Hva er ISO 27001?

ISO 27001 dukker opp i anskaffelser, tilbud fra leverandører og diskusjoner om sikkerhet, ofte som et krav eller et pluss. Men hva sertifiseringen faktisk bekrefter, er ikke alltid tydelig for den som bestiller tjenester. Her ser vi på hva ISO 27001 er, hva den beviser og ikke beviser, og hvorfor den etterspørres.

Definisjonen: en standard for systematikk

ISO 27001 er den internasjonale standarden for et styringssystem for informasjonssikkerhet. Formuleringen er litt stiv, men betydningen er enkel: Det er en beskrivelse av hvordan en organisasjon skal jobbe med informasjonssikkerhet på en systematisk og gjentakende måte.

Nøkkelordet er systematisk. Standarden handler ikke om én enkelt teknisk løsning eller en liste med sikkerhetsprodukter. Den handler om at organisasjonen har satt sikkerhetsarbeidet i system: identifiserer risikoene sine, bestemmer hvordan de skal håndteres, gjennomfører tiltakene og følger opp at de fungerer, om og om igjen.

En sertifisering innebærer at en uavhengig part har gått gjennom og bekreftet at organisasjonen faktisk jobber etter standarden. Det er altså en ekstern kvittering på arbeidsmåten, ikke noe man gir seg selv.

Hva sertifiseringen faktisk bekrefter

Her er den viktigste nyansen, og den som ofte misforstås. ISO 27001 bekrefter at sikkerhetsarbeidet er en prosess, ikke at ingenting kan gå galt.

Sertifiseringen sier at organisasjonen:

• Har kartlagt hvilke risikoer for informasjonssikkerheten den har.
• Har prosesser for å håndtere disse risikoene, ikke bare enkeltstående tiltak.
• Følger opp og forbedrer arbeidet fortløpende, ikke som en engangsinnsats.

Det den ikke sier, er at systemet er ugjennomtrengelig, eller at en sikkerhetshendelse aldri kan inntreffe. Ingen sertifisering kan love det. Det den lover, er at hvis noe skjer, møtes det av en organisasjon som jobber strukturert og har tenkt gjennom beskyttelsen sin på forhånd, ikke av improvisasjon. Det er forskjellen på disiplin og usårbarhet, og det er disiplinen ISO 27001 måler.

Derfor spør kunder etter den

Hvis sertifiseringen ikke er en garanti, hvorfor er den da så ofte et krav i anskaffelser? Fordi den løser et tillitsproblem.

Når du kjøper en tjeneste, kan du ikke selv kontrollere hver detalj i sikkerhetsarbeidet til leverandøren. Med ISO 27001 kan du i stedet lene deg på at en uavhengig tredjepart allerede har gjort den kontrollen og bekreftet at arbeidet holder mål. Det senker den opplevde risikoen og sparer deg for et omfattende eget kontrollarbeid.

Derfor blir sertifiseringen ofte et filter i anskaffelser, særlig når oppdraget gjelder sensitive opplysninger, eller når kunden selv har krav ovenfra som må oppfylles. En leverandør uten sertifisering kan godt ha et solid sikkerhetsarbeid, men da må du vurdere det på egen hånd.

Forskjellen på ISO 27001 og en penetrasjonstest

En vanlig sammenblanding er den mellom ISO 27001 og en penetrasjonstest, så det er verdt en setning å skille dem fra hverandre. En penetrasjonstest er en enkeltstående test der noen på et gitt tidspunkt aktivt leter etter sårbarheter i et system, et øyeblikksbilde av den tekniske sikkerheten. ISO 27001 handler i stedet om den løpende arbeidsmåten over tid. Det ene tester et produkt på et bestemt tidspunkt, det andre bekrefter en pågående prosess. De erstatter ikke hverandre, men svarer på ulike spørsmål, og en moden leverandør har ofte begge deler.

Slik bruker du dette

For deg som kunde betyr det at ISO 27001 er et nyttig, men ikke uttømmende signal. Se den som et bevis på at leverandøren jobber systematisk med sikkerhet, ikke som en garanti mot sikkerhetshendelser. Etterspør den når dere håndterer sensitive opplysninger, men spør også hvordan sikkerheten testes i praksis. Og husk at en leverandør uten sertifisering kan holde mål. Da havner kontrollarbeidet rett og slett hos dere.

Ønsker dere hjelp til å stille de riktige sikkerhetskravene til leverandører eller til å bygge sikkert fra start, tar vi i Weapp gjerne med dette i systemarbeidet. Ta kontakt, så drøfter vi hva som er fornuftig for prosjektet deres.