I denne artikel ser vi på, hvad afvigelse betyder, forskellen mellem en større og en mindre afvigelse, hvordan man undgår og korrigerer afvigelser, og vi undersøger ti eksempler på ISO 27001-afvigelser.
Hvad er egentlig en ISO 27001-afvigelse?
Du spørger måske dig selv, hvad en afvigelse helt præcist er. Svaret er ret ligetil. Hvis dit ISMS (Information Security Management System) ikke opfylder et af ISO 27001-kravene, har du en afvigelse.
Ifølge Wikipedia opstår en afvigelse generelt som følge af:
- Dårlig kommunikation (eller fejlkommunikation)
- Dårlig dokumentation (eller mangel på dokumentation)
- Dårlig eller begrænset uddannelse af personale
- Dårlig motivation hos personalet
- Materialer af dårlig kvalitet (eller mangel på passende materialer)
- Værktøj og udstyr af dårlig kvalitet (eller mangel på passende værktøj og udstyr)
- Dårligt eller dysfunktionelt driftsmiljø
Det bliver lidt mere kompliceret, fordi ikke alle afvigelser er skabt lige: Der er større og mindre afvigelser. Begge dele vil blive noteret under audit, og en større afvigelse vil resultere i, at man ikke kan blive certificeret til ISO 27001.
Hvad er forskellen på en mindre og en større ISO 27001 -afvigelse?
En mindre afvigelse er:
- En delvis opfyldelse af et af ISO 27001-kravene…
- En manglende opfyldelse af et mindre krav, eller…
- En enkeltstående manglende opfyldelse af et af standardens krav.
En væsentlig afvigelse er:
- En gentagen eller ubehandlet manglende opfyldelse af et af kravene, eller…
- Et problem, der vil påvirke dine kunder, hvis det ikke rettes, og/eller…
- Hvis væsentlige dele af ISMS mangler eller ikke er implementeret
Krav til ISO 27001
Lad os se på en overordnet oversigt over, hvad ISO 27001-kravene er:
- 4.1 – Forståelse af organisationen og dens kontekst
- 4.2 – Forstå de interesserede parters behov og forventninger
- 4.3 – Bestemmelse af omfanget af ledelsessystemet for informationssikkerhed
- 4.4 – Ledelsessystem for informationssikkerhed
- 5.1 – Lederskab og engagement
- 5.2 – Politik for informationssikkerhed
- 5.3 – Organisatoriske roller, ansvarsområder og autoriteter
- 6.1 – Handlinger til at håndtere risici og muligheder
- 6.2 – Mål for informationssikkerhed og planlægning for at nå dem
- 7.1 – Ressourcer
- 7.2 – Kompetence
- 7.3 – Bevidsthed
- 7.4 – Kommunikation
- 7.5 – Dokumenteret information
- 8.1 – Operationel planlægning og kontrol
- 8.2 – Risikovurdering af informationssikkerhed
- 8.3 – Behandling af informationssikkerhedsrisici
- 9.1 – Overvågning, måling, analyse og evaluering
- 9.2 – Intern revision
- 9.3 – Ledelsens gennemgang
- 10.1 – Afvigelser og korrigerende handlinger
- 10.2 – Kontinuerlig forbedring
ISO 27001 paragraf 10.1 – afvigelser og korrigerende handlinger
Fejl sker. Det ved selv auditorer. Det er selvfølgelig vigtigt, at du forsøger at opfylde hvert eneste krav i den standard, du går efter, i dette tilfælde ISO 27001. Men endnu vigtigere er det, at du registrerer og løser eventuelle afvigelser, når de er identificeret. Det gør du ved at foretage korrigerende handlinger.
Klausul 10 (10.1 – 10.2) hjælper dig med at finde afvigelser og foretage de nævnte korrigerende handlinger. Du skal fremlægge dokumentation for, hvordan du sikrer, at den korrigerende handling, du foretager, vil bringe virksomheden tilbage til en tilstand af overensstemmelse. Mere om dette senere.
3 trin til overensstemmelse
Identificeret en afvigelse? Du bør følge disse tre trin:
- Det første skridt i håndteringen af afvigelser er at identificere, hvad der gik galt i første omgang. Det gør man ved at identificere årsagen til et problem ved at spørge sig selv: “Hvorfor?” Det kaldes en årsagsanalyse.
I praksis bør svaret på det første “Hvorfor?” føre til endnu et “Hvorfor?”, og svaret på det andet “Hvorfor?” vil føre til endnu et, osv. Denne metode kan hjælpe dig med at fastslå den grundlæggende årsag til en afvigelse.
- Næst skal du finde på en passende korrigerende handling for at stoppe og forebygge problemet. Forebyggende handlinger er foranstaltninger til at forhindre, at afvigelser gentager sig.
Mindre afvigelser
- Et par uovervågede bærbare computere fundet på medarbejdernes skriveborde, der ikke var sikret med kabellås
- Funktionsfejl i CCTV (Closed Circuit Television), når der udføres audit.
Større afvigelser
- Fravær af obligatorisk dokumentation.
- Intern revision udføres ikke i organisationen.
- Organisationens leder involverer ikke eller giver ikke opmærksomhed til ISMS (f.eks. deltager ikke i vigtige ISMS-møder, er ikke involveret i de vigtigste/generelle politikker); giver ikke ressourcer til implementering af ISMS.
- Ingen evaluering af ISMS-præstationer.
- Ingen dokumentation for, at forvaltningen af aktiver vedligeholdes korrekt.
- SOA-indhold ikke berettiget eller inkonsekvent.
