ISO/IEC 27001 er den internationale standard for et ledelsessystem for informationssikkerhed, et ISMS. Den fulde titel er Information security, cybersecurity and privacy protection. Information security management systems. Requirements. Standarden beskriver ikke bestemte tekniske løsninger, men hvordan en organisation styrer sin sikkerhed.
2022-udgaven
Nyeste udgave er ISO/IEC 27001:2022, tredje udgave, som afløste 2013-udgaven. Tillægget Amd 1:2024 fra februar 2024 tilføjede et krav om at vurdere, om klimaforandringer er relevante for ledelsessystemet. Der kom ingen nye kontroller med tillægget.
Annex A i 2022-udgaven har 93 kontroller fordelt på fire temaer: 37 organisatoriske, 8 personrelaterede, 14 fysiske og 34 teknologiske. 2013-udgaven havde 114 kontroller i 14 afsnit. Kontrollerne er altså ikke fjernet, men slået sammen og omgrupperet.
Certificeret eller ikke certificeret
Det her er den vigtigste skelnen, og den bliver sløret i alt for mange leverandørpræsentationer.
"Vi følger ISO 27001-principperne" er en selverklæring. Der er ingen ekstern revision bag, og udsagnet kan ikke efterprøves.
"Vi er ISO 27001-certificeret" kræver et gyldigt certifikat. Det bør kunne dokumenteres med certifikatnummer, certificeringsorgan, scope og gyldighedsperiode. Kan leverandøren ikke levere de fire ting, er der ikke noget certifikat at tale om.
To ting mere er værd at vide. ISO udsteder ikke selv certifikater. Certificeringen udføres af uafhængige certificeringsorganer, som selv bør være akkrediterede, og i Danmark er akkrediteringsorganet DANAK. Og omfanget fastlægges af organisationen selv. En certificering gælder derfor kun det scope, virksomheden har afgrænset, ikke nødvendigvis hele virksomheden.
Sådan læser man et certifikat
Bed om selve certifikatet frem for et logo på en hjemmeside. Kig så på scopet. Står der én afdeling, ét produkt eller ét datacenter, dækker certifikatet det, og ikke den tjeneste du er ved at købe, hvis den ligger uden for.
Kig også på datoerne. Et certifikat har en gyldighedsperiode, og et udløbet certifikat siger kun noget om fortiden.
Når leverandøren håndterer identiteter
Spørgsmålet bliver konkret, når leverandøren behandler identitetsoplysninger for dig. Ved KYC er der navn og CPR-nummer i spil, og så er det rimeligt at ville se scopet på papiret.
Der findes også en anden vej, som ofte bliver overset: at reducere hvad der overhovedet passerer. Ved aldersverifikation kan svaret være et rent ja eller nej, og data, der aldrig bliver udleveret, skal ikke beskyttes af nogen.