ISO 27001 scope statement … lyder meget større, end det er. Faktisk er det ret ligetil at lave en. I denne guide til scope statement fortæller vi dig, hvad, hvordan og hvorfor du skal skrive en ISO 27001 scope statement.
Vi har tilføjet et par eksempler, en skabelon, der kan downloades, og en supercool og informativ video med vores egen compliance-innovator, Mari E. Curious, i hovedrollen.
Hvad mere kan man ønske sig?
Hvorfor har du brug for en scope statement?
I artiklen “ISO IEC 27001-certificering” skriver TUV, at organisationer implementerer et ISMS for at:
“Beskytte data, der er afgørende for virksomheden, mindske risici og sikre stabil drift, give tillid til interessenter og kunder.”
ISO 27001 scope statement er en forpligtelse til og en afspejling af denne ambition. Derudover er det ikke kun den eneste obligatoriske oplysning, du skal give inden for standardens scope-segment, men også den vigtigste.
Ifølge Best Practice Biz er ‘konceptet bag scope-erklæringen at lade dig forstå følgende:
- Love og regler, som du skal overholde
- Snitflader og afhængigheder, du har med andre modeller
- Interne og eksterne spørgsmål, der er relevante for din ISMS-informationssikkerhed
- Processer og sikkerhedskontroller, der er nødvendige for at drive din virksomhed
Omfangserklæringen for ISO 27001 definerer:
- Hvad din virksomhed gør.
- Hvilke vigtige oplysninger er dækket af ISMS’et.
- Hvorfor sikkerhed er vigtig for din organisation
- Hvilke dele af din virksomhed er certificeret.
Det er det, der står på dit ISO 27001-certifikat, så hele verden (ja, ikke hele verden, men du ved, hvad vi mener) kan se det.
Kort sagt er det, hvad dine kunder går op i, når det gælder sikkerhed.
Hvad er omfanget af ISO 27001?
Omfanget af ISO 27001 definerer alt – fra data til produkter, processer til tjenester, systemer til geografiske områder – som er beskyttet af dit ISMS. Det definerer også alt, hvad der ikke er beskyttet.
For at kunne udarbejde din organisations scope korrekt, skal du bestemme grænserne for og anvendeligheden af ISMS.
Dette betyder, at du skal undersøge alle eksterne og interne spørgsmål, som du finder defineret i afsnit 4.1 i ISO 27001-standarden, forstå de interesserede parters behov og forventninger (4.2) og bestemme forbindelserne mellem aktiviteter, der udføres af din organisation og eksterne organisationer.
Undersøgelse og forståelse af, hvilke dele af virksomheden der er involveret i at skabe, tilgå eller behandle dine værdifulde informationsaktiver, og udførelse af en risikovurdering vil holde dig på sporet, når du definerer omfanget af dit ISMS.
Hvorfor er det så vigtigt at definere dit ISO 27001-omfang?
Det, der indgår i dit scope, skal være dækket af dit ISMS; det, der ligger uden for scope, behøver ikke at være dækket af dit ISMS.
Så hvis du udelader noget fra anvendelsesområdet, som burde have været med, kan du ende med nogle uønskede sikkerhedsproblemer, ubeskyttede data og utilfredse kunder og/eller interessenter.
Hvis du lægger noget ind i scope, som ikke behøver at være der, skaber du bare mere arbejde for dit team og bruger potentielt penge, som du ikke har brug for. Et for bredt scope er heller ikke agilt i forhold til at tage højde for ændringer i teknologier og funktioner.
Hvordan skriver man en scope statement til ISO 27001?
Din scope-erklæring er et resumé af dit scope og skal gøre det klart for dine kunder, at det, de køber af dig, uanset om det er et produkt eller en tjeneste, er dækket af dit ISMS.
Når du skriver din scope-erklæring, skal du desuden besvare følgende spørgsmål:
- Hvad laver min organisation?
- Hvilke produkter eller tjenester er omfattet?
- Hvilke oplysninger har vi brug for at beskytte?
- Hvilke processer er forbundet med den information?
- Er der nogen udelukkelser (steder, processer osv.), der kan udelades fra anvendelsesområdet?
Lad os anvende disse spørgsmål på en fiktiv virksomhed for at se, hvordan de fungerer til at forme en scope-erklæring. Vi kalder virksomheden FindMyPet.
- Hvad laver min organisation?
FindMyPet genforener kæledyr og ejere …
- Hvilke produkter eller tjenester er omfattet?
… ved hjælp af scannerteknologi og mikrochips…
- Hvilke oplysninger har vi brug for at beskytte?
…der gemmer kundernes personlige data (navn, fysisk adresse, telefonnummer)…
1. BSI’s erklæring om omfanget af ISO 27001
I vores første eksempel kan du tydeligt se, at Online Computer Library Centers ISMS gælder for informationssikkerhedsaktiviteter i forbindelse med virksomhedens ledelsestjenester, ressourcedeling, metadatatjenester, opdagelse og reference samt intern infrastrukturrapport. Bemærk, hvordan der henvises til Statement of Applicability.
2. MGM Technology Partners’ ISO 27001-omfangserklæring
MGM angiver arten af deres forretning (Rådgivning af kunder i den offentlige sektor, forsikring og e-handel om digitalisering af deres forretnings- og it-processer; softwareudvikling til forretningskritiske applikationer, ledelsesrådgivning til specialiserede og it-afdelinger samt test og implementering af websikkerhed).
De angiver dog ikke eksplicit, hvad ISMS’et gælder for. Vi kan derfor antage, at deres ISMS dækker alt, hvad der er relateret til alle deres aktiviteter og produkter.
3. Monday.com’s ISO 27001-omfangserklæring
Monday.com’s erklæring om anvendelsesområde er meget klar. Deres ISMS gælder for IT-driftsafdelingen i forbindelse med udvikling, markedsføring, salg, promovering, support og design af et arbejds-OS til styring af teamwork, kørsel af workflows og processer samt hosting af indhold og filer.
ISO 27001 scope statement-skabelon (download)
Vi har udarbejdet en grundlæggende ISO 27001 scope statement-skabelon, som du kan bruge.
Denne skabelon kan enten bruges som en “udfyld-hullerne”-skabelon eller som en retningslinje for at skabe din egen omfangserklæring.
Træk ikke tiden ud, skriv ISO 27001-omfanget i dag!
Endelig tager det tid at fatte sig i korthed, så begynd at udarbejde dit scope statement så hurtigt som muligt. Husk ikke at være for ambitiøs eller for tvetydig, og sørg for at forstå, hvilke oplysninger din virksomhed håndterer.
For at få hjælp fra professionelle eller for at begynde at bruge det allerbedste DIY compliance-værktøj på markedet i dag, book en demo med Compleye.
