STYRINGSSYSTEM FOR INFORMASJONS-SIKKERHET IHT. ISO27001

Etablering av ISMS

ISO 27001 beskriver styringssystem for informasjonssikkerhet. Det anbefales å benytte denne som mal, selv om man ikke ønsker å gjennomføre en sertifisering. Standarden beskriver aktuelle kontroll punkter for en virksomhet og er "Best practice" satt i system. Det anbefales derfor å benytte ISO 27001 som en mal/utgangspunkt for valg av kontrollpunkter. Et styringssystem for kvalitet og informasjons-sikkerhet kan med fordel kombineres, da mange av prosessene er felles.

Flere offentlige og private virksomheter setter nå krav til at tjenestetilbydere skal ha et informasjonssystem som er sertifisert iht. ISO 27001 før man inngår avtaler om outsourcing av tjenester eller konsulenttjenester.

Ved en etablering av styringsystem for informasjonssikkerhet iht. ISO 27001 oppnår virksomheten:

• En strukturert prosess for innføring og kontroll med informasjonssikkerheten i virksomheten
• Felles oppfatning om hva som er verdiene i virksomheten (i form av informasjon lagret i datasystemene)
• En oversikt over hvor virksomheten er sårbar
• Et konkret grunnlag for utarbeidelse av tiltaksplaner for å redusere sårbarheter (sikkerhetshull og svakheter i virksomhet og datasystemer)
• Et dokumentert sikkerhetsnivå for virksomheten
• Ved en sertifisering: -Konkurransefortrinn fremfor ikke sertifiserte virksomheter

ERFARING MED IMPLEMENTERING AV STYRINGSSYSTEM FOR INFORMASJONSSIKKERHET

Secode har fra firmaets oppstart i 1986 (System Sikkerhet) hatt et styringssystem for sikkerhet basert på krav fra det norske Forsvar. Dette systemet er nå en del av virksomhetens styringssystem, men revideres fortsatt jevnlig av Forsvaret.

Secode var blant de første i Norge (2001) som gjennomførte en sertifisering av informasjons-sikkerhet iht. BS 7799 og senere (2007) oppgradert til ISO 27001. Secode har bistått større og mindre virksomheter i implementering og sertifisering av informasjonssikkerheten iht. BS 7799-2 og ISO 27001

Secode har også utviklet verktøy som gir sikkerhetsansvarlig mulighet for å administrere og opprettholde alle sikkerhetstiltakene som er definert for virksomheten. Alle kravelementene i ISO 27001 er en del av dette verktøyet. Dette verktøyet gir en meget strukturert implementering prosess og er gunstig ved senere revisjoner og sertifiseringer.

En sertifisering eller en dokumentasjon om at man har et styringssystem for informasjonsikkerhet iht ISO 27001 vil kunne være avgjørende for valg av leverandør når tjenesten omfatter behandling av virksomhetskritisk eller personsensitiv informasjon.