ISO 27001 är den internationella standarden för ledningssystem för informationssäkerhet. För organisationer som vill bli certifierade är det viktigt att förstå vilka krav ISO 27001 ställer, hur de är uppbyggda och hur de ska tillämpas i praktiken.
Kraven handlar inte enbart om teknisk IT-säkerhet. ISO 27001 omfattar hela organisationens informationssäkerhetsarbete – från riskbedömningar och ansvarsfördelning till behörigheter, leverantörer, incidenthantering och kontinuerlig uppföljning.
Den aktuella publicerade utgåvan är ISO/IEC 27001:2022, kompletterad med ett tillägg från 2024. Standarden anger krav på hur ett ledningssystem för informationssäkerhet ska etableras, införas, underhållas och kontinuerligt förbättras.
ISO 27001-krav är de krav som en organisation behöver uppfylla för att etablera och driva ett ledningssystem för informationssäkerhet, ofta förkortat LIS eller ISMS.
Kraven fokuserar bland annat på hur organisationen ska:
ISO 27001 kan användas av organisationer i alla storlekar och branscher.
De centrala kraven i ISO 27001 finns i standardens kapitel 4–10. Dessa krav gäller för organisationer som vill uppfylla standarden och kan inte väljas bort på samma sätt som enskilda säkerhetsåtgärder i Annex A.
Nedan går vi igenom de viktigaste kravområdena.
Organisationen behöver först förstå sin verksamhet och vilka förutsättningar som påverkar informationssäkerheten.
Det innebär bland annat att:
Intressenter kan exempelvis vara kunder, myndigheter, medarbetare, leverantörer och samarbetspartners.
Detta skapar grunden för resten av informationssäkerhetsarbetet.
Ledningen har en central roll i ISO 27001 och behöver visa att informationssäkerhet är en del av organisationens styrning.
Ledningen ska bland annat:
Informationssäkerhet ska alltså inte enbart vara en fråga för IT-avdelningen.
Riskhantering är en av de viktigaste delarna av ISO 27001.
Organisationen behöver ha en strukturerad metod för att identifiera, analysera och bedöma informationssäkerhetsrisker.
Riskerna kan exempelvis vara:
Organisationen behöver bedöma vilka risker som är acceptabla och vilka som behöver behandlas.
När riskerna har identifierats behöver organisationen bestämma hur de ska hanteras.
Det kan innebära säkerhetsåtgärder som:
ISO 27001 kräver att organisationen bestämmer vilka kontroller som behövs utifrån riskerna och jämför dessa med referenskontrollerna i Annex A.
En särskilt viktig del av ISO 27001 är Statement of Applicability (SoA), på svenska ofta kallad tillämplighetsförklaring.
I detta dokument redovisar organisationen bland annat vilka säkerhetskontroller som är relevanta och motiverar hur kontrollerna har valts.
Det är viktigt att förstå att organisationen inte automatiskt måste implementera samtliga kontroller i Annex A. Vilka åtgärder som behövs ska baseras på organisationens riskbedömning och relevanta krav.
Organisationen ska sätta upp relevanta informationssäkerhetsmål och planera hur dessa ska uppnås.
Det kan exempelvis vara att:
Organisationen behöver också säkerställa att det finns rätt kompetens, resurser, kommunikation och dokumenterad information för att ledningssystemet ska fungera.
ISO 27001 kräver att organisationen styr och genomför de processer som behövs för informationssäkerheten.
Det innebär bland annat att riskbedömningar och riskbehandling inte bara ska genomföras en gång inför certifieringen.
De behöver användas och uppdateras när exempelvis:
Informationssäkerhetsarbetet ska alltså vara en löpande del av verksamheten.
ISO/IEC 27001:2022 innehåller 93 referenskontroller i Annex A. De är indelade i fyra områden:
Kontrollerna omfattar exempelvis policyer, personal, åtkomst, fysisk säkerhet, leverantörer, molntjänster, säkerhetskopiering, loggning och säker utveckling. Annex A fungerar som ett referensverk för att kontrollera att organisationen inte har missat relevanta säkerhetsåtgärder i sin riskbehandling.
Organisationen behöver regelbundet kontrollera om ledningssystemet fungerar som avsett.
Det innebär bland annat att:
Syftet är att identifiera brister och säkerställa att informationssäkerhetsarbetet fortsätter vara relevant när organisationen förändras.
Den sista delen handlar om förbättring.
Om organisationen upptäcker en avvikelse eller säkerhetsbrist behöver den hantera problemet, undersöka orsaken när det är relevant och genomföra korrigerande åtgärder.
ISO 27001 bygger på att ledningssystemet ska utvecklas och förbättras över tid, inte enbart byggas upp inför den första certifieringsrevisionen.
Ett IT-företag hanterar stora mängder kundinformation och identifierar obehörig åtkomst som en betydande risk.
Företaget inför därför:
Åtgärderna dokumenteras och följs upp inom företagets ledningssystem.
Ett konsultföretag hanterar konfidentiell information från kunder.
Riskbedömningen visar att felaktig delning av dokument och förlorade datorer är viktiga risker.
Företaget inför därför tydligare rutiner för dokumentdelning, kryptering och hantering av bärbara datorer.
Ett industriföretag är beroende av sina IT- och produktionssystem.
Organisationen identifierar driftavbrott och cyberattacker som risker och inför bland annat:
ISO 27001 blir därmed relevant även för företag som inte primärt arbetar med IT.
Det är de krav en organisation behöver uppfylla för att etablera, använda, följa upp och kontinuerligt förbättra ett ledningssystem för informationssäkerhet.
Nej. Kontrollerna i Annex A är ett referensset. Organisationen ska utifrån sin riskbehandling avgöra vilka kontroller som är nödvändiga och dokumentera detta i sin Statement of Applicability.
Ja. Kraven i kapitel 4–10 är tillämpliga för ett ledningssystem som ska uppfylla ISO/IEC 27001 och kan inte exkluderas på samma sätt som Annex A-kontroller.
Nej. Standarden omfattar människor, processer, fysisk säkerhet och teknik. Informationssäkerhet är därför ett ansvar för hela organisationen.
Ja. Riskbedömning och riskbehandling är centrala krav i ISO 27001 och ligger till grund för vilka säkerhetsåtgärder organisationen behöver.
Organisationen genomför bland annat interna revisioner och ledningens genomgång. Vid certifiering granskar ett oberoende certifieringsorgan ledningssystemet och hur det fungerar i praktiken.
Vill du veta mer om hur ISO 27001-certifiering fungerar och hur er organisation kan bli certifierad?
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för att utföra revisioner och certifieringar av ledningssystem enligt ISO 9001, ISO 14001, ISO 45001, ISO 27001 och ISO 13485
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för personcertifiering med kravspecifikationen Behörig Ingenjör Brandlarm SBF 1007:5.