Under de senaste åren har kraven på systematiskt informationssäkerhetsarbete ökat markant. Med införandet av Cybersäkerhetslagen och den bredare utvecklingen inom regulatoriska krav kommer allt fler organisationer att behöva kunna påvisa att de arbetar strukturerat och långsiktigt med informationssäkerhet.
Många verksamheter har redan investerat betydande resurser i tekniska säkerhetsåtgärder. De har moderna säkerhetsplattformar, avancerad övervakning, stark identitets- och behörighetsstyrning samt välutvecklade processer för att hantera cyberhot. Trots detta saknas ofta en viktig pusselbit: ett etablerat ledningssystem för informationssäkerhet som knyter samman teknik, människor och organisation.
Det är här ISO 27001 kommer in i bilden.
Varför efterfrågas ISO 27001 allt oftare?
När kunder, partners och tillsynsmyndigheter vill bedöma en organisations säkerhetsförmåga uppstår ofta samma utmaning: Hur bevisar man på ett enkelt, trovärdigt och standardiserat sätt att säkerhetsarbetet bedrivs systematiskt?
Många organisationer försöker beskriva sitt arbete genom egna policydokument, frågeformulär eller kundanpassade säkerhetsredovisningar. Problemet är att bedömningen då blir subjektiv och att det alltid finns en risk att de åtgärder man själv anser vara tillräckliga inte motsvarar omvärldens förväntningar.
En ISO 27001-certifiering erbjuder istället ett internationellt erkänt ramverk som ger kunder och andra intressenter en oberoende bekräftelse på att organisationen arbetar strukturerat med informationssäkerhet.
För många verksamheter är certifieringen därför inte främst ett sätt att höja den tekniska säkerheten, utan ett sätt att skapa förtroende, möta regulatoriska krav och effektivisera dialogen med kunder och andra intressenter.
När den tekniska säkerheten redan är mogen
I organisationer med hög teknisk cyber- och informationssäkerhetsmognad ser förutsättningarna ofta annorlunda ut än i mer omogna verksamheter.
De tekniska kontroller som beskrivs i ISO 27001 är ofta redan implementerade utifrån den risk- och hotbild som finns. Säkerhetsövervakning, sårbarhetshantering, segmentering, multifaktorautentisering och säker utveckling är etablerade delar av verksamheten.
Den verkliga frågan blir därför inte:
”Vilka tekniska säkerhetsåtgärder behöver vi införa utifrån riskmiljön?”
Utan snarare:
”Hur kan vi ta tillvara på den förmåga vi redan byggt upp och komplettera den med de organisatoriska, personella och fysiska aspekter som krävs för ett komplett ledningssystem?”
En effektiv väg till certifiering
För organisationer med hög teknisk säkerhetsmognad handlar ett ISO 27001-projekt sällan om att implementera helt nya säkerhetsåtgärder.
Det handlar istället om att identifiera, strukturera och hantera det arbete som redan bedrivs samt komplettera där det finns luckor.
Genom att utgå från befintliga tekniska säkerhetsåtgärderna och fokusera på de personella, organisatoriska och fysiska dimensionerna går det att skapa ett komplett ledningssystem utan onödigt dubbelarbete.
Sammanfattning
Många organisationer som idag omfattas av ökade regulatoriska krav har redan kommit långt inom cyber- och informationssäkerhetsarbetet. Den största utmaningen är därför inte att bygga nya säkerhetsfunktioner, utan att omsätta den befintliga förmågan till ett strukturerat och certifierbart ledningssystem.
Genom att utgå från det som redan fungerar och fokusera på människorna, organisationen och de fysiska skyddsåtgärderna kan vägen till ISO
