Certifieringsprocessen från början till slut

En inte alltid helt självklar väg att gå

Vägen till en ISO 27001 certifiering är inte helt självklar. Om ditt företag ska påbörja resan till en certifiering inom ISO 27001 så kan vägen dit ibland kännas knepig och lång. Denna artikel kommer att beskriva de grundläggande delarna i hur en certifieringsprocess ser ut från början till slut och kanske hjälper dig att ta första steget.

Hur kan ett ledningssystem för informationssäkerhet öka säkerheten?

Då antalet internetanvändare enbart i Sverige är hela 84% av befolkningen så är det inte konstigt att antalet digitala attacker ökar i allt större grad. Detta drabbar i sin tur Sveriges 1.2 miljoner företag av varierande storlek. En digital attack mot ditt företag kan leda till bland annat driftstopp, avbrott i verksamheten, ekonomiska kostnader, minskat värde av immateriella rättigheter, GDPR lagbrott (som leder till böter), skador på företagets rykte etcetera, listan kan göras lång.

För att minska risken för diverse typer av attacker och övrig informationsstörande aktiviteter kan man därför skapa ett ledningssystem för informationssäkerhet (LIS). Detta rekommenderas att göras enligt ISO/IEC 27001 som är en internationell standard för utformningen av ledningssystem för informationssäkerhet. Då informationssäkerhet är en färskvara så bör LIS hållas uppdaterat och även upprätthålla de krav som ISO/IEC 27001 ställer på ledningssystemet. Bästa sättet att säkerställa så att din organisations LIS upprätthåller rätt nivå är att ISO/IEC 27001-certifiera sig.

Har man ingen förkunskap om hur processen ser ut från noll till certifiering kan vägen dit kännas alldeles för lång och blotta tanken på den osäkerheten kan vara tillräckligt för att företaget ska avstå från att bygga upp ett väl fungerande LIS. Det kan då resultera i dem nämnda riskerna ovan.

Företag livnär sig på att knyta band med andra företag och detta skapar komplexa nätverk av information som flyttar in och ut ur företag. I dagens samhälle är det information som är den absolut viktigaste resursen. Det är därför en generellt accepterad tanke att man bör skydda denna information.

Med intågandet av GDPR (2018) så kom en stor våg av krav på B2B men även B2C att personlig-data ska lagras och brukas på ett säkert sätt som inte skadar privatpersoners integritet vars data behandlas. Detta främst för att förhålla sig till lagar samt att inte missbruka sin data.

Är ditt företag leverantör av samhällsviktiga tjänster till exempel el, vatten och dylikt så är det inte omöjligt att ni faller under NIS-direktivet. NIS är en europeisk lagstiftning vars syfte är att sätta krav på kritiska företag att kontinuerligt jobba med informationssäkerhet. Det är dessutom upp till varje företag att själva undersöka ifall dem faller under NIS-direktivet och därav påverkas av deras krav.

För att organisationen ska arbeta med informationssäkerhet och uppnå de krav som ställs av kunder, leverantörer och lagar så kan din organisation införskaffa ett ISO 27001-certifikat. Detta certifikat är en stämpel på att din organisation tar informationssäkerhet på högsta allvar och arbetar på ett strukturerat och effektivt sätt för att uppnå en hög informationssäkerhet.

Om en av dina kunder eller leverantörer ställer ett krav på er att ni ska inneha en ISO 27001-certifiering. Kan det först kännas som en otroligt lång och komplex process. Men det är egentligen inte så avancerat. Nedan är dem delar som kommer efter att kravet eller behovet av en ISO 27001-certifiering uppstått.

Vägen mot en certifiering

• Brist på engagemang från ledningen kan leda till att hela ledningssystemet tappar sin slagkraft.
• Saknas interna resurser för genomförandet.
• Processägare saknas resurser och mandat att driva och förbättra processerna.
• Antal delaktiga i projektet är inte tillräckligt.
• Certifikatet viktigare än systemet, om systemet inte upprätthålls och används tjänar inte certifikatet sitt syfte.
• För mycket/lite dokumentation.
• Otydliga eller motsägelsefulla mål.
• Att inte jobba med säkerhet överhuvudtaget då detta kan resultera i olika typer av förluster för företaget.

ISO 27001-certifieringen kan vara en stor omställning och vi på Secify hjälper mer än gärna er på vägen. Hör gärna av er om ni vill tala med erfarna experter inom området.