ISO/IEC 27001: Informationssäkerhetsledningssystem

• Skaffa standarden:

Skaffa en licensierad kopia av den relevanta standarden och bekanta dig med kraven för att avgöra om certifiering/registrering enligt denna standard är lämpligt för din organisation.  

• Granska tillgänglig litteratur och använd digitala verktyg:

Utforska tillgänglig litteratur, riktlinjer från standardägarens webbplats (t.ex. ISO/TS 9002 för ISO 9001, ISO 14004 för ISO 14001) samt digitala källor och verktyg som kan hjälpa till med implementeringen. Observera att du som DNV-kund får tillgång till skräddarsydda verktyg som kan hjälpa dig.  

• Sätt ihop ett team och definiera en strategi:

Att införa ett ledningssystem bör vara ett strategiskt beslut för hela organisationen. Ledningen måste vara delaktig i beslutet, engagerad och involverad i utformningen av systemet. De bestämmer vilken affärsstrategi ledningssystemet ska stödja. Dessutom behöver du ett dedikerat team för att utveckla och införa ditt ledningssystem.

• Fastställ kompetensbehov:

Först och främst behöver ditt team som implementerar och underhåller ledningssystemet en grundlig förståelse för de valda standarderna. Senare behöver hela organisationen genomgå en medvetenhetsutbildning. DNV erbjuder en mängd olika öppna och interna kurser över hela världen som uppfyller dina kompetensutbildningsbehov på alla nivåer inom din organisation.

• Granska konsultalternativ: 

Oberoende konsulter kan ge råd om en genomförbar, realistisk och kostnadseffektiv strategiplan för implementering om du inte redan har denna kompetens eller kapacitet.

• Utveckla dokumentation för ledningssystemet: 

Bestäm er för en lämplig plattform för er dokumenterade information (t.ex. programvara, processkarta eller SharePoint-baserad). Rätt plattform är viktig för att säkerställa effektiv hantering, kommunikation och implementering. 

• Fastställa, hantera och dokumentera processer:

Identifiera först nyckelprocesser - vad de är, hur de fungerar och hur de samverkar. Varje process bör ha ett tydligt syfte, definierade ansvarsområden och förväntade resultat. Omfattningen av den dokumenterade informationen beror på organisationens storlek, komplexitet och varje process betydelse, men måste inkludera relevanta processer och annan dokumenterad informations om krävs för att uppnå avsedda resultat och uppfylla kraven i den valda standarden.  

• Implementera ledningssystemet:

Tydlig kommunikation och nödvändig kompetensutbildning är väsentliga delar. Under implementeringsfasen arbetar du för att säkerställa att din organisation arbetar enligt definierade och dokumenterade processer. När detta är klart kan du bevisa systemets överensstämmelse och effektivitet. 

• Välj ett certifieringsorgan/registreringsorgan:

Att välja rätt certifieringsorgan kan göra stor skillnad under hela certifieringsprocessen. DNV erbjuder ett förtroendefullt partnerskap, en riskbaserad metod och en rad kostnadsfria digitala verktyg som hjälper dig att hantera certifieringsprocessen före, under och efter revisionen. 

• Överväg en gap-analys före revisionen:

Överväg en preliminär utvärdering av ditt certifieringsorgan för att identifiera och korrigera avvikelser innan du påbörjar den officiella certifieringsprocessen. Syftet är att identifiera områden med avvikelser eller svagheter, så att du kan korrigera dessa innan du påbörjar den officiella certifieringsprocessen.

ISO/IEC 27001 är den internationellt erkända standarden för ledningssystem för informationssäkerhet (ISMS) som är relevant för alla organisationer med tillgångar som behöver skyddas. Den tillhandahåller en strukturerad ram för att inrätta, implementera, driva, övervaka, granska, underhålla och förbättra en organisations ledningssystem för informationssäkerhet. Standarden ISO/IEC 27001 erbjuder en helhetsinriktad, riskbaserad strategi för hantering av hot som rör människor, processer och teknik. Den hjälper företag att förstå sina risker och säkerställa att säkerheten är konsekvent, dokumenterad och granskningsbar. ISO/IEC 27001 är tillämplig på organisationer oavsett storlek, bransch och plats.

Kostnaden för ISO 27001-certifiering beror på organisationens storlek, komplexitet och hur mycket externt stöd de behöver, särskilt för att utveckla och implementera ledningssystemet.

Kostnaderna för utveckling och implementering kan omfatta gap-analyser, utbildning och en konsult, om en sådan anlitas. Företagen bör också räkna med kostnader för interna resurser som läggs på att utveckla processer och system samt implementera ledningssystemet.

Därtill kommer kostnaden för ackrediterad tredjepartscertifiering av någon som DNV, som inleds med den inledande certifieringsrevisionen och fortsätter med de obligatoriska årliga revisionerna. Den totala kostnaden beror på certifieringens omfattning, antalet anläggningar, antalet anställda etc.

För att uppnå ISO/IEC 27001-certifiering måste en organisation först utveckla och implementera ett informationssäkerhetsledningssystem (ISMS) som uppfyller standardens krav och sedan genomgå en oberoende tredjepartsrevision för verifiering av överensstämmelse.

Hur lång tid det tar att uppnå certifiering första gången beror på organisationens storlek, komplexitet, hur mogna deras informationssäkerhetsrutiner är och hur mycket externt stöd som behövs. För små organisationer med en anläggning och små system kan det ta så lite som 3 månader att uppnå certifiering. För stora eller komplexa organisationer, till exempel med flera anläggningar, komplexa IT-miljöer, reglerade branscher eller omfattande insamling av bevis och anpassningsarbete, kan det ta upp till 18 månader.

För att uppnå ISO/IEC 27001-certifiering måste en organisation implementera ett informationssäkerhetsledningssystem (ISMS) som uppfyller kraven. Innan certifieringsrevisionen genomförs av en oberoende tredje part som DNV rekommenderas det att organisationen har genomfört internrevisioner och ledningsgranskningar enligt standarden för ledningsgranskning för att bekräfta att ISMS fungerar effektivt och att identifierade brister har åtgärdats.