Hvad er de obligatoriske dokumenter, der kræves til ISO 27001?

Listen over dokumenterede oplysninger til ISO 27001-certificering er lang. Det er dog ikke al dokumentation, der er obligatorisk, og din auditor vil ikke nødvendigvis have lyst til at gennemgå alt, hvad du har samlet. Men som vi altid siger, hellere være sikker og certificeret end ked af det.

Vi har samlet en liste over obligatoriske dokumenter for at hjælpe dig med at tage det første skridt på din certificeringsrejse.

Men lad os først besvare nogle spørgsmål om andre obligatoriske elementer i ISO 27001.

Hvor mange obligatoriske krav er der brug for til ISO 27001?

Ifølge Compleye’s at-a-glance list, er der 8 krav til ISO 27001-certificering:

1. Implementere et sikkerhedsledelsessystem (ISMS)
2. Udføre en risikovurdering
3. Udarbejd sikkerhedspolitikker og -procedurer
4. Implementer kontroller for at afbøde identificerede risici
5. Overvåge og gennemgå effektiviteten af ISMS
6. Opbevar registreringer af ISMS
7. Kommuniker ISMS til alle medarbejdere
8. Træn medarbejderne i ISMS

Hvor mange obligatoriske paragraffer er der i ISO 27001?

Når det gælder paragraffer, består ISO 27001 af to dele. Del 1 (som er det obligatoriske afsnit) består af 11 paragraffer, der spænder fra paragraf 0 til paragraf 10

Den næste del, del 2, også kaldet bilag A, har 114 (ja, du læste rigtigt, et hundrede og fjorten!) kontroller. Det er disse kontroller, du skal strukturere din Statement of Applicability (SoA) omkring;

Er en intern audit obligatorisk for ISO 27001?

Ja, det er det. Og hvis du tænker over det (eller selv hvis du ikke gør), giver det absolut mening, fordi en audit også hjælper dig med at verificere, at dit ISMS fungerer, som det skal. 

I vores artikel ‘Det er tid til intern audit‘ uddyber vi, hvad der er op og ned i den interne audit. 

Er ISMS-manualen et obligatorisk dokument?

Det er ikke obligatorisk at have en ISMS-manual, men det anbefales på det kraftigste. En ISMS-manual er en del af en omfattende risikostyringsstrategi. Det er en alt-i-en-løsning til at gemme alle dine dokumenter til hurtig og nem reference.

Og nu vi taler om dokumenter, så er her den liste, vi lovede dig:

Obligatorisk ISO 27001-dokumentation

Selvom der ikke findes en officiel liste over obligatoriske dokumenter til ISO 27001, vil vi gerne skitsere, hvilke dokumenter du helt sikkert bør overveje at indsamle. Den liste, vi fokuserer på, er følgende:

• Omfang af ISMS
• Informationssikkerhedspolitik og -mål
• Risikovurdering og risikohåndteringsmetode
• Erklæring om anvendelighed
• Risikohåndteringsplan
• Risikovurderingsrapport
• Definition af sikkerhedsroller og -ansvar
• Inventar over aktiver
• Akceptabel brug af aktiver
• Politik for adgangskontrol
• Operationelle procedurer for it-styring
• Sikre systemudviklingsprincipper
• Leverandørens sikkerhedspolitik
• Procedure for håndtering af hændelser
• Forretningskontinuitetsprocedurer 
• Statslige, lovgivningsmæssige og kontraktlige krav

Lad os se nærmere på disse dokumenter og give lidt kontekst til hvert enkelt. På den måde får du en bedre idé om, hvad du kan forvente.

Omfanget af ISMS’et (paragraf 4.3)

Dette fortæller dine interessenter præcis, hvilke områder af din virksomhed der er dækket af dit ISMS. For at skabe klarhed for dine interessenter kan det være en god idé at angive en vision og/eller strategi sammen med dit ISMS-omfang. Husk, at dit dokumenterede ISMS-scope er den vigtigste ingrediens i en vellykket certificering;

Informationssikkerhedspolitik og -mål

Topledelsen skal etablere en informationssikkerhedspolitik, der er relevant for formålet med din specifikke organisation (så ingen kopiering fra din kammerat her, folkens!). Politikken viser, at den øverste ledelse er engageret i ISMS-målene og den løbende forbedring af dem;

Metode til risikovurdering og risikohåndtering

Du skal vise, hvordan du identificerer, analyserer, evaluerer og prioriterer dine informationsrisici. Beslut, hvad der er passende for din organisation, og skriv det ind i en rapport, en liste, en matrix eller et andet overbevisende dokument, der viser, hvordan dine risici kontrolleres. 

Erklæring om anvendelighed

En SoA vil gøre din revisor lige så glad som en musling. I sin artikel“The Benefits of the Statement of Applicability in ISMS Projects”, forklarer Jayakumar Sundaram, at SoA’en er “hovedforbindelsen mellem risikovurdering og risikohåndtering”. SoA er et løbende opdateret og kontrolleret dokument, der giver et overblik over implementeringen af informationssikkerhed.” Vi kunne ikke have sagt det bedre selv;

Risikohåndteringsplan

Afsnit 6.1.3 forklarer, hvad du skal gøre for at oprette en risikohåndteringsplan. Kort sagt skal du opstille en proces/procedure for behandling af informationsrisici og vise, at processen fungerer effektivt. Så nemt er det!

Risikovurderingsrapport

Når risici er identificeret, skal du finde ud af, hvilke der skal vurderes yderligere, og også hvordan vurderingerne udløses. Ifølge Info-Savvy bør “en bred risikovurdering af informationssikkerheden udføres mindst en gang om året.”

Definition af sikkerhedsroller og -ansvar

Der er forskellige måder, hvorpå du tydeligt kan vise roller og ansvar. Det kan være en god idé at se på RASCI-diagrammet i ISO27001-værktøjssættet. 

Inventar over aktiver

Nej, du behøver ikke at angive din kaffemaskine og vandkøler; kun dine IT-systemaktiver samt deres ledere/ejere. 

Akceptabel brug af aktiver

Det er vigtigt, at du har retningslinjer (og uddannelse) for, hvordan du bruger din virksomheds it-aktiver, og hvem der må bruge dem. Alle, inklusive entreprenører og vikarer, bør have adgang til reglerne for brug af dine IT-aktiver. Det kan også være en god idé at sætte nogle retningslinjer op for, hvordan man bruger kaffemaskinen og vandkøleren;

Politik for adgangskontrol/Access Management Policy

Det er en god idé at kombinere en overordnet adgangskontrolpolitik med specifikke retningslinjer for kontrolleret adgang i forbindelse med adgangskoder, firewalls, VPN’er osv. Alle disse bør regelmæssigt gennemgås og revideres;

Driftsprocedurer for IT-ledelse

Der bør udarbejdes, udbredes og vedligeholdes driftsprocedurer af høj kvalitet, som er lette at læse og forstå.

Sikre principper for systemudvikling

Kontrol 8.27 er en forebyggende kontrol. Den sikrer, at du eliminerer trusler mod CIA. Nej, ikke den der! Fortroligheden, integriteten og tilgængeligheden af dine informationsaktiver;

Leverandørsikkerhedspolitik aka leverandørstyringspolitik 

Mens du kan kontrollere (næsten) alt, hvad der sker inden for din organisations grænser, er dine leverandørers sikkerhed noget, der ligger uden for din kontrol. Så sørg for at tjekke, at de har deres egne sikkerhedspolitikker;

Procedure for håndtering af hændelser

ISO 27001 definerer en sikkerhedshændelse som “en uønsket begivenhed, der kan bringe informationens fortrolighed, integritet eller tilgængelighed i fare” Uanset om det er en phishing-hændelse eller et brud på et computersystem, bør proceduren for håndtering af en hændelse omfatte hurtig indsamling af beviser, en retsmedicinsk analyse, kommunikation om hændelsen og, som med alle ISO-ting, journalføring;

Procedurer for forretningskontinuitet 

Uanset hvor alvorligt din virksomhed bliver ramt af en sikkerhedshændelse eller -begivenhed, skal du være i stand til at opretholde vigtige funktioner og fortsætte ned advejen til certificering. Business Continuity Management er en udløber af krisestyring og bør dokumenteres via strategier, politikker, planer, procedurer og rapporter;

Lovmæssige, regulatoriske og kontraktmæssige krav

Ah, Annex A.18.1, den vanskelige paragraf, der får så mange ISO-aspiranter til at snuble! Virksomhederne er ikke klar over, hvor meget lovgivning og regulering, der påvirker dem. Men din venlige auditor vil gerne vide, hvordan du har håndteret dine juridiske, lovgivningsmæssige og kontraktlige forpligtelser;

Obligatoriske ISO 27001-optegnelser

Registreringer af uddannelse, færdigheder, erfaring og kvalifikationer

At administrere et ISMS er ikke en leg. Du har brug for et team, der har færdighederne og uddannelsen, ikke kun fra et sikkerhedsmæssigt synspunkt, men også fra et HR-, juridisk, kommercielt, IT-synspunkt (listen fortsætter). For at demonstrere compliance her kan du (ret) nemt lave en tabel, der viser, hvem der er involveret, hvad de gør, og hvad deres erfaring er;

Overvågning og måleresultater  

Dette stykke fra ICT Institute forklarer bedst paragraf 9.1. “Overvågning er at observere data, der skabes under en proces eller af et system. Måling kræver på den anden side, at data indsamles gennem en handling. Du kan f.eks. overvåge tilgængeligheden af din hjemmeside ved at tjekke oppetidsprocenten for din webserver ved hjælp af et dashboard, eller måle tilgængeligheden ved at tælle, hvor mange rapporter om servernedbrud der er oprettet i dit billetsystem.” Det giver mening, ikke?

Internt revisionsprogram 

Som nævnt ovenfor har du brug for en intern revision, som ørkenen har brug for regn (der er en sang i det et eller andet sted). Og du har brug for det regelmæssigt for at sikre, at dit ISMS (Information Security Management System) fortsat opfylder ISO 27001-standarderne og for at lette løbende forbedringer.

Resultater af interne audits 

Der er ingen grund til at gennemføre en intern audit, hvis du ikke registrerer resultaterne. Rapporten bør indeholde:

• Gennemgang af dokumentation 
• Sampling af dokumentation
• Interviews med centrale ISMS-medarbejdere 
• Interviews med andre medarbejdere og endda eksterne entreprenører
• Vurderinger af resultater

Resultater af ledelsens gennemgang

Det siger sig selv (men vi siger det alligevel), at formålet med en ledelsesevaluering er at informere og bevise over for topledelsen, at det implementerede ISMS og dets mål fortsat viser tegn på effektivitet, gennemsigtighed og integritet;

Resultater af de korrigerende handlinger

Når en risiko er blevet identificeret, skal der foretages korrigerende handlinger. Handlingerne (fra opdagelse til korrektion) skal dokumenteres, nogle gange gennem registre, på en måde, der viser, at de afhjælpende handlinger var effektive.

Logs over brugeraktiviteter, undtagelser og sikkerhedshændelser

Når du logger aktiviteter, undtagelser og hændelser, skal du huske, at private, følsomme og/eller personlige oplysninger kan blive brugt i hændelseslogfiler, så der skal træffes passende foranstaltninger til beskyttelse af personlige oplysninger. Ingen undtagelser! 

Få hjælp til at indsamle dine obligatoriske ISO 27001-dokumenter 

Vær opmærksom på, at din auditor vil vælge og vrage, hvad de vil se. Så for at gøre din audit så let som muligt er det bedst at forberede sig ved at sikre, at du har alle de rigtige dokumenter, og at de er sorteret, arkiveret og indekseret, så de er lette at få adgang til;

Den bedste måde at sikre, at du har styr på det hele, er at bruge en onlineplatform, der giver dig den vejledning og de værktøjer, du skal bruge for at blive certificeret;

Bestil en demo med Compleye for at se, hvordan vi kan hjælpe dig med at indsamle dine obligatoriske ISO 27001-dokumenter.