En ISO 27001-revision är en systematisk granskning av organisationens ledningssystem för informationssäkerhet. Syftet är att bedöma om organisationen uppfyller kraven i ISO/IEC 27001 och om informationssäkerhetsarbetet fungerar i praktiken – inte bara finns dokumenterat.
Under en certifieringsrevision granskas bland annat hur organisationen arbetar med riskbedömning, informationssäkerhetsmål, ansvar, säkerhetsåtgärder, incidenter och kontinuerliga förbättringar.
För en första ISO 27001-certifiering genomförs revisionen normalt i två steg: steg 1 och steg 2. Steg 1 fokuserar på dokumentation och förberedelser, medan steg 2 granskar hur ledningssystemet faktiskt fungerar i verksamheten.
En ISO 27001-revision är en strukturerad granskning av ett ledningssystem för informationssäkerhet, ofta kallat LIS eller ISMS.
Vid en certifieringsrevision bedömer revisorn om organisationens ledningssystem uppfyller kraven i ISO 27001 och om de processer och säkerhetsåtgärder som organisationen har beslutat om används i praktiken.
Revisionen kan bland annat omfatta:
ISO 27001 omfattar inte bara teknik. Människor, processer och teknik är alla delar av informationssäkerheten.
Det finns flera typer av revisioner inom ISO 27001. Organisationen genomför själv interna revisioner, medan ett certifieringsorgan genomför externa revisioner för certifiering och fortsatt uppföljning.
När en organisation ska bli ISO 27001-certifierad för första gången sker certifieringsrevisionen normalt i två steg.
I steg 1 skapar revisorn sig en bild av organisationens ledningssystem och bedömer om verksamheten är tillräckligt förberedd för den huvudsakliga certifieringsrevisionen.
För ISO 27001 kan revisorn exempelvis granska:
En viktig del är organisationens Statement of Applicability (SoA), eller tillämplighetsförklaring.
Det dokumentet visar bland annat vilka säkerhetskontroller organisationen har bedömt som relevanta och hur de kopplas till verksamhetens risker.
Steg 1 handlar alltså inte enbart om att kontrollera om vissa dokument finns. Revisorn behöver också förstå hur organisationen har byggt upp sitt informationssäkerhetsarbete och om systemet är tillräckligt förberett för steg 2.
Steg 2 är den huvudsakliga revisionen.
Här granskar revisorn hur ledningssystemet fungerar i praktiken.
Revisionen kan genomföras genom:
Revisorn kan exempelvis följa hur organisationen hanterar en informationssäkerhetsrisk från identifiering till åtgärd och uppföljning.
Om organisationens rutin säger att behörigheter ska granskas regelbundet kan revisorn exempelvis vilja se att granskningarna faktiskt har genomförts.
Det är alltså inte tillräckligt att bara ha en dokumenterad rutin.
En viktig del av ISO 27001 är kopplingen mellan risker och säkerhetsåtgärder.
Organisationen ska kunna visa att den har identifierat informationssäkerhetsrisker och valt lämpliga sätt att hantera dem.
Det kan exempelvis handla om risker som:
Revisorn granskar inte bara om säkerhetslösningar finns, utan också varför de används och vilka risker de hanterar.
Riskhantering är en central del av ISO 27001.
Organisationen behöver ha en metod för att:
Vid revisionen kan revisorn därför välja en specifik risk och följa hela processen.
Exempelvis kan organisationen ha identifierat obehörig åtkomst som en risk.
Revisorn kan då granska:
På så sätt bedöms om riskhanteringen fungerar i praktiken.
Statement of Applicability är ett centralt dokument vid en ISO 27001-revision.
Dokumentet visar vilka säkerhetskontroller som organisationen bedömt som relevanta och hur dessa hanteras.
ISO/IEC 27001:2022 innehåller 93 referenskontroller i Annex A inom fyra områden:
Organisationen behöver inte använda samtliga kontroller på exakt samma sätt.
Vilka åtgärder som behövs ska utgå från organisationens riskbedömning, riskbehandling och andra relevanta krav.
Intervjuer är en vanlig del av ISO 27001-revisionen.
Revisorn kan prata med exempelvis:
Syftet är inte att testa medarbetarnas kunskap om ISO-standarden.
Istället vill revisorn förstå hur organisationens arbetssätt fungerar i verkligheten.
En medarbetare kan exempelvis få frågor om:
Revisionen kan också kontrollera om organisationens beslutade säkerhetsåtgärder faktiskt fungerar.
Det kan exempelvis handla om:
Vilka områden revisorn granskar beror på organisationens omfattning, risker och valda säkerhetsåtgärder.
Om ett krav i ISO 27001 inte uppfylls kan revisorn identifiera en avvikelse.
Det betyder inte automatiskt att certifieringen misslyckas.
Organisationen behöver normalt:
Syftet är inte bara att rätta till ett enskilt problem, utan även att minska risken för att samma problem uppstår igen.
När organisationen har blivit ISO 27001-certifierad fortsätter revisionsarbetet.
Certifieringen är inte en engångshändelse.
Organisationen genomgår regelbundna uppföljningsrevisioner där certifieringsorganet granskar att ledningssystemet fortsatt fungerar och utvecklas.
Det är särskilt viktigt inom informationssäkerhet eftersom:
Ledningssystemet behöver därför utvecklas tillsammans med organisationen.
Ett SaaS-företag lagrar kundinformation i molntjänster.
Under revisionen kan revisorn granska:
Revisorn kan exempelvis välja ett antal användarkonton och kontrollera om behörigheterna har godkänts och hanterats enligt företagets rutiner.
Ett konsultföretag hanterar konfidentiella kunddokument.
Vid revisionen kan revisorn kontrollera:
Revisorn kan jämföra organisationens dokumenterade processer med verkliga exempel.
Ett industriföretag är beroende av sina IT- och produktionssystem.
Revisionen kan därför omfatta:
Det visar att ISO 27001-revision är relevant även för företag som inte är renodlade IT-företag.
Den bästa förberedelsen är att säkerställa att ledningssystemet faktiskt används i verksamheten.
Inför revisionen bör organisationen bland annat kontrollera att:
Medarbetarna behöver inte kunna ISO 27001 utantill.
Däremot bör de förstå de informationssäkerhetsrutiner som är relevanta för deras eget arbete.
Syftet är att kontrollera om organisationens ledningssystem för informationssäkerhet uppfyller kraven i ISO 27001 och fungerar i praktiken.
Steg 1 fokuserar främst på ledningssystemet, dokumentationen och organisationens beredskap. Steg 2 granskar hur systemet är implementerat och fungerar i den dagliga verksamheten.
Inte nödvändigtvis på samma sätt för alla organisationer. Vilka kontroller som är relevanta beror på verksamhetens risker, omfattning och riskbehandling.
Ja, intervjuer är en vanlig del av revisionen och används för att kontrollera att processerna är implementerade och förstådda.
Organisationen behöver analysera och åtgärda avvikelsen. Korrigerande åtgärder behöver hanteras innan certifieringsprocessen kan slutföras.
Efter den första certifieringen genomförs regelbundna uppföljningsrevisioner för att säkerställa att organisationen fortsatt uppfyller kraven.
Vill du veta mer om ISO 27001-certifiering, vilka krav som gäller och hur processen fungerar?
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för att utföra revisioner och certifieringar av ledningssystem enligt ISO 9001, ISO 14001, ISO 45001, ISO 27001 och ISO 13485
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för personcertifiering med kravspecifikationen Behörig Ingenjör Brandlarm SBF 1007:5.