I kan implementere ISO 27001 uden konsulent, og virksomheder med ti til to hundrede ansatte gør det hvert år. Auditgebyret er det samme uanset hvad: For en virksomhed med 20 ansatte cirka syv auditordage a 1.200 € til 2.000 €, fastsat af certificeringsorganet ud fra ISO/IEC 27006 og ikke ud fra, hvem der skrev jeres politikker.

Det, der ændrer sig, når I går alene, er jeres interne tid, den dømmekraft, I selv skal optage, og risikoen for, at den første audit finder de ting, en førstegangsvirksomhed ikke ved, den skal lede efter. Denne side er den ærlige fordeling, så rækkefølgen, så listen over det, folk overser.

Hvad en konsulent faktisk sælger

Hvad I køber Hvad det er
Afgrænsningen Forkert i begge retninger er dyrt.
En risikovurdering, der holder til mødet med virkeligheden Ikke selve registret, men en metode, en auditor accepterer, anvendt konsekvent, med kriterier I kan forsvare, når nogen spørger, hvorfor et 3-tal er et 3-tal.
At vide, hvad auditoren vil spørge om Det er erfaring, og den er virkelig svær at læse sig til.
En at diskutere med Et blik udefra på, om en foranstaltning er implementeret eller blot skrevet ned.

Hvad en god konsulent egentlig sælger

Ikke dokumenterne. Politikskabeloner findes overalt, og et genereret sæt politikker bringer jer cirka samme sted hen. Det, en god konsulent sælger, er dømmekraft fire steder, og det er værd at nævne dem, for det er de fire steder, hvor I selv skal levere den.

Afgrænsningen. Forkert i begge retninger er dyrt. For bred, og I betaler auditordage for systemer, ingen kunde interesserer sig for. For snæver, og en kundes sikkerhedsteam læser certifikatet, ser, at det produkt, de køber, ligger uden for, og afviser det. Afgrænsningserklæringen er ét afsnit; det er det afsnit med størst konsekvenser i hele systemet.

En risikovurdering, der holder til mødet med virkeligheden. Ikke selve registret, men en metode, en auditor accepterer, anvendt konsekvent, med kriterier I kan forsvare, når nogen spørger, hvorfor et 3-tal er et 3-tal.

At vide, hvad auditoren vil spørge om. Det er erfaring, og den er virkelig svær at læse sig til. Det er forskellen mellem at bestå fase 2 og at få besked på at komme igen om tre måneder, og tre måneder uden certifikat er udbud, I ikke kan byde på, og aftaler, der sidder fast i sikkerhedsgennemgangen. Den ventetid er den reelle pris for en mislykket runde, langt mere end gebyret.

En at diskutere med. Et blik udefra på, om en foranstaltning er implementeret eller blot skrevet ned.

Har I en internt, der har været igennem en audit før, har I det meste af dette. Har I ikke, siger afsnittene nedenfor, hvor I får det, og hvor I køber en dag af det.

Rækkefølgen, for det er i den forkerte rækkefølge, tiden går tabt

  1. Afgrænsning og kontekst (punkt 4.1 til 4.3). Hvilke dele af virksomheden, hvilke lokationer, hvilke systemer, hvilke kunders data. Interessenter og hvad de kræver. Skriv det ned og få det godkendt.
  2. Politik og roller (afsnit 5). Én informationssikkerhedspolitik, godkendt og dateret, og navngivne ejere af ISMS'et, risikoregistret og den interne audit.
  3. Risikovurdering og -håndtering (6.1.2, 6.1.3). Jeres metode, jeres kriterier, jeres register og en håndteringsplan, der nævner en foranstaltning for hver risiko, I besluttede at håndtere.
  4. Erklæringen om anvendelighed (6.1.3 d). For hver af de 93 foranstaltninger i bilag A: gældende eller ej, hvorfor, og om den er implementeret. Det er det dokument, auditoren læser først, og det, en kundes sikkerhedsteam beder om efter certifikatet.
  5. Implementér og drift (afsnit 8). Foranstaltningerne i faktisk drift, med daterede beviser.
  6. Mål, auditér, evaluér (afsnit 9). Overvågningsresultater, en intern audit, en ledelsesevaluering, alt dokumenteret.
  7. Certificeringsaudit. Fase 1 gennemgår dokumenterne og paratheden; fase 2 tester, at systemet fungerer. Derefter en overvågningsaudit hvert år og recertificering hvert tredje.

Trin taget i forkert rækkefølge laves om. Den mest almindelige udgave er at skrive politikker, før afgrænsningen er på plads, og så opdage, at halvdelen af dem beskriver systemer, der nu er udeladt.

De to steder, hvor I alligevel køber en dag

At gå uden konsulent behøver ikke betyde at gå uden hjælp. To konkrete ting er værd at købe pr. dag, og dyre at få galt.

Den interne audit (punkt 9.2). Den skal finde sted før certificeringen, og auditoren må ikke auditere sit eget arbejde. I en virksomhed med ti ansatte, hvor den person, der byggede ISMS'et, er den eneste, der forstår det, er det virkelig svært, og det er den enkeltstående mest almindelige grund til, at folk henter nogen ind for en dag frem for et program. En indlejet intern auditor en eller to dage om året er normalt, accepteret og en dags arbejde frem for et program.

En generalprøve på fase 1. En time med en, der har siddet på auditorens side, og som går jeres afgrænsning, jeres SoA og jeres risikometode igennem før den rigtige fase 1. Vedkommende finder den udeladelse, I ikke kan begrunde, og de kriterier, I ikke kan forklare. Den time er den mest nyttige del af en konsulentopgave, og I kan købe den alene.

Hvad førstegangsvirksomheder overser

Det er den liste, læseren egentlig er her for. Den kommer fra gennemgang af spørgeskemaer og udkast til SoA'er for små virksomheder, og de samme fem ting dukker op næsten hver gang.

Politikker, der findes, men aldrig blev godkendt. En politik uden godkender og dato er et udkast, og et udkast er en afvigelse. Hver politik skal have et navn og en dato, og derefter en dato for gennemgang.

Overvågning og logning beskrevet i fremtid. "Vi vil centralisere logs" er et hul. Foranstaltningerne A.8.15 og A.8.16 vil have logs, der findes og gennemgås, med bevis for, at nogen har kigget.

Leverandører på listen, men aldrig vurderet. Næsten alle kan opregne deres underdatabehandlere. Næsten ingen kan vise, at de vurderede en, før de skrev under. Foranstaltningerne A.5.19 til A.5.23 vil have vurderingen, aftalen og den periodiske gennemgang, dateret.

"Ikke relevant" uden begrundelse. I et kundespørgeskema er det fint. I en erklæring om anvendelighed er en ubegrundet udeladelse en afvigelse, og begrundelsen skal være et argument, ikke en præference. "Vi er otte ansatte og har intet fysisk kontor" er et argument. "Ikke relevant" er ikke.

Beviser, der virkede én gang. En foranstaltning, der kørte for atten måneder siden, er ikke i drift. Auditorer tager stikprøver efter dato, og et skærmbillede fra måneden før auditten fortæller dem præcis, hvornår systemet sidst blev rørt.

Så det sjette, som ikke er en foranstaltning, men det, der afgør, om certifikatet overlever sit første år: Optegnelserne stopper efter auditten. Certificering er ikke målstregen. Overvågningsaudits kommer hvert år, og auditoren forventer, at registret, gennemgangene og beviserne har datoer ind imellem. De virksomheder, der certificerer sig alene med succes, er dem, der førte optegnelser løbende frem for at samle dem før hvert besøg.

Hvad kommer jeg til at overse? Læs registret

Spørgsmålet under alt dette er "hvad kommer jeg til at overse", og det ærlige svar er, at ethvert værktøj, enhver skabelon og enhver konsulent dækker nogle punkter fuldt og andre mindre, og forskellen bliver sjældent skrevet ned. Vi har skrevet vores ned.

Dækningsregistret for ISO 27001 opregner hvert punkt i standarden, hvad produktet holder for det, og hvor en post kun var delvist dækket og siden er blevet lukket, i klart sprog, med historikken bevaret. Det findes, fordi "hvad kommer jeg til at overse" fortjener en liste frem for en beroligelse, og fordi et register, der smigrede os, ikke ville være værd at læse.

Brug det som tjekliste, uanset om I bruger produktet eller ej. Hvert punkt på det er et punkt, auditoren vil spørge til.

Den omkostning, der ikke ændrer sig

Auditten. Auditordage kommer fra tabellerne i ISO/IEC 27006 efter afgrænsning og antal ansatte, så en virksomhed med 20 ansatte ligger omkring syv dage, uanset om en konsulent var med eller ej, til en dagspris, certificeringsorganet fastsætter. Regnestykket, med gennemregnede eksempler. At gøre det selv ændrer jeres interne omkostning og den dømmekraft, I optager. Det ændrer ikke auditgebyret, og den, der fortæller jer, at softwaren gør auditten billigere, sælger jer den nemme halvdel.

Anbefalingen

At gøre det selv er et rimeligt valg, især hvis nogen internt har gjort det før, eller afgrænsningen er lille. At gøre det meste selv og købe den interne audit og en generalprøve på fase 1 er det, mange virksomheder faktisk gør, og det er den ordning med det bedste forhold mellem købt dømmekraft og brugte penge. At hyre en fuld opgave er rimeligt, når ingen internt kan eje den, og certifikatet blokerer omsætning nu.

Det, der ikke er rimeligt, er at beslutte ud fra softwaren. Intet værktøj erstatter de fire vurderinger ovenfor. Det, et værktøj bør gøre, er at gøre den tilbagevendende halvdel til at leve med: politikker med datoer og ejere, beviser indsamlet efter en plan fra de systemer, hvor de allerede ligger, en SoA, der er et levende dokument, og en kalender, der ikke bliver tavs mellem certifikatet og det første overvågningsbesøg.

Optegnelser, der er komplette, daterede og uændrede den dag, auditoren beder om dem. Det er hele opgaven, og den varer hele året.

Kilder

  • ISO/IEC 27001:2022, afsnit 4 til 10, 6.1.3 d) (erklæring om anvendelighed), 9.2 (intern audit; objektivitet og upartiskhed), foranstaltninger i bilag A 5.1, 5.19 til 5.23, 8.15, 8.16.
  • ISO/IEC 27006-1:2024, bilag C (audittid), via Hvor mange auditordage tager ISO 27001.
  • ISO/IEC 17021-1:2015, punkt 9.6 (overvågning mindst én gang pr. kalenderår; recertificeringscyklus).
  • Listen "hvad førstegangsvirksomheder overser": metoden i vores gratis spørgeskemagennemgang, anvendt på små virksomheders SoA'er og spørgeskemaer.