskjell gjennom hele sertifiseringsprosessen. DNV tilbyr et pålitelig partnerskap, en risikobasert tilnærming og en rekke gratis digitale verktøy som hjelper deg med å administrere sertifiseringsprosessen før, under og etter revisjonen.  

• Vurder en gap-analyse før revisjonen: 

Vurder å få gjennomført en foreløpig vurdering av sertifiseringsorganet/registratoren for å identifisere og rette opp avvik før den offisielle sertifiseringsprosessen starter. Formålet er å identifisere områder med avvik eller svakheter, slik at du kan rette opp disse før du starter den offisielle sertifiseringsprosessen.  

ISO/IEC 27001 er en internasjonalt anerkjent standard for styringssystemer innen informasjonssikkerhet (ISMS), som er relevant for alle organisasjoner med verdier som må beskyttes. Den gir et strukturert rammeverk for å etablere, implementere, drifte, overvåke, gjennomgå, vedlikeholde og forbedre en organisasjons styringssystem for informasjonssikkerhet. ISO/IEC 27001-standarden gir en helhetlig, risikobasert tilnærming til håndtering av trusler knyttet til mennesker, prosesser og teknologi. Den hjelper bedrifter med å forstå risikoene sine og sørge for at sikkerheten er konsistent, dokumentert og kan revideres. ISO/IEC 27001 gjelder for organisasjoner uansett størrelse, sektor og beliggenhet.

Kostnaden for ISO 27001-sertifisering avhenger av organisasjonens størrelse, kompleksitet og hvor mye ekstern støtte de trenger, spesielt for å utvikle og implementere styringssystemet.

Utviklings- og implementeringskostnader kan omfatte gap-vurderinger, kurs og eventuelt konsulentarbeid, hvis dette ansettes. Bedrifter bør også ta med kostnadene for interne ressurser brukt på å utvikle prosesser og systemer og implementere styringssystemet.

Deretter kommer kostnadene for akkreditert tredjepartssertifisering av en aktør som DNV, som starter med den innledende sertifiseringsrevisjonen og fortsetter med de obligatoriske årlige revisjonene. Den totale kostnaden vil avhenge av sertifiseringens omfang, antall lokasjoner, antall ansatte osv.

For å oppnå ISO/IEC 27001-sertifisering må en organisasjon først utvikle og implementere et informasjonssikkerhetsstyringssystem (ISMS) som oppfyller kravene i standarden, og deretter gjennomgå en uavhengig tredjepartsrevisjon for verifisering av samsvar.

Hvor lang tid det tar å oppnå sertifisering første gang, avhenger av organisasjonens størrelse, kompleksitet, hvor modne deres informasjonssikkerhetspraksis er og hvor mye ekstern støtte som trengs. For små organisasjoner med ett sted og små systemer kan det ta så lite som 3 måneder å oppnå sertifisering. For store eller komplekse organisasjoner, for eksempel med flere lokasjoner, komplekse IT-miljøer, regulerte bransjer eller omfattende bevisinnsamling og tilpasningsarbeid, kan det for eksempel ta opptil 18 måneder.

For å oppnå ISO/IEC 27001-sertifisering må en organisasjon implementere et styringssystem for informasjonssikkerhet (ISMS) som oppfyller kravene. Før sertifiseringsrevisjonen av en uavhengig tredjepart som DNV, anbefales det at organisasjonen har gjennomført interne revisjoner og ledelsesgjennomganger i henhold til standarden for å bekrefte at ISMS fungerer effektivt og at identifiserte gjenværende mangler er utbedret.