ISO 27001-certifiering: så blir ni certifierade

Det första riktiga beslutet är hur stor del av verksamheten certifikatet ska omfatta. Omfattningen (scope) är den enskilt största hävstången på både kostnad och arbetsinsats, eftersom allt nedströms (riskbedömning, kontroller, bevis) dimensioneras av den. Ett certifikat som täcker en produkt och teamet bakom den är ett helt annat projekt än ett som täcker hela bolaget.

Se till att ledningen är med innan dess. ISO 27001 är en ledningssystemstandard, vilket i klartext betyder att kapitel 5 och 9.3 kräver att högsta ledningen sätter mål, avsätter resurser och går igenom systemet med jämna mellanrum. En revisor vill se att den genomgången faktiskt sker. Projekt kör fast när säkerhetsfunktionen driver certifieringen som sitt eget projekt och ledningen ser den som säkerhetsfunktionens problem.

Innan ni bygger något mäter ni avståndet mellan det ni har och det standarden vill ha. Den inventeringen är gap-analysen, och det är den som ger projektet en omfattning och en budget innan ni binder er. Vi har skrivit en hel guide om hur ni gör den: gap-analys enligt ISO 27001.

Fällan här är att bara bedöma bilaga A, de 93 kontrollerna, och strunta i kapitel 4 till 10, själva kraven på ledningssystemet. En organisation kan få fint resultat på kontrollerna och ändå sakna dokumenterad omfattning, internrevisionsprogram och ledningens genomgång. Inget av det är frivilligt, och det är precis det en certifieringsrevisor tittar på först.

ISO 27001 kräver egentligen ingen gap-analys. Den kräver en riskbedömning, och det är här certifieringsprojekt avgörs. Ni identifierar vad som kan gå fel med informationen inom er omfattning, bedömer hur sannolikt och hur allvarligt varje risk är, och beslutar hur den ska hanteras. Kontrollerna ni sedan inför ska gå att härleda till de besluten, inte till en generisk lista som någon kopierat ur standarden.

Det är också skillnaden mellan en gap-analys och en riskbedömning, som ständigt blandas ihop. Gap-analysen mäter hur långt ni är från standarden. Riskbedömningen avgör vad er organisation faktiskt behöver. Ni behöver båda, men det är riskbedömningen revisorn behandlar som icke förhandlingsbar.

Ur riskarbetet kommer det dokument revisorn läser före alla andra: er Statement of Applicability. Den listar var och en av de 93 kontrollerna i bilaga A, om de gäller för er, varför, och om de är införda. Att utesluta en kontroll är helt i sin ordning när motiveringen håller. ”Inte gjort än” förklätt till ”inte tillämpligt” är det snabbaste sättet att förvandla en brist till en avvikelse. Vi har en separat guide om hur ni skriver SoA:n rätt: så skriver ni en Statement of Applicability.

När en certifiering faller på steg 2 beror det sällan på att en brandvägg saknades. Det beror på att kapitel 9 inte var gjort. Innan en extern revisor certifierar er vill ISO 27001 att ni granskar er själva (en internrevision som täcker hela ledningssystemet) och håller en dokumenterad ledningens genomgång där ledningen tittar på resultatet och beslutar vad som ska ändras.

Båda måste ha hänt på riktigt, med protokoll, före den externa revisionen. Ni kan inte köra internrevisionen veckan innan och kalla det ett program. I praktiken betyder det att ni startar internrevisionen två till tre månader i förväg, åtgärdar det den hittar, och håller ledningens genomgång med verkliga underlag: revisionsfynd, incidenter och status på målen. De team som bygger ett ISMS men hoppar över de här två vanorna är de som blir överraskade på steg 2.

Själva certifieringen är två besök. Steg 1 är en dokumentgranskning: revisorn kontrollerar att ert ISMS finns på papperet och hänger ihop, att SoA, riskbedömning och policyer stämmer överens med varandra. Steg 2, oftast några veckor senare, prövar om verkligheten matchar papperet. Revisorn stickprovar kontroller, intervjuar dem som sköter dem, och letar efter glappet mellan vad dokumenten påstår och vad som faktiskt görs.

Fynden kommer som avvikelser, större eller mindre. En mindre avvikelse stänger ni oftast med en åtgärdsplan; en större måste vara åtgärdad innan certifikatet utfärdas. Klarar ni det håller ni ett certifikat i tre år, med en lättare uppföljningsrevision år ett och två och omcertifiering år tre.

Rakt svar, för ett medelstort svenskt företag: räkna med sex till tolv månader och en total kostnad första året någonstans i intervallet 200 000 till 600 000 kronor, när ni räknar in intern tid, eventuell konsulthjälp, verktyg och själva revisionen. Enbart den externa certifieringsrevisionen ligger vanligen på 60 000 till 150 000 kronor, med lägre årliga uppföljningsrevisioner.

Det som brukar förvåna är att revisionsavgiften är den lilla posten. Den stora kostnaden är interna timmar, och den näst största är att hålla systemet levande efter år ett. Två saker sänker totalen mer än något annat: att avgränsa scope hårt så att ni inte certifierar hela världen, och att återanvända dokumentation ni redan har i stället för att skriva varje policy från ett tomt dokument.

Certifikatet är ingen mållinje. Det gäller i tre år, och uppföljningsrevisionerna år ett och två finns till för att kontrollera en enda sak: att det ISMS ni certifierades på fortfarande fungerar. En gap-analys från i våras beskriver ett företag som inte längre finns, så ledningssystemet måste vara något levande snarare än en pärm ni öppnar inför varje revision. Vi driver den tesen här: er gap-analys ska vara levande.

Det är den löpande modellen Aquils Compliance Assistant är byggd för. Den håller reda på samtliga 93 kontroller i bilaga A med en status och en skriftlig motivering var, och länkar de dokument och körbara processer som används som bevis. Ett godkännandesteg på varje svar knyter det till en namngiven person och en tidsstämpel. SoA:n exporteras direkt ur bedömningen när revisorn frågar. Har ni inte kommit så långt än är den kostnadsfria GDPR-nivån ett enkelt sätt att se hur modellen fungerar innan ni ger er på ISO 27001-bygget.