Lad os skære det ud i pap for dig. ISO 27001-certificeringen er ikke en dans på roser, og dens udfordringer er ikke som at cykle. Med udfordringer vil der opstå udfordringer. Når der opstår udfordringer, vil der blive begået fejl. Fejl er dog et bevis på, at du prøver. Bare sørg for, at du ikke laver dem to gange.
Vi begår alle sammen fejl. Det er ikke anderledes end på rejsen mod en ISO 270001-certificering: den officielle certificering, der sikrer, at din organisation håndterer sine data sikkert. Vi har opsummeret de almindelige faldgruber, som du kan støde på under en ISO 27001-implementering. I dag vil vi dele dem med dig.
ISO 27001: Få styr på omfanget
“Scope [ skohp ] – substantiv – Omfanget af det område eller emne, som noget beskæftiger sig med, eller som det er relevant for.” Når man certificerer efter ISO 27001, kan det være svært at definere det rigtige scope for implementering af et ISMS (Information Security Management System). Det kan nemt blive enten for ambitiøst eller ikke nok. En for ambitiøs tilgang kan føre til, at man ikke når sine mål, og at teamet bliver demotiveret. På den anden side vil organisationer, der begrænser deres omfang for meget, sandsynligvis støde på afvigelser under certificeringsauditten, da de ikke kan demonstrere, at de har fuld kontrol over deres ISMS.
Mangel på roller og ansvar
Betragt aldrig ISO 27001-implementeringsprojektet som et it-projekt, der kun involverer ressourcer fra den pågældende afdeling. ISO 27001-certificering er et projekt, der påvirker hele organisationen og alle dens interessenter. Alle involverede skal identificeres, og deres roller og ansvar skal kommunikeres på tværs af organisationen. For at forhindre, at ISMS falder fra hinanden på grund af ændringer i nøglepersonalet, anbefaler vi også, at alle virksomheder udpeger en overlevende med en generel forståelse af ISMS. Netflix har lært os det godt.
Kender ikke værdien af ISO 27001
Desværre opfatter nogle organisationer deres cyberfodaftryk som ubetydeligt og ser ikke merværdien af en ISO 27001-certificering. Det er en skam. ISO27001 vejleder i at implementere passende foranstaltninger til at afbøde privatlivs- og sikkerhedsrisici med anbefalede tekniske foranstaltninger i overensstemmelse med kravene i GDPR. Den hjælper dig med at overholde GDPR, da den giver et fremragende udgangspunkt for organisationer, der ønsker at implementere de tekniske og organisatoriske foranstaltninger, der er nødvendige for at reducere risikoen for brud på datasikkerheden.
Læs også: Top 10 ISO 27001-certificeringssoftwareværktøjer
Undladelse af at være årvågen efter certificering
Det er almindeligt, at organisationer ånder lettet op, når de modtager den første certificering. Risikoen er dog, at de går for langt ind i “afslapningstilstand” og stadig kan blive ofre for almindelige ISO 27001-faldgruber. ISO 27001 er en løbende proces, som skal være på plads hele året, ikke kun under revisionen. Alt skal vedligeholdes for at bevise, at ISMS’et fortsat fungerer.
Med en gruppe kloge mennesker, stor motivation og en beskeden mængde træning vil du kunne overraske dig selv. Tag dig tid til at definere dit omfang, identificere forhindringer, opbygge et stærkt team, overveje hele organisationen og forberede din kommunikationsplan. Undervurder ikke processens gevinster. Afslutningsvis bør du sikre, at ISMS er en levende proces, der er indbygget i organisationens kultur, så den fortsætter med at fungere efter hensigten, efter at certificeringen er modtaget.
ISO 27001-certificeringen er ligesom livet. Lav fejl, lær af dem, og hold dig på sporet. Dette spor er det værd.
