ISO 27001 är en internationell standard för ledningssystem för informationssäkerhet. Standarden hjälper organisationer att arbeta strukturerat med att skydda information och hantera risker kopplade till exempelvis dataintrång, informationsläckor, obehörig åtkomst och driftstörningar.
ISO 27001 används av företag och organisationer i många olika branscher, inte bara inom IT. Alla verksamheter som hanterar kunduppgifter, personuppgifter, affärskritisk information eller andra känsliga data kan ha nytta av ett systematiskt informationssäkerhetsarbete.
Genom att arbeta enligt ISO 27001 kan organisationen skapa tydliga processer för hur information ska skyddas, hur risker ska bedömas och hur säkerhetsincidenter ska hanteras. Organisationer kan också välja att bli certifierade för att visa kunder och andra intressenter att ledningssystemet har granskats av ett oberoende certifieringsorgan.
Den officiella benämningen är ISO/IEC 27001. Den aktuella publicerade utgåvan är ISO/IEC 27001:2022.
ISO 27001 är en internationell standard som beskriver kraven på ett ledningssystem för informationssäkerhet, ofta förkortat LIS. På engelska används begreppet Information Security Management System (ISMS).
Syftet med ledningssystemet är att hjälpa organisationen att identifiera vilka informationstillgångar som behöver skyddas, förstå vilka risker som finns och införa lämpliga åtgärder för att hantera dessa risker.
Informationssäkerheten brukar sammanfattas i tre grundläggande områden:
ISO beskriver dessa tre egenskaper som centrala för ett informationssäkerhetsledningssystem.
ISO 27001 handlar inte bara om IT-system, brandväggar eller lösenord. Informationssäkerhet omfattar människor, processer och teknik.
Ett företag kan exempelvis ha avancerade tekniska säkerhetssystem men fortfarande ha stora risker om medarbetare saknar kunskap, behörigheter inte hanteras korrekt eller känsliga dokument förvaras på ett osäkert sätt.
ISO 27001 hjälper därför organisationen att se informationssäkerheten ur ett helhetsperspektiv.
Kärnan i ISO 27001 är organisationens ledningssystem för informationssäkerhet.
Ledningssystemet skapar ett strukturerat arbetssätt för hur informationssäkerheten ska styras, följas upp och förbättras.
Det innebär bland annat att organisationen behöver arbeta med:
Exakt hur systemet utformas beror på organisationens verksamhet, storlek och riskbild.
En central del av ISO 27001 är riskhantering.
Organisationen behöver identifiera vilka risker som kan påverka informationens konfidentialitet, riktighet och tillgänglighet.
Det kan exempelvis handla om:
När riskerna har identifierats behöver organisationen bedöma dem och besluta hur de ska behandlas.
ISO 27001 bygger alltså inte på att alla organisationer ska använda exakt samma säkerhetslösningar. Säkerhetsarbetet ska anpassas efter verksamhetens faktiska risker och behov.
Utifrån riskbedömningen väljer organisationen lämpliga åtgärder för att minska informationssäkerhetsriskerna.
Det kan exempelvis handla om:
Det viktiga är att åtgärderna är relevanta för organisationens risker och att verksamheten kan följa upp om de fungerar.
Information är en viktig tillgång i nästan alla moderna verksamheter. Kundregister, avtal, ritningar, ekonomisk information, personuppgifter och affärshemligheter är exempel på information som kan behöva skyddas.
Ett strukturerat informationssäkerhetsarbete kan hjälpa organisationen att:
ISO 27001 kan exempelvis bidra med struktur i organisationens arbete med dataskydd och GDPR, men en ISO 27001-certifiering innebär inte automatiskt att alla krav i GDPR är uppfyllda.
Det är viktigt att skilja mellan att arbeta enligt ISO 27001 och att vara certifierad enligt ISO 27001.
En organisation kan använda standarden för att utveckla sitt informationssäkerhetsarbete utan att certifiera sig.
Vid en certifiering granskar ett oberoende certifieringsorgan organisationens ledningssystem för att bedöma om det uppfyller standardens krav. En certifiering kan ge ytterligare förtroende hos exempelvis kunder, partners och beställare.
Ett IT-företag hanterar kunddata och har tillgång till flera kunders IT-miljöer.
Företaget arbetar enligt ISO 27001 genom att bland annat:
Det minskar risken för att känslig information hamnar i fel händer.
Ett konsultföretag hanterar avtal, kundinformation och konfidentiellt projektmaterial.
Organisationen inför därför tydliga rutiner för:
På så sätt blir informationssäkerheten en del av företagets ordinarie arbetssätt.
ISO 27001 är även relevant för företag utanför IT-branschen.
Ett tillverkningsföretag kan exempelvis behöva skydda:
Genom ISO 27001 kan företaget arbeta systematiskt med riskerna kring dessa informationstillgångar.
ISO 27001 är en internationell standard som anger krav på ett ledningssystem för informationssäkerhet. Den hjälper organisationer att identifiera, hantera och följa upp informationssäkerhetsrisker.
Nej. ISO 27001 kan användas av organisationer i alla branscher. Standarden är relevant för verksamheter som behöver skydda information, oavsett om informationen är digital, fysisk eller muntlig.
Informationssäkerhet är själva arbetet med att skydda information. ISO 27001 ger ett strukturerat ledningssystem för hur organisationen kan bedriva och förbättra detta arbete.
Nej. Cybersäkerhet är en viktig del, men ISO 27001 är bredare. Standarden omfattar även exempelvis människor, rutiner, fysisk säkerhet och styrning av information.
Nej. En organisation kan arbeta enligt standarden utan certifiering. Certifiering innebär att ett oberoende certifieringsorgan granskar ledningssystemet mot standardens krav.
Det är samma standard. ISO/IEC 27001 är den officiella beteckningen, eftersom standarden ges ut gemensamt av ISO och IEC. I dagligt tal används ofta kortformen ISO 27001.
Vill du veta mer om hur certifiering enligt ISO 27001 fungerar och vad som krävs för att din organisation ska bli certifierad?
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för att utföra revisioner och certifieringar av ledningssystem enligt ISO 9001, ISO 14001, ISO 45001, ISO 27001 och ISO 13485
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för personcertifiering med kravspecifikationen Behörig Ingenjör Brandlarm SBF 1007:5.