ISO 27001 ja NIS-2: näin yritykset rakentavat tietoturvallisuuden auditointivarmaksi

Johdanto: Kyberturvallisuudesta on tullut johdon asia

Kiristysohjelmahyökkäykset, vaarantuneet toimitusketjut ja päivittäiset tietojenkalasteluaallot: digitaalisen tilan uhkatilanne on saavuttanut historiallisen huippunsa. Samalla lainsäätäjä kiristää otettaan. Eurooppalaisella NIS-2-direktiivillä kyberturvallisuusvelvoitteita laajennettiin rajusti, ja ne koskevat nyt kymmeniätuhansia yrityksiä, jotka eivät tähän asti ole pitäneet itseään ”kriittisenä infrastruktuurina”.

Erityisen kiperää on se, että toimitusjohtajat vastaavat vastedes velvoitteiden laiminlyönneistä osin henkilökohtaisesti omalla yksityisvarallisuudellaan.

Tätä taustaa vasten kansainvälinen standardi ISO/IEC 27001 on monille organisaatioille muuttunut pelkästä IT-statussymbolista olemassaolon kannalta välttämättömäksi turvaksi. Miten ISO 27001 ja NIS-2 kytkeytyvät toisiinsa? Ja miten voidaan ottaa käyttöön tietoturvallisuuden hallintajärjestelmä (ISMS), joka ei ole olemassa vain paperilla vaan kestää sekä auditoinnin että todellisuuden?

Mitä ISO/IEC 27001 säätelee?

ISO/IEC 27001 on maailman johtava standardi tietoturvallisuuden hallintajärjestelmille. Standardin tavoitteena on suojata tietoturvallisuuden kolmea perusarvoa (niin sanottua CIA-kolmiota):

• Luottamuksellisuus (Confidentiality): Vain valtuutetuilla henkilöillä on pääsy arkaluonteiseen dataan.
• Eheys (Integrity): Data on oikeaa ja täydellistä sekä suojattu luvattomalta muuttamiselta.
• Käytettävyys (Availability): Järjestelmät ja tiedot ovat käytettävissä silloin, kun niitä tarvitaan.

Ratkaisevaa on se, että ISO 27001 ei ole pelkkä IT-standardi. Se tarkastelee tietoturvallisuutta kokonaisvaltaisesti. Siihen kuuluvat fyysinen turvallisuus (kulunvalvonta), organisatoriset prosessit (toipumisohjeet, työntekijän lähtöprosessi) sekä henkilöstöön liittyvät toimenpiteet (tietoisuuskoulutukset, turvallisuusohjeet).

ISO 27001 ja NIS-2 suorassa vertailussa

Moni yritys kysyy: ”Jos olemme sertifioituja ISO 27001 -standardin mukaan, olemmeko samalla automaattisesti täyttäneet NIS-2-vaatimukset?”

Rehellinen vastaus kuuluu: 80–90-prosenttisesti kyllä.

NIS-2-direktiivi asettaa sitovat vähimmäisvaatimukset muun muassa seuraavilla alueilla:

• Riskianalyysit ja tietojärjestelmien turvallisuus
• Tietoturvapoikkeamien hallinta (Incident Handling), mukaan lukien tiukat ilmoitusajat (esimerkiksi 24 tunnin ennakkovaroitus)
• Liiketoiminnan jatkuvuuden ylläpito (Business Continuity ja varmuuskopioinnin hallinta)
• Toimitusketjun turvallisuus (Supply Chain Security)
• Salaus ja pääsynhallinta

Juuri nämä alueet katetaan jäsennellysti ISO/IEC 27001 -standardin Annex A:lla (nykyisessä versiossa 93 kontrollia neljässä aihealueessa). Organisaatio, joka osoittaa elävän ISO 27001 -standardin mukaisen ISMS:n, on jo dokumentoinut, ottanut käyttöön ja auditoituttanut NIS-2:n edellyttämät tekniset ja organisatoriset toimenpiteet. Ainoastaan erityiset lakisääteiset ilmoitusreitit kansallisille viranomaisille on täydennettävä operatiivisesti.

Toimivan ISMS:n rakentaminen viidessä vaiheessa

Onnistunut ISMS ei synny yhdessä yössä, mutta sen voi toteuttaa tehokkaasti selkeällä fokuksella:

1. Soveltamisalan määrittely

Määritelkää tarkasti, mitkä yrityksen osat, toimipaikat, tuotteet tai palvelut ISMS kattaa. Monilla IT-palveluntarjoajilla tämä käsittää aluksi pilvi-infrastruktuurin ja ydinsovellukset.

2. Riskinarviointi ja riskien käsittely

Tunnistakaa tärkeimmät tietovarannot (Information Assets): asiakasdata, lähdekoodi, tuotantosuunnitelmat. Mitä uhkia ja haavoittuvuuksia on olemassa? Mitkä riskit pienennetään teknisillä toimenpiteillä (esimerkiksi monivaiheinen tunnistautuminen ja segmentointi), mitkä hyväksytään tai vakuutetaan?

3. Soveltuvuuslausunto (Statement of Applicability – SoA)

SoA:ssa dokumentoitte, mitkä 93 Annex A -kontrollista ovat yrityksellenne olennaisia ja miten ne on toteutettu. Jos kontrolleja jätetään soveltamatta, tämä on perusteltava johdonmukaisesti.

4. Ohjeet ja henkilöstön tietoisuus

Turvallisuus kaatuu useimmin inhimilliseen tekijään. Vakiinnuttakaa ymmärrettävät käytännöt (siisti työpöytä, salasanakäytännöt, mobiililaitteiden käsittely) ja järjestäkää säännöllisiä koulutuksia sekä simuloituja tietojenkalastelutestejä.

5. Sisäinen auditointi ja johdon katselmus

Ennen kuin ulkoinen auditoija saapuu, sisäiset auditoijat tarkastavat järjestelmän perusteellisesti. Johto arvioi tunnusluvut ja osoittaa resurssit korjaaville toimenpiteille.

Sertifioinnin hyödyt asiakkaille ja kumppaneille

Lakisääteisten velvoitteiden ohella ISO 27001 -standardilla on valtava kaupallinen vipuvaikutus:

• Nopeammat myyntisyklit: Suuryritysasiakkaat vaativat ennen sopimusta monisivuisia turvallisuuskyselyitä. Tunnustetun ISO 27001 -sertifikaatin myötä tämä työ jää yleensä kokonaan pois.
• Kilpailuetu tarjouskilpailuissa: Julkiset hankkijat ja säännellyt toimialat (pankit, vakuutusyhtiöt, autoteollisuus) eivät usein päästä sertifioimattomia toimittajia edes esittelytilaisuuteen.
• Kyberresilienssin vahvistaminen: Jäsennelty prosessi varmistaa, että tietoturva-aukot suljetaan ennen kuin hyökkääjät ehtivät hyödyntää niitä.

Yhteenveto

ISO 27001 on nykyään perusta jokaiselle yritykselle, joka luo arvoa digitaalisesti. Se muuttaa epämääräiset turvallisuushuolet mitattaviksi prosesseiksi ja suojaa johtoa vastuuriskeiltä.

Suunnitteletteko ISO 27001 -sertifiointia?
cert-authority.com-sivustolla kokeneet asiantuntija-auditoijamme saattavat teidät läpinäkyvästi ja kumppanimaisesti auditointiprosessin läpi. Tutustukaa hintoihimme ja paketteihimme.