Kort svar
En del av ISO 27001 kan du ställa in själv: beskriva dina processer, bedöma risker och genomföra åtgärder. Men certifikatet själv får du inte utfärda. Det görs av en oberoende, ackrediterad certifieringsenhet som bedömer din organisation enligt standarden. Att göra det själv och att outsourca är därför inte två separata val, utan två steg i samma process.
Huruvida du behöver ett rådgivningsföretag beror främst på hur mycket tid, kunskap och intern kapacitet du själv har. För ett litet företag med en överblickbar IT-miljö är det ofta fullt möjligt att själv genomföra systemets inrättning. För en organisation med flera verksamhetsställen, leverantörer och system tar denna process vanligtvis så många timmar att vägledning förkortar processen.
Vad är ISO 27001 exakt?
ISO 27001 är en internationell standard för informationssäkerhet. Standarden beskriver ingen tekniska produkter, utan ett system av överenskommelser: hur du bedömer risker, vilka åtgärder du motsätter dessa och hur du underhåller detta system. Detta helhet kallas ISMS, informationssäkerhetsledningssystemet. Ett certifikat visar att en oberoende part har prövar detta system, inte att ingenting någonsin kan gå fel.
Vad du själv kan göra
Inrättningen av ISMS själv är i princip inte ett arbete som enligt lag är förbehållet en extern part. Du kan själv: göra en inventering av vilken information och vilka system du skyddar, genomföra en riskanalys, upprätta policy och procedurer, genomföra åtgärder såsom åtkomstkontroll och säkerhetskopieringar, och göra en intern granskning för att kontrollera att allt faktiskt genomförs enligt dokumentationen. Många företag gör detta med en fast anställd som tar på sig rollen som informationssäkerhetschef, tillsammans med en mall eller handlingsplan.
Utmaningen är mindre innehållet än fullständigheten. Standarden kräver ett stort antal ömsesidigt beroende komponenter, och en certifieringsenhet prövar just huruvida ingenting fattas. Den som gör detta för första gången underskattar ofta hur mycket dokumentation och bevis som behövs för att visa att en åtgärd inte bara existerar, utan också genomförs.
Vad du inte kan göra själv: certifieringsenheten
Certifikatet själv kommer från en certifieringsenhet som är ackrediterad för att pröva mot ISO 27001-standarden. Denna enhet genomför en extern granskning, vanligtvis i två faser: först en granskning av dokumentationen, sedan en granskning i praktiken. Du kan inte genomföra denna steg internt, inte ens med en mycket erfaren anställd: oberoende av granskaren är en del av vad certifikatet är värt. Du väljer själv vilken ackrediterad enhet du anlitar.
Vad ett rådgivningsföretag tillför
Ett rådgivningsföretag ersätter inte certifieringsenheten, utan hjälper med steget innan: inrättningen och ordnandet av ISMS så att den externa granskningen har större möjlighet att lyckas. Detta kan gälla strukturering av befintlig dokumentation, utbildning av anställda, eller vägledning av den interna granskningen. För företag utan egen IT- eller compliance-avdelning sparar detta framför allt tid: någon som redan känner till standarden behöver inte söka upp varje del på nytt.
Huruvida denna tidsbesparing motiverar kostnaderna för ett rådgivningsföretag varierar beroende på organisation. Ett företag med en enda verksamhetsställe och ett överblickbar applikationslandskap har en kortare väg än ett företag med flera verksamhetsställen och många externa parter i kedjan.
Är ISO 27001 alltid nödvändig, eller finns det ett alternativ?
Inte alla kunder som kräver påvisbar informationssäkerhet kräver bokstavligen ett ISO 27001-certifikat. Vissa kunder accepterar en självevaluering, en enkät eller ett uttalande om de viktigaste åtgärderna, särskilt om ditt företag är litet eller har begränsad åtkomst till kundens känsliga data. Det är därför klokt att först kontrollera vad din kund exakt frågar efter innan du påbörjar en certifieringsprocess. förklaringen per ämne i kunskapsbanken visar vilka begrepp som ofta ligger bakom sådan en fråga och hur de förhåller sig till varandra.
Supplia.eu certifierar eller bedömer ingenting och kan därför inte avgöra om din organisation uppfyller standarden. Det vi gör är att känna igen kundens enkät och fylla i svaren från en leveransfilsdossier, så att du inte behöver förklara varje gång vilka åtgärder du redan har vidtagit. Med ett par frågor ser du ungefär var din situation stårutan att detta säger något om själva certifieringsprocessen.
Vad du kan göra nu
Börja med att ta reda på om din kund kräver ett certifikat eller är nöjd med ett väl underbyggt svar på enkäten. Titta sedan på hur mycket av ISMS du redan informellt har på plats: risker, åtkomstkontroll, säkerhetskopior och incidenthantering är ofta redan delvis på plats, även utan att någon har kallat det så. Först när du vet vad som saknas är det meningsfullt att avgöra om du hanterar det själv eller tar in ett rådgivningsföretag för steget mot certifieringsorganisationen.
På sidan om hur informationen på supplia.eu kommer till stånd kan du läsa var vår förklaring kommer ifrån, så att du kan kontrollera den tillsammans med standarden själv. Om du fortfarande är osäker på om din situation kräver ett certifikat gör du den kostnadsfria snabbkontrollen eller titta på vanliga frågor om enkäter och bevis för en första vägledning.