Att införa ISO 27001 innebär att organisationen bygger upp ett strukturerat ledningssystem för informationssäkerhet. För företag som planerar att certifiera sig kan en tydlig checklista göra det enklare att förstå vad som behöver finnas på plats innan certifieringsrevisionen.
ISO/IEC 27001:2022 ställer krav på hur organisationen ska etablera, införa, underhålla och kontinuerligt förbättra sitt ledningssystem för informationssäkerhet (LIS/ISMS). Arbetet bygger framför allt på att förstå organisationens risker och införa relevanta åtgärder för att skydda informationens konfidentialitet, riktighet och tillgänglighet.
Den här checklistan ger en praktisk överblick över viktiga områden att kontrollera inför en ISO 27001-certifiering.
En ISO 27001-checklista är ett praktiskt stöd för att kontrollera om organisationens ledningssystem för informationssäkerhet täcker de viktigaste kraven i standarden.
Checklistan kan exempelvis användas:
Det är viktigt att komma ihåg att en checklista inte ersätter själva ISO/IEC 27001-standarden. Den fungerar istället som ett stöd för att strukturera arbetet.
Organisationen behöver först bestämma vad ISO 27001-systemet ska omfatta.
Kontrollera att ni har:
Omfattningen ska vara tydlig eftersom den påverkar resten av informationssäkerhetsarbetet.
Organisationen behöver förstå vilka parter som har krav eller förväntningar på informationssäkerheten.
Det kan exempelvis vara:
Kontrollera även vilka lagar, avtal, kundkrav och andra skyldigheter som behöver tas hänsyn till.
Ledningen behöver fastställa en informationssäkerhetspolicy som anger organisationens övergripande inriktning.
Kontrollera att policyn:
Informationssäkerheten ska vara en del av verksamhetens styrning och inte enbart en IT-fråga.
Riskbedömningen är en central del av ISO 27001.
Organisationen behöver identifiera risker som kan påverka informationens konfidentialitet, riktighet och tillgänglighet.
Exempel på risker kan vara:
Kontrollera att organisationen har en tydlig metod för att identifiera, analysera, bedöma och prioritera risker.
När riskerna har bedömts behöver organisationen bestämma hur de ska hanteras.
Det kan innebära att organisationen:
För de risker som ska behandlas behöver relevanta säkerhetsåtgärder väljas och ansvariga utses.
Riskbehandlingsplanen bör tydligt visa vad som ska göras, av vem och hur arbetet ska följas upp.
En viktig del av ISO 27001 är Statement of Applicability (SoA), ofta kallad tillämplighetsförklaring.
Organisationen ska avgöra vilka säkerhetskontroller som behövs utifrån riskbehandlingen och jämföra dessa med kontrollerna i Annex A så att nödvändiga kontroller inte har missats. ISO/IEC 27001:2022 har 93 referenskontroller i Annex A, fördelade på organisatoriska, personrelaterade, fysiska och tekniska områden.
Kontrollera att er SoA tydligt redovisar vilka kontroller som är relevanta och hur de hanteras.
Nästa steg är att säkerställa att de säkerhetsåtgärder organisationen har beslutat om faktiskt fungerar i verksamheten.
Det kan exempelvis handla om:
Alla organisationer behöver inte använda exakt samma åtgärder. ISO 27001 bygger på ett riskbaserat arbetssätt, där organisationen väljer åtgärder utifrån sina egna behov och risker.
Organisationen behöver fastställa mätbara eller uppföljningsbara mål för informationssäkerheten.
Exempel kan vara att:
För varje mål bör det vara tydligt vem som ansvarar och hur resultatet ska följas upp.
Tekniska säkerhetslösningar räcker inte om medarbetarna inte vet hur de ska användas.
Kontrollera därför att relevanta personer:
ISO 27001 bygger på ett helhetsperspektiv där människor, processer och teknik behöver fungera tillsammans.
Inför en certifieringsrevision behöver organisationen kunna visa att systemet inte bara finns på papper utan faktiskt används.
Det kan därför vara bra att kontrollera att ni har relevant dokumentation och bevis från exempelvis:
Vilken dokumentation som behövs beror på organisationens ledningssystem och risker.
Innan certifieringsrevisionen ska organisationen genomföra intern revision av ledningssystemet.
Den interna revisionen hjälper organisationen att upptäcka brister innan den externa revisorn kommer.
Kontrollera bland annat:
Intern revision är en del av standardens krav på uppföljning och utvärdering av ledningssystemet.
Ledningen behöver regelbundet utvärdera om informationssäkerhetsledningssystemet fungerar.
Vid ledningens genomgång bör organisationen bland annat följa upp:
Ledningen ska kunna visa att informationssäkerheten är en aktiv del av organisationens styrning.
Om brister identifieras ska organisationen arbeta med korrigerande åtgärder.
Det innebär inte bara att rätta till det enskilda problemet. Organisationen bör även identifiera orsaken och bedöma om åtgärder behövs för att förhindra att samma problem återkommer.
När viktiga avvikelser är hanterade är organisationen bättre förberedd inför certifieringsrevisionen.
Ett IT-företag hanterar kunddata i en molnbaserad tjänst och vill bli ISO 27001-certifierat.
Företaget börjar med att definiera omfattningen och kartlägga sina informationstillgångar. Därefter identifieras risker kopplade till exempelvis obehörig åtkomst, leverantörer, säkerhetskopiering och driftavbrott.
Organisationen inför relevanta säkerhetsåtgärder, upprättar sin Statement of Applicability och börjar följa upp informationssäkerhetsmål.
När systemet har varit i drift genomför företaget en intern revision och ledningens genomgång. Identifierade avvikelser åtgärdas innan certifieringsrevisionen bokas.
Organisationen behöver bland annat ha ett fungerande ledningssystem, definierad omfattning, riskbedömning, riskbehandling, Statement of Applicability, relevanta säkerhetsåtgärder, informationssäkerhetsmål, intern revision och ledningens genomgång.
Nej. Organisationen ska bestämma vilka kontroller som behövs utifrån riskerna och jämföra dem med Annex A för att säkerställa att nödvändiga kontroller inte har missats.
Nej. Vid certifieringsrevisionen behöver organisationen kunna visa att ledningssystemet och säkerhetsåtgärderna fungerar i praktiken. Svensk Certifierings certifieringsprocess omfattar både dokumentgranskning och en revision av hur systemet är implementerat i verksamheten.
Ja. Intern revision är en del av ledningssystemets uppföljning och ska genomföras enligt standardens krav.
Det varierar beroende på organisationens storlek, komplexitet och hur mycket som redan finns på plats. Svensk Certifiering anger 6–12 månader som en vanlig tidsåtgång för ISO 27001-processen.
Checklistan hjälper er att bedöma hur långt organisationen har kommit, men inför certifiering behöver ledningssystemet granskas av ett oberoende certifieringsorgan.
Vill du veta mer om hur certifieringen fungerar, vad som granskas och hur processen går till?
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för att utföra revisioner och certifieringar av ledningssystem enligt ISO 9001, ISO 14001, ISO 45001, ISO 27001 och ISO 13485
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för personcertifiering med kravspecifikationen Behörig Ingenjör Brandlarm SBF 1007:5.