ISO 27001 og NIS-2: Slik gjør virksomheter informasjonssikkerheten revisjonssikker

Innledning: Cybersikkerhet har blitt en sak for toppledelsen

Løsepengeangrep, kompromitterte leverandørkjeder og daglige phishing-bølger: Trusselbildet i det digitale rommet har nådd et historisk høydepunkt. Samtidig strammer lovgiveren grepet. Med det europeiske NIS-2-direktivet er pliktene innen cybersikkerhet kraftig utvidet – og de gjelder nå titusenvis av virksomheter som hittil ikke har sett på seg selv som «kritisk infrastruktur».

Særlig alvorlig: Daglige ledere kan ved pliktbrudd fremover i noen tilfeller holdes personlig ansvarlige med sin private formue.

Mot denne bakgrunnen har den internasjonale standarden ISO/IEC 27001 for mange organisasjoner gått fra å være et rent IT-statussymbol til å bli en eksistensiell livsforsikring. Men hvordan griper ISO 27001 og NIS-2 inn i hverandre? Og hvordan etablerer man et ledelsessystem for informasjonssikkerhet (ISMS) som ikke bare finnes på papiret, men som tåler både revisjon og virkelighet?

Hva regulerer ISO/IEC 27001?

ISO/IEC 27001 er verdens ledende standard for ledelsessystemer for informasjonssikkerhet. Målet med standarden er å beskytte de tre grunnverdiene i informasjonssikkerhet (den såkalte CIA-triaden):

• Confidentiality (konfidensialitet): Bare autoriserte personer har tilgang til sensitive data.
• Integrity (integritet): Data er korrekte, fullstendige og beskyttet mot uautorisert manipulering.
• Availability (tilgjengelighet): Systemer og informasjon er tilgjengelige når de trengs.

Det avgjørende er: ISO 27001 er ikke en ren IT-standard. Den ser informasjonssikkerhet helhetlig. Det omfatter fysisk sikkerhet (adgangskontroll), organisatoriske prosesser (beredskapshåndbøker, offboarding av medarbeidere) og personrettede tiltak (bevissthetstrening og sikkerhetsretningslinjer).

ISO 27001 og NIS-2 i direkte sammenligning

Mange virksomheter stiller spørsmålet: «Hvis vi er sertifisert etter ISO 27001, har vi da også oppfylt NIS-2 automatisk?»

Det ærlige svaret er: Ja, i 80 til 90 prosent.

NIS-2-direktivet formulerer bindende minstekrav på områder som:

• Risikoanalyser og sikkerhet for informasjonssystemer
• Håndtering av sikkerhetshendelser (incident handling), inkludert strenge meldefrister (for eksempel tidlig varsling innen 24 timer)
• Opprettholdelse av driften (business continuity og sikkerhetskopiering)
• Sikkerhet i leverandørkjeden (supply chain security)
• Kryptering og tilgangskontroll

Nettopp disse områdene dekkes strukturert av Annex A i ISO/IEC 27001 (i gjeldende utgave med sine 93 kontroller i 4 temaområder). Den som kan vise til et levende ISMS etter ISO 27001, har allerede dokumentert, satt i drift og fått revidert de tekniske og organisatoriske tiltakene som NIS-2 krever. Bare spesifikke lovpålagte meldingsveier til nasjonale myndigheter må suppleres i den daglige driften.

Oppbyggingen av et virksomt ISMS i 5 steg

Et vellykket ISMS oppstår ikke over natten, men kan med tydelig fokus innføres effektivt:

1. Definer virkeområdet (scope)

Fastsett nøyaktig hvilke virksomhetsområder, lokasjoner, produkter eller tjenester ISMS-et skal dekke. For mange IT-leverandører omfatter dette i første omgang skyinfrastrukturen og kjerneapplikasjonene.

2. Risikovurdering og risikohåndtering

Identifiser de viktigste verdiene (information assets): kundedata, kildekode og produksjonsplaner. Hvilke trusler og sårbarheter finnes? Hvilke risikoer reduseres med tekniske tiltak (for eksempel flerfaktorautentisering og segmentering), og hvilke aksepteres eller forsikres?

3. Erklæring om anvendelse (Statement of Applicability – SoA)

I SoA dokumenterer du hvilke av de 93 kontrollene i Annex A som er relevante for virksomheten, og hvordan de er gjennomført. Hvis kontroller utelates, må det begrunnes på en overbevisende måte.

4. Retningslinjer og bevissthet hos medarbeiderne

Sikkerhet svikter oftest på grunn av mennesket. Etabler forståelige retningslinjer (clean desk, passordregler og håndtering av mobile enheter), og gjennomfør regelmessig opplæring og simulerte phishing-tester.

5. Intern revisjon og ledelsens gjennomgang

Før den eksterne revisoren kommer, gjennomgår interne revisorer systemet grundig. Ledelsen vurderer nøkkeltallene og frigir ressurser til utbedringer.

Fordelene ved sertifisering overfor kunder og partnere

Utover lovpålagte plikter har ISO 27001 en enorm kommersiell effekt:

• Raskere salgssykluser: Store bedriftskunder krever sidevis med sikkerhetsspørreskjemaer før kontrakt inngås. Med et anerkjent ISO 27001-sertifikat faller dette arbeidet som regel helt bort.
• Konkurransefortrinn i anbud: Offentlige oppdragsgivere og regulerte bransjer (bank, forsikring og bilindustri) slipper ofte ikke usertifiserte leverandører inn i det hele tatt.
• Styrket cyberresiliens: En strukturert prosess sørger for at sikkerhetshull lukkes før angripere utnytter dem.

Konklusjon

ISO 27001 er i dag fundamentet for enhver virksomhet som skaper digitale verdier. Den gjør vage sikkerhetsbekymringer om til målbare prosesser og beskytter ledelsen mot erstatningsansvar.

Planlegger du ISO 27001-sertifisering?
Hos cert-authority.com følger vi deg transparent og i partnerskap gjennom revisjonsprosessen med erfarne fagrevisorer. Få oversikt over våre priser og pakker.