Opnå ISO 27001-compliance med en effektiv ISMS-løsning

ISO/IEC 27701 er standarden for privatlivsbeskyttelse, som så dagens lys i august 2019. Den hedder ”Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management - Requirements and guidelines".

Ifølge Dansk Standard er det et ledelsesværktøj, som giver indblik i de arbejdsgange og foranstaltninger, som organisationer bør etablere for at opnå en passende beskyttelse af personoplysninger.

Den er en udvidelse af ISO 27001 for informationssikkerhed. Den udbygger dermed standarden med specielle krav til behandling af personoplysninger ud fra hensynet til den registrerede, som oplysningerne handler om.

ISO/IEC 27001-certificering er ikke et lovkrav, men mange organisationer vælger at implementere standarden for at drage fordel af ISO's bedste praksis og opnå konkurrencefordele.

Certificering giver en robust ramme for effektiv informationssikkerhedsstyring, hvilket gør det muligt for organisationer at proaktivt mindske risikoen for cyberangreb og begrænse virkningen af datalækager.

Nogle af fordelene ved at opnå ISO 27001-certificering inkluderer:

• Forbedret tillid og tillid fra interessenter
• Øget kundetilfredshed og loyalitet
• Forbedret omdømme og troværdighed
• Forbedret risikostyring og beslutningstagning
• Større effektivitet og produktivitet i håndteringen af informationssikkerhed
• Overholdelse af lovkrav og regulative krav.

SoA (Statement of Applicability) er en statusopgørelse for din organisations arbejde med informationssikkerhed – og er en integreret del af ISO 27001-standarden. I praksis er det en erklæring af, hvilket informationssikkerhedsniveau en organisation aktivt har besluttet sig for i en given proces, og hvorfor de respektive til- og fravalg er taget. Det fungerer derfor som en form for bindeled mellem en organisations risikovurdering og risikobehandling. 

Grunden til at et SoA-dokument kan være et uundværligt værktøj i forbindelse med informationssikkerheden, skyldes, at dokumentet vil indeholde begrundelserne for, hvorfor visse foranstaltninger er valgt fra, mens andre er valgt til. Det betyder i sagens natur, at organisationen ikke kan undgå at tage stilling til alle informationssikkerhedskontroller – også dem der ikke er aktuelle i det respektive tilfælde.

ISMS står for Information Security Management System og er et ledelsessystem til styring af organisationers informationssikkerhed. Med et effektivt ISMS kan organisationer sikre forretningskontinuitet ved proaktivt at mitigere riskoen for cyberangreb samt begrænse virkningen af et evt. databrud.

Det kræver overblik og indsigt i organisationens afdelinger og arbejdsgange at implementere et passende niveau af informationssikkerhed. ISO 27001 kan med fordel anvendes som udgangspunkt for arbejdet med informationssikkerhed. Selvom standarden stille ikke direkte krav til specifikke sikkerhedsforanstaltninger, beskriver den best practices til håndtering af sikkerheden både internt og eksternt gennem dets 114 Anneks A-kontrolmål.

Målet er at beskytte tre vigtige aspekter af information:

• Fortrolighed – at oplysninger ikke er tilgængelige eller videregives til uautoriserede personer, enheder eller processer.
• Integritet – at oplysninger er komplette og nøjagtige, og at de er beskyttet mod korruption.
• Tilgængelighed – at oplysningerne er tilgængelige og anvendelige for autoriserede brugere.