{"id":93982,"date":"2022-10-14T21:39:35","date_gmt":"2022-10-15T02:39:35","guid":{"rendered":"https:\/\/blogging-techies.com\/sw\/vad-ar-en-iso-27001-revision-och-behover-mitt-foretag-en\/"},"modified":"2022-10-14T21:39:35","modified_gmt":"2022-10-15T02:39:35","slug":"vad-ar-en-iso-27001-revision-och-behover-mitt-foretag-en","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/sw\/vad-ar-en-iso-27001-revision-och-behover-mitt-foretag-en\/","title":{"rendered":"Vad \u00e4r en ISO 27001-revision och beh\u00f6ver mitt f\u00f6retag en?"},"content":{"rendered":"
\n

I v\u00e5r v\u00e4rld av kommodifierad data m\u00e5ste cybers\u00e4kerhetsstandarder vara skyh\u00f6ga och knivskarpa. De flesta f\u00f6retag, \u00e4ven om de inte \u00e4r omedelbart tekniska, kommer s\u00e5 sm\u00e5ningom att st\u00f6ta p\u00e5 behovet av att g\u00f6ra om sig inifr\u00e5n.<\/p>\n

F\u00f6r mer \u00e4n ett decennium sedan antog International Organization of Standards en specifikation som heter ISO 27001. S\u00e5 vad \u00e4r det egentligen? Vad kan en ISO 27001-revision ber\u00e4tta om en organisations inre insatser? Och hur avg\u00f6r du om ditt f\u00f6retag ska granskas?<\/p>\n

<\/span> Vad \u00e4r ett informationss\u00e4kerhetshanteringssystem (ISMS)?<\/span><\/h2>\n

Ett Information Security Management System (ISMS) \u00e4r en organisations huvudsakliga f\u00f6rsvarslinje mot dataintr\u00e5ng och andra typer av cyberhot utifr\u00e5n.<\/p>\n

Ett effektivt ISMS s\u00e4kerst\u00e4ller att informationen som skyddas f\u00f6rblir konfidentiell och s\u00e4ker, trogen k\u00e4llan och tillg\u00e4nglig f\u00f6r de personer som har tillst\u00e5nd att arbeta med den.<\/p>\n

Ett vanligt misstag \u00e4r att anta att ett ISMS inte \u00e4r mer \u00e4n en brandv\u00e4gg eller andra tekniska skyddsmedel. Ist\u00e4llet \u00e4r ett fullt integrerat ISMS lika n\u00e4rvarande i f\u00f6retagets kultur och i varje anst\u00e4lld, ingenj\u00f6r eller p\u00e5 annat s\u00e4tt. Det g\u00e5r l\u00e5ngt utanf\u00f6r IT-avdelningen.<\/p>\n

Mer \u00e4n bara officiell policy och procedur inkluderar omfattningen av detta system \u00e4ven teamets f\u00f6rm\u00e5ga att hantera och f\u00f6rfina systemet. Utf\u00f6rande och hur protokollet faktiskt till\u00e4mpas \u00e4r avg\u00f6rande.<\/p>\n

Detta inneb\u00e4r att ta en l\u00e5ngsiktig strategi f\u00f6r riskhantering och begr\u00e4nsning. Ett f\u00f6retags huvudm\u00e4n m\u00e5ste vara v\u00e4l f\u00f6rtrogna med eventuella risker f\u00f6rknippade med den bransch som de arbetar i specifikt. Bev\u00e4pnade med denna insikt kommer de att kunna bygga murarna runt sig sj\u00e4lva.<\/p>\n

<\/span> Vad \u00e4r ISO 27001, exakt?<\/span><\/h2>\n
\n<\/figure>\n

2005 omarbetade International Organization for Standardization (ISO) och International Electrotechnical Commission (IEC) BS 7799, en s\u00e4kerhetshanteringsstandard som f\u00f6rst etablerades av BSI Group 10 \u00e5r tidigare.<\/p>\n

Nu officiellt k\u00e4nd som ISO\/IEC 27001:2005, \u00e4r ISO 27001 en internationell standard f\u00f6r efterlevnad som tilldelas f\u00f6retag som \u00e4r f\u00f6red\u00f6mliga inom informationss\u00e4kerhetshantering.<\/p>\n

I huvudsak \u00e4r det en rigor\u00f6s samling standarder som ett f\u00f6retags ledningssystem f\u00f6r informationss\u00e4kerhet kan h\u00e5llas emot. Detta ramverk till\u00e5ter revisorer att sedan utv\u00e4rdera ih\u00e4rdigheten i systemet som helhet. F\u00f6retag kan v\u00e4lja att g\u00f6ra en revision n\u00e4r de vill f\u00f6rs\u00e4kra sina kunder och klienter om att deras data \u00e4r s\u00e4ker inom deras v\u00e4ggar.<\/p>\n

Inkluderade i denna samling av best\u00e4mmelser \u00e4r: specifikationer ang\u00e5ende s\u00e4kerhetspolicy, tillg\u00e5ngsklassificering, milj\u00f6s\u00e4kerhet, n\u00e4tverkshantering, systemunderh\u00e5ll och aff\u00e4rskontinuitetsplanering.<\/p>\n

ISO sammanfattade alla dessa aspekter fr\u00e5n den ursprungliga BSI-stadgan och destillerade dem till den version som vi k\u00e4nner igen idag.<\/p>\n

<\/span> Gr\u00e4ver i policyn<\/span><\/h2>\n

Vad exakt utv\u00e4rderas n\u00e4r ett f\u00f6retag genomg\u00e5r en ISO 27001-revision?<\/p>\n

Standardens syfte \u00e4r att formalisera en effektiv och s\u00e4ker informationspolicy internationellt. Det uppmuntrar till en proaktiv h\u00e5llning, en som f\u00f6rs\u00f6ker undvika problem innan det h\u00e4nder.<\/p>\n

ISO betonar tre viktiga aspekter av ett s\u00e4kert ISMS:<\/p>\n

1. St\u00e4ndig analys och erk\u00e4nnande av risk<\/strong>: detta inkluderar b\u00e5de nuvarande risker och risker som kan uppst\u00e5 i framtiden.<\/p>\n

2. Ett robust och s\u00e4kert system<\/strong>: detta inkluderar systemet som det existerar i teknisk mening, samt eventuella s\u00e4kerhetskontroller som organisationen anv\u00e4nder f\u00f6r att skydda sig mot ovan n\u00e4mnda risker. Dessa kommer att se v\u00e4ldigt olika ut, beroende p\u00e5 f\u00f6retag och bransch.<\/p>\n

3. Ett engagerat team av ledare<\/strong>: dessa kommer att vara de personer som faktiskt s\u00e4tter kontrollerna i arbete f\u00f6r att f\u00f6rsvara organisationen. Systemet \u00e4r bara lika effektivt som de som arbetar vid rodret.<\/p>\n

Att analysera dessa tre viktiga bidragande faktorer hj\u00e4lper revisorn att m\u00e5la upp en mer komplett bild av ett visst f\u00f6retags f\u00f6rm\u00e5ga att arbeta s\u00e4kert. H\u00e5llbarhet gynnas framf\u00f6r ett ISMS som bara f\u00f6rlitar sig p\u00e5 r\u00e5 teknisk kraft.<\/p>\n

Det \u00e4r ett viktigt m\u00e4nskligt element som m\u00e5ste finnas. Det s\u00e4tt som m\u00e4nniskor inom f\u00f6retaget ut\u00f6var kontroll \u00f6ver sin data och sitt ISMS h\u00e5lls framf\u00f6r allt. Dessa kontroller \u00e4r det som faktiskt h\u00e5ller data s\u00e4ker.<\/p>\n

<\/span> Vad \u00e4r bilaga A till ISO 27001?<\/span><\/h2>\n
\n<\/figure>\n

Specifika exempel p\u00e5 \u201ckontroller\u201d beror p\u00e5 branschen. Bilaga A till ISO 27001 erbjuder f\u00f6retag 114 officiellt erk\u00e4nda s\u00e4tt att kontrollera s\u00e4kerheten i deras verksamhet.<\/p>\n

Dessa kontroller delas in i en av fjorton klassificeringar:<\/p>\n

A.5\u2014Informations- och s\u00e4kerhetspolicyer<\/strong>: de institutionaliserade policyer och procedurer ett f\u00f6retag f\u00f6ljer.<\/p>\n

A.6\u2014Organisation av informationss\u00e4kerhet<\/strong>: ansvarsf\u00f6rdelningen inom organisationen n\u00e4r det g\u00e4ller ramverket f\u00f6r ISMS och dess genomf\u00f6rande. H\u00e4r ing\u00e5r, konstigt nog, ocks\u00e5 policy f\u00f6r distansarbete och anv\u00e4ndning av enheter inom f\u00f6retaget.<\/p>\n

A.7\u2014S\u00e4kerhet f\u00f6r m\u00e4nskliga resurser<\/strong>: g\u00e4ller onboarding, offboarding och anst\u00e4lldas byte av roller inom organisationen. Screeningstandarder och b\u00e4sta praxis inom utbildning och tr\u00e4ning beskrivs ocks\u00e5 h\u00e4r.<\/p>\n

A.8\u2014Asset Management<\/strong>: inneb\u00e4r att uppgifterna hanteras. Tillg\u00e5ngar m\u00e5ste inventeras, underh\u00e5llas och h\u00e5llas privata, \u00e4ven \u00f6ver avdelningslinjer i vissa fall. \u00c4gander\u00e4tten till varje tillg\u00e5ng m\u00e5ste fastst\u00e4llas tydligt; Denna klausul rekommenderar att f\u00f6retag utarbetar en \u201cpolicy f\u00f6r acceptabel anv\u00e4ndning\u201d som \u00e4r specifik f\u00f6r deras bransch.<\/p>\n

A.9\u2014\u00c5tkomstkontroll<\/strong>: vem f\u00e5r hantera dina uppgifter och hur begr\u00e4nsar du \u00e5tkomsten till endast beh\u00f6riga anst\u00e4llda? Detta kan innefatta villkorad tillst\u00e5ndsgivning i teknisk mening eller tillg\u00e5ng till l\u00e5sta byggnader p\u00e5 ditt f\u00f6retags campus.<\/p>\n

A.10\u2014Kryptografi<\/strong>: handlar fr\u00e4mst om kryptering och andra s\u00e4tt att skydda data under \u00f6verf\u00f6ring. Dessa f\u00f6rebyggande \u00e5tg\u00e4rder m\u00e5ste hanteras aktivt; ISO avr\u00e5der organisationer fr\u00e5n att \u00f6verv\u00e4ga kryptering som en helhetsl\u00f6sning f\u00f6r alla de djupt nyanserade utmaningar som \u00e4r f\u00f6rknippade med datas\u00e4kerhet.<\/p>\n

A.11\u2014Fysisk och milj\u00f6m\u00e4ssig s\u00e4kerhet<\/strong>: bed\u00f6mer den fysiska s\u00e4kerheten varhelst k\u00e4nslig data finns, oavsett om det \u00e4r i en verklig kontorsbyggnad eller i ett litet, luftkonditionerat rum fullt av servrar.<\/p>\n

A.12\u2014Drifts\u00e4kerhet<\/strong>: vilka \u00e4r dina interna s\u00e4kerhetsregler n\u00e4r det g\u00e4ller driften av ditt f\u00f6retag? Dokumentation som f\u00f6rklarar dessa procedurer b\u00f6r underh\u00e5llas och revideras ofta f\u00f6r att m\u00f6ta nya, framv\u00e4xande aff\u00e4rsbehov.<\/p>\n

F\u00f6r\u00e4ndringsledning, kapacitetshantering och separering av olika avdelningar faller alla under denna rubrik.<\/p>\n

A.13\u2014N\u00e4tverkss\u00e4kerhetshantering<\/strong>: n\u00e4tverken som ansluter varje system inom ditt f\u00f6retag m\u00e5ste vara luftt\u00e4ta och noggrant omh\u00e4ndertagna.<\/p>\n

Catch-all-l\u00f6sningar som brandv\u00e4ggar g\u00f6rs \u00e4nnu mer effektiva n\u00e4r de kompletteras med saker som frekventa verifieringskontrollpunkter, formaliserade \u00f6verf\u00f6ringspolicyer eller genom att f\u00f6rbjuda anv\u00e4ndningen av offentliga n\u00e4tverk n\u00e4r du till exempel hanterar ditt f\u00f6retags data.<\/p>\n

A.14\u2014Systemf\u00f6rv\u00e4rv, utveckling och underh\u00e5ll<\/strong>: om ditt f\u00f6retag inte redan har ett ISMS p\u00e5 plats, f\u00f6rklarar den h\u00e4r klausulen vad ett idealiskt system tillf\u00f6r. Det hj\u00e4lper dig att s\u00e4kerst\u00e4lla att omfattningen av ISMS t\u00e4cker alla aspekter av din produktionslivscykel.<\/p>\n

En intern policy f\u00f6r s\u00e4ker utveckling ger dina ingenj\u00f6rer det sammanhang som de beh\u00f6ver f\u00f6r att bygga en produkt som uppfyller kraven fr\u00e5n den dag d\u00e5 deras arbete b\u00f6rjar.<\/p>\n

A.15\u2014S\u00e4kerhetspolicy f\u00f6r leverant\u00f6rer<\/strong>: n\u00e4r du g\u00f6r aff\u00e4rer med tredjepartsleverant\u00f6rer utanf\u00f6r ditt f\u00f6retag, vilka f\u00f6rsiktighets\u00e5tg\u00e4rder vidtas f\u00f6r att f\u00f6rhindra l\u00e4ckor eller intr\u00e5ng i data som delas med dem?<\/p>\n

A.16\u2014Informationss\u00e4kerhet Incidenthantering<\/strong>: n\u00e4r saker g\u00e5r fel ger ditt f\u00f6retag troligtvis n\u00e5gra ramar f\u00f6r hur problemet ska rapporteras, \u00e5tg\u00e4rdas och f\u00f6rebyggas i framtiden.<\/p>\n

ISO letar efter repressalier som g\u00f6r det m\u00f6jligt f\u00f6r auktoritetspersoner inom f\u00f6retaget att agera snabbt och med stora f\u00f6rdomar efter att ett hot har uppt\u00e4ckts.<\/p>\n

A.17\u2014Informationss\u00e4kerhetsaspekter av Business Continuity Management<\/strong>: i h\u00e4ndelse av en katastrof eller n\u00e5gon annan osannolik incident som o\u00e5terkalleligt st\u00f6r din verksamhet, m\u00e5ste en plan finnas p\u00e5 plats f\u00f6r att bevara f\u00f6retagets v\u00e4lbefinnande och dess data tills verksamheten \u00e5terupptas som normalt.<\/p>\n

Tanken \u00e4r att en organisation beh\u00f6ver n\u00e5got s\u00e4tt att bevara kontinuiteten i s\u00e4kerheten genom tider som dessa.<\/p>\n

A.18\u2014Efterlevnad<\/strong>: slutligen kommer vi till sj\u00e4lva kontraktet av avtal som ett f\u00f6retag m\u00e5ste teckna f\u00f6r att uppfylla kraven f\u00f6r ISO 27001-certifiering. Dina skyldigheter l\u00e4ggs framf\u00f6r dig. Allt som \u00e5terst\u00e5r f\u00f6r dig att g\u00f6ra \u00e4r att skriva under p\u00e5 den streckade linjen.<\/p>\n

ISO kr\u00e4ver inte l\u00e4ngre att f\u00f6retag som uppfyller kraven endast anv\u00e4nder kontroller som passar in i kategorierna ovan. Listan \u00e4r dock ett bra st\u00e4lle att b\u00f6rja om du precis har b\u00f6rjat l\u00e4gga grunden f\u00f6r ditt f\u00f6retags ISMS.<\/p>\n

<\/span> B\u00f6r mitt f\u00f6retag granskas?<\/span><\/h2>\n

Det beror p\u00e5. Om du \u00e4r en mycket liten nyf\u00f6retagare som arbetar inom ett omr\u00e5de som inte \u00e4r k\u00e4nsligt eller riskfyllt, kan du f\u00f6rmodligen v\u00e4nta tills dina planer f\u00f6r framtiden \u00e4r mer s\u00e4kra.<\/p>\n

Senare, n\u00e4r ditt team v\u00e4xer, kan du befinna dig i n\u00e5gon av f\u00f6ljande kategorier:<\/p>\n

Du kanske arbetar med en viktig kund som ber ditt f\u00f6retag att utv\u00e4rderas f\u00f6r att s\u00e4kerst\u00e4lla att de kommer att vara s\u00e4kra hos dig. Du kanske vill g\u00e5 \u00f6ver till en b\u00f6rsintroduktion i framtiden. Du har redan fallit offer f\u00f6r ett intr\u00e5ng och beh\u00f6ver t\u00e4nka om hur du hanterar och skyddar ditt f\u00f6retags data. <\/p>\n

Att f\u00f6ruts\u00e4ga framtiden kanske inte alltid \u00e4r l\u00e4tt. \u00c4ven om du inte ser dig sj\u00e4lv i n\u00e5got av ovanst\u00e5ende scenarier, skadar det inte att vara proaktiv och b\u00f6rja inf\u00f6rliva n\u00e5gra av ISO:s rekommenderade metoder i din regim.<\/p>\n

<\/span> Kraften ligger i dina h\u00e4nder<\/span><\/h2>\n

Att f\u00f6rbereda ditt ISMS f\u00f6r en revision \u00e4r lika enkelt som att ta due diligence, \u00e4ven n\u00e4r du arbetar idag. Dokumentation b\u00f6r alltid underh\u00e5llas och arkiveras, vilket ger dig bevis p\u00e5 att du beh\u00f6ver s\u00e4kerhetskopiera dina p\u00e5st\u00e5enden om kompetens.<\/p>\n

Det \u00e4r precis som i mellanstadiet: du g\u00f6r l\u00e4xorna, och du f\u00e5r betyget. Kunderna \u00e4r trygga och trygga och din chef \u00e4r mycket n\u00f6jd med dig. Dessa \u00e4r enkla vanor att l\u00e4ra sig och beh\u00e5lla. Du kommer att tacka dig sj\u00e4lv senare n\u00e4r mannen med ett urklipp \u00e4ntligen kommer och ringer.<\/p>\n

Om f\u00f6rfattaren<\/strong><\/p>\n

Emma Garofalo (282 artiklar publicerade)
<\/strong><\/p>\n

F\u00f6rfattare, konstn\u00e4r och \u00e4lskare av teknik.<\/p>\n

Mer fr\u00e5n Emma Garofalo<\/p>\n

<\/span>Prenumerera p\u00e5 v\u00e5rt nyhetsbrev<\/span><\/h4>\n

G\u00e5 med i v\u00e5rt nyhetsbrev f\u00f6r tekniska tips, recensioner, free e-b\u00f6cker och exklusiva erbjudanden!<\/p>\n

Klicka h\u00e4r f\u00f6r att prenumerera<\/p>\n<\/p><\/div>\n

\n
\n

Table of Contents<\/p>\nToggle<\/span><\/path><\/svg><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n