Informationssäkerhet ISO 27001

Information är en av verksamhetens viktigaste tillgångar. Det kan handla om kunddata, personuppgifter, ritningar, systemkod, avtal, affärskritiska dokument eller kunskap som är avgörande för att organisationen ska fungera. När information inte hanteras på ett säkert och strukturerat sätt kan konsekvenserna bli stora för både verksamheten, kunderna och förtroendet.

Med ISO 27001 får ni ett tydligt ramverk för att arbeta systematiskt med informationssäkerhet. Standarden hjälper organisationer att identifiera risker, införa rätt skydd, skapa tydliga ansvar och följa upp att säkerhetsarbetet fungerar över tid. Det gör informationssäkerhet ISO 27001 till mer än ett tekniskt projekt. Det blir en naturlig del av verksamhetens styrning.

Ecowise hjälper företag, organisationer och myndigheter att bygga, införa och utveckla ledningssystem för informationssäkerhet. Vi stöttar er från nulägesanalys och riskhantering till policyer, rutiner, implementering, internrevision och förberedelse inför certifiering.

Vad är ISO 27001?

ISO/IEC 27001 är den internationella kravstandarden för ledningssystem för informationssäkerhet, ofta kallat LIS eller ISMS. Standarden anger vilka krav ett ledningssystem behöver uppfylla för att organisationen ska kunna arbeta strukturerat med informationssäkerhet, riskhantering och ständig förbättring.

Den aktuella versionen är ISO/IEC 27001:2022. Standarden kan användas av organisationer i alla storlekar och branscher, eftersom den är generell och kan anpassas efter verksamhetens risker, behov och omfattning.

Ett vanligt missförstånd är att ISO 27001 bara handlar om IT-säkerhet. I praktiken är det ett styrningsramverk för hela organisationen. Det omfattar människor, processer, teknik, leverantörer, dokumentation, ansvarsfördelning, uppföljning och förbättring.

Ett ISMS ledningssystem hjälper er att svara på frågor som:

1. Vilken information är mest kritisk för vår verksamhet?
2. Vilka risker behöver vi hantera?
3. Vilka skyddsåtgärder är rimliga och tillräckliga?
4. Vem ansvarar för vad?
5. Hur följer vi upp att arbetet faktiskt fungerar?
6. Hur kan vi visa kunder, revisorer och andra intressenter att vi har kontroll?

ISO 27001 kan användas både av organisationer som vill certifiera sig och av organisationer som vill arbeta mer strukturerat utan att direkt gå mot certifiering.

Kontakta oss

Varför är informationssäkerhet viktigt?

Informationssäkerhet handlar om att skydda information så att den är tillgänglig för rätt personer, korrekt när den används och skyddad från obehörig åtkomst. Det brukar ofta beskrivas som informationens konfidentialitet, riktighet och tillgänglighet.

Men vad är informationssäkerhet i praktiken?

Det är att veta vilken information ni har, var den finns, vem som får använda den, vilka risker som finns och vilka åtgärder som krävs för att skydda den. Det kan handla om behörigheter, säkerhetskopior, leverantörsavtal, incidentrutiner, utbildning, dokumentation och tydliga arbetssätt.
När informationssäkerheten brister kan det leda till dataläckor, driftstörningar, förlorad eller manipulerad information, skadat kundförtroende, problem i upphandlingar, regulatoriska konsekvenser och ökade kostnader för incidenthantering.

Frågan “vad är cybersäkerhet?” dyker ofta upp i samma sammanhang. Cybersäkerhet fokuserar vanligtvis på skyddet av digitala system, nätverk och tekniska miljöer. Informationssäkerhet är bredare och omfattar även processer, människor, fysisk hantering, dokumentation, leverantörer och styrning.

Därför behöver informationssäkerhet inte bara ägas av IT. Det behöver vara en del av verksamhetens ledning, riskarbete och vardagliga arbetssätt.

Vem passar ISO 27001 för?

ISO 27001 passar organisationer som vill arbeta mer strukturerat med informationssäkerhet, oavsett om målet är certifiering, kundkrav, intern kontroll eller förberedelse inför nya lagkrav.

Standarden är särskilt relevant för:

• IT-bolag och SaaS-bolag
• Konsultbolag och kunskapsintensiva verksamheter
• Organisationer som hanterar personuppgifter eller kunddata
• Företag som levererar till större kunder eller offentlig sektor
• Organisationer med krav i upphandlingar
• Offentliga aktörer och samhällsviktiga verksamheter
• Bolag som vill stärka sitt arbete kopplat till NIS2, GDPR och leverantörsstyrning
• Verksamheter som redan har ISO 9001 eller ISO 14001 och vill bygga vidare med informationssäkerhet

ISO 27001 kan användas av både små och stora organisationer. Det viktiga är att omfattningen, alltså scopet, blir rätt. Ett för brett scope kan göra projektet onödigt tungt. Ett för smalt scope kan göra att viktiga risker hamnar utanför.

För mindre organisationer handlar ett lyckat ISO 27001-arbete ofta om att börja pragmatiskt. Det betyder rätt scope, tydlig riskbedömning, lagom dokumentation och ett arbetssätt som går att använda i vardagen.

Läs mer: ISO 27001-certifiering för liten organisation.

Behöver ni stöd? Ecowise är ISO 27001-konsult för organisationer som vill ha ett praktiskt, tydligt och verksamhetsnära införande.

Kom igång med ISO 27001

Tidigare kundcase

ISO 27001 inom IT – informationssäkerhet som en naturlig del av vardagen

adesso Sweden AB behövde ett strukturerat och verifierbart arbetssätt för informationssäkerhet. Tillsammans med Ecowise byggdes ett integrerat ledningssystem där ISO 27001 blev en naturlig del av den dagliga verksamheten – med tydliga processer, riskhantering och uppföljning.

Så här beskriver adesso vårt arbete tillsammans

”Vi valde att anlita Ecowise när vi skulle bygga upp ett ledningssystem från grunden. De kombinerar gedigen kompetens med ett genuint engagemang och en förmåga att göra komplexa standardkrav begripliga och hanterbara i vardagen.”

Ecowise har varit helt ovärderliga som bollplank och vägvisare genom hela processen – särskilt när vi har kört fast i detaljer och tolkningar av krångliga krav. Med deras stöd har vi kunnat bygga ett ledningssystem som både uppfyller standarderna och faktiskt fungerar i praktiken för oss och våra medarbetare.

Spineweb är idag samlingsplatsen för vårt ledningssystem och det underlättar enormt att ha allt samlat i en digital plattform där vi kan arbeta systematiskt med kvalitet, miljö och informationssäkerhet.”

Helena Bendz

Sales Manager / Delivery Manager / Quality Coordinator, adesso Sweden AB

Så hjälper Ecowise er med ISO 27001, steg för steg

Ett ISO 27001-projekt behöver vara strukturerat, men det behöver inte vara krångligt. Ecowise hjälper er att översätta standardens krav till praktiska aktiviteter, tydliga dokument och arbetssätt som fungerar i verksamheten.

1. Uppstart och scope

Vi börjar med att förstå er verksamhet, era mål och varför ni vill arbeta med ISO 27001. Det kan handla om kundkrav, upphandlingar, regulatoriska krav, intern riskstyrning eller ett beslut om certifiering.
Tillsammans sätter vi ett tydligt scope för ledningssystemet. Det innebär att vi avgränsar vilka delar av verksamheten, vilka tjänster, platser, system, processer och informationstillgångar som ska omfattas.
Ett bra scope gör projektet hanterbart och ger en tydlig grund för resten av arbetet.

2. Gap-analys

Nästa steg är att analysera nuläget. Vi går igenom vad ni redan har på plats och jämför det med kraven i ISO 27001.
Det kan handla om befintliga policyer, rutiner, riskbedömningar, leverantörsprocesser, incidenthantering, dokumentstyrning, informationsklassning, utbildning och uppföljning.
Resultatet blir en konkret åtgärdsplan som visar vad som behöver tas fram, uppdateras eller implementeras. Mer om gap-analys för ISO 27001.

3. Riskhantering och informationsklassning

Riskhantering är kärnan i ISO 27001. Vi hjälper er att identifiera viktiga informationstillgångar, klassificera information och bedöma vilka risker som behöver hanteras.
Det kan till exempel handla om risker kopplade till kunddata, personuppgifter, molntjänster, systembehörigheter, leverantörer, driftavbrott, incidenter eller bristande rutiner.
När riskerna är tydliga blir det också lättare att välja rätt skyddsåtgärder och prioritera arbetet.

4. Policyer och rutiner

Vi hjälper er att ta fram eller uppdatera de styrdokument som behövs. Det kan exempelvis vara informationssäkerhetspolicy, riskhanteringsrutin, incidentrutin, leverantörsrutin, behörighetsrutin, kontinuitetsrutiner och dokumentstyrning.
Målet är inte att skapa onödigt många dokument. Målet är att skapa dokument som är begripliga, användbara och möjliga att följa upp.

5. Implementering i verksamheten

När strukturen finns på plats behöver arbetssättet införas i vardagen. Det innebär att ansvar tydliggörs, medarbetare informeras, rutiner börjar användas och valda kontroller implementeras.
Här hjälper vi er att gå från teori till praktik. Ett ledningssystem är först värdefullt när det används av verksamheten.

6. Internrevision och ledningens genomgång

Innan en eventuell extern certifieringsrevision behöver ni själva följa upp att ledningssystemet fungerar. Det görs bland annat genom internrevision och ledningens genomgång.
Internrevisionen visar om arbetssätten följs och om det finns brister som behöver åtgärdas. Ledningens genomgång säkerställer att ledningen får rätt underlag för beslut om resurser, mål, risker och förbättringar.

7. Certifieringsstöd

Om ni vill certifiera er mot ISO 27001 hjälper Ecowise er att förbereda processen. Vi stöttar inför certifieringsrevisionen, hjälper till med åtgärder efter granskning och kan bistå i kontakten med certifieringsorgan.

Som ISO 27001-konsult i Sverige hjälper vi er att skapa ett ledningssystem som både uppfyller standardens krav och fungerar i praktiken.

ISO 27001-certifiering, hur går det till?

En ISO 27001-certifiering innebär att ett oberoende certifieringsorgan granskar ert ledningssystem för informationssäkerhet och bedömer om det uppfyller kraven i ISO/IEC 27001.
Certifiering är frivillig, men för många organisationer blir den affärsmässigt viktig. Ett ISO 27001-certifikat kan stärka förtroendet i kunddialoger, underlätta upphandlingar och visa att organisationen arbetar strukturerat med informationssäkerhet.

Certifieringsprocessen består vanligtvis av två steg.

Stage 1, dokumentgranskning

I det första steget granskar certifieringsorganet ledningssystemets upplägg och dokumentation. De tittar bland annat på scope, policyer, riskmetod, riskbedömning, SoA, internrevision och ledningens genomgång.
Syftet är att bedöma om ni är redo för den mer omfattande certifieringsrevisionen.

Stage 2, verifiering i verksamheten

I det andra steget granskas hur ledningssystemet fungerar i praktiken. Det räcker alltså inte att dokumenten finns. Organisationen behöver kunna visa att rutiner används, att risker hanteras, att åtgärder följs upp och att ledningen är involverad.

Efter godkänd revision kan certifikat utfärdas. Därefter följer normalt en treårig certifieringscykel med återkommande övervakningsrevisioner och senare omcertifiering.

För att certifieringen ska vara trovärdig bör certifieringsorganet vara ackrediterat för ISO 27001.

Påbörja certifiering

Läs mer: Vad kostar ISO 27001-certifiering?

Spineweb ledningssystem för informationssäkerhet – ett verktyg för ISO 27001

Ett ledningssystem för informationssäkerhet blir betydligt lättare att använda när risker, dokument, ansvar, lagkrav, leverantörer, mätetal och avvikelser finns samlade på ett ställe.

Med Spineweb kan ni arbeta digitalt och systematiskt med flera av de delar som krävs i ett ISO 27001-ledningssystem. Det gör det enklare att skapa spårbarhet, följa upp ansvar och visa evidens vid internrevision, kundgranskningar och certifiering.

Vad kräver ISO 27001?

ISO 27001 ställer krav på att organisationen arbetar systematiskt med informationssäkerhet. Det innebär att ni behöver förstå verksamhetens kontext, identifiera krav och risker, införa lämpliga åtgärder, följa upp resultatet och förbättra arbetet över tid.

Kravstrukturen i ISO 27001 bygger på klausul 4 till 10. Förenklat kan de förstås så här:

Kontext

Ni behöver förstå verksamheten, omvärlden, intressenterna och de krav som påverkar informationssäkerheten. Det kan handla om kundkrav, lagkrav, upphandlingskrav, avtal, interna mål och verksamhetens beroenden.

Här fastställs också ledningssystemets scope. Det innebär vilka delar av organisationen, vilka tjänster, processer, system och informationstillgångar som omfattas.

Ledarskap

Ledningen behöver vara aktivt involverad. ISO 27001 fungerar inte som ett isolerat IT-projekt vid sidan av verksamheten. Ledningen behöver säkerställa riktning, resurser, ansvar, policy och uppföljning.

När ledningen äger frågan blir informationssäkerhet en del av verksamhetsstyrningen, inte bara en teknisk kontrollista.

Planering

Organisationen behöver identifiera risker och möjligheter, ta fram en riskmetod och planera hur informationssäkerhetsrisker ska behandlas. Här ingår även informationssäkerhetsmål och planering av förändringar.

Det är i denna del som riskbedömning, riskbehandling och Statement of Applicability (SoA) blir centrala.

Stöd

För att ledningssystemet ska fungera behövs resurser, kompetens, medvetenhet, kommunikation och styrd dokumentation. Medarbetare behöver förstå vad som gäller, varför det är viktigt och hur de ska agera i sin roll.
Det räcker inte att dokument finns. De behöver vara beslutade, tillgängliga, aktuella och använda.

Drift

Här omsätts planerna i praktiken. Riskbedömningar genomförs, åtgärder införs, leverantörer hanteras, incidenter fångas upp och operativa processer styrs.

Det är här ledningssystemet går från dokument till vardag.

Uppföljning

Organisationen behöver följa upp hur informationssäkerhetsarbetet fungerar. Det sker genom mätetal, internrevision, uppföljning av risker, kontroll av åtgärder och ledningens genomgång.

Syftet är att kunna se vad som fungerar, vad som behöver förbättras och vilka beslut som behöver fattas.

Förbättring

När avvikelser, incidenter eller brister upptäcks ska de hanteras systematiskt. Det innebär att organisationen inte bara åtgärdar det akuta problemet, utan också analyserar orsaken och genomför korrigerande åtgärder.

Ett fungerande ledningssystem för informationssäkerhet blir därför aldrig färdigt en gång för alla. Det utvecklas i takt med verksamheten, tekniken, hotbilden och kraven från omvärlden.

Praktiskt behöver ni ofta ha detta på plats:

1. Tydligt scope för ledningssystemet
2. Informationssäkerhetspolicy
3. Identifierade interna och externa krav
4. Kartläggning av informationstillgångar
5. Informationsklassning
6. Riskbedömning och riskbehandling
7. Statement of Applicability (SoA)
8. Rutiner och styrdokument
9. Dokumenthantering och versionsstyrning
10. Leverantörsstyrning
11. Incidenthantering
12. Mål och mätetal
13. Internrevision
14. Ledningens genomgång
15. Avvikelsehantering och korrigerande åtgärder

En bra ISO 27001-checklist handlar därför inte om att samla flest dokument. Den handlar om att visa att ni har ett fungerande, riskbaserat och uppföljningsbart arbetssätt.

Ta kontakt för offert

Läs fler relaterade sidor:

Skillnaden mellan ISO 27001 och ISO 27002
ISO 27001 och NIS2
ISO 27001 och GDPR

Vanliga frågor om ISO 27001