ISO 27001 anger krav på ett certifierbart ledningssystem för informationssäkerhet. CIS Controls, ofta kallat CIS 18, prioriterar konkreta åtgärder för cybersäkerhet. De kan kombineras: ISO 27001 styr riskarbetet, medan CIS hjälper er välja och genomföra åtgärder.
ISO 27001 fokuserar på hur säkerhetsarbetet styrs, dokumenteras och följs upp genom riskhantering och governance. CIS 18 fokuserar istället på vilka säkerhetsåtgärder som faktiskt ska implementeras i praktiken.
Organisationer väljer ofta ISO 27001 när de behöver certifiering eller möta kundkrav, medan CIS 18 används för att snabbt höja den tekniska säkerhetsnivån och förbättra den operativa cyberhygienen.
Nedan jämför vi CIS 18 och ISO 27001 utifrån certifiering, kostnader, implementation och användningsområde.
Vad är ISO 27001?
ISO 27001 är en internationell standard för informationssäkerhet som används av organisationer globalt för att etablera ett Information Security Management System (ISMS).
Under din ISO 27001-certifiering bygger du en styrd process. Du gör riskanalys, riskbehandling och kontinuerlig förbättring som i PDCA-cykeln. Du bestämmer nödvändiga säkerhetsåtgärder utifrån riskbehandlingen och jämför urvalet med Annex A för att kontrollera att inget nödvändigt skydd saknas. Egna kontroller kan också behövas. Standarden kräver omfattande dokumentation, policyer och extern audit för certifiering.
Exempel: Ditt företag genomför en riskbedömning enligt ISO 27001. Ni identifierar att molnlagring och leverantörsarbete utgör höga risker. Ni väljer relevanta kontroller från Annex A (t.ex. A.5.19 om leverantörsrelationer, A.5.23 om molntjänster). Ni dokumenterar er riskbehandlingsplan och genomför intern audit inför certifieringen.
Vad är CIS 18?
CIS Critical Security Controls v8.1 (med 18 kontrollområden, ofta kallat CIS 18) är en preskriptiv säkerhetsguide. Den är utvecklad av Center for Internet Security och baserad på analys av verkliga cyberattacker. Det är ett av de mest använda kontrollramverken för praktisk cybersäkerhet.
CIS 18 ger konkreta, åtgärdsbara säkerhetskontroller som är prioriterade efter effektivitet mot kända hot. Kontrollerna är uppdelade i grupper (Implementation Groups). IG1 innehåller grundläggande säkerhetsåtgärder. IG2 och IG3 bygger vidare på dem. Välj grupp utifrån riskprofil, kompetens och resurser, inte enbart företagets storlek; se CIS vägledning om implementationsgrupper.
Ingen formell certifiering krävs, utan arbetet är självbedömt. Ni behöver inte en ISO-certifieringsrevision för att använda CIS Controls. Nedladdningen är kostnadsfri, men kontrollera CIS licensvillkor, särskilt för kommersiell användning. Införande och verktyg kan fortfarande kosta pengar.
Exempel: Ni implementerar CIS IG1 (grundläggande säkerhet). Det inkluderar att hålla tillgångsregister aktuella, uppdatera programvara och använda multifaktorautentisering för administrativa konton. Automatisk inventering och central logginsamling hör till ytterligare safeguards; kontrollera vilka som ingår i er valda grupp.
Jämförelse mellan CIS 18 och ISO 27001
De två standarderna tjänar olika syften.
Nedan ser du en översiktlig jämförelse:
| Aspekt | ISO 27001 | CIS 18 |
|---|---|---|
| Typ | Ledningssystem (ISMS) | Teknisk implementationsguide |
| Fokus | Styrning och processtänk | Konkreta säkerhetskontroller |
| Flexibilitet | Riskbaserat - du väljer kontroller | Preskriptivt - definierade kontroller |
| Certifiering | Extern certifiering möjlig | Självbedömt |
| Dokumentation | Omfattande policyer och processer | Fokus på implementation |
| Prioritering | Baserat på din riskanalys | Implementationsgrupper (IG1-IG3) |
| Tidsåtgång | Beror på omfattning, nuläge och resurser | Beror på nivån/implementationsgruppen du väljer |
Att komma ihåg: ISO 27001 ger er strukturen för att styra säkerhet och compliance. CIS 18 ger er de konkreta kontroller som stärker er cyberhygien.
Så kombinerar ni ramverken i praktiken
Börja med en identifierad risk, inte med två separata checklistor. Om administratörskonton saknar stark autentisering kan arbetet se ut så här:
- Beskriv risken och utse en ägare. Dokumentera vilka system som berörs och vad obehörig åtkomst skulle innebära.
- Välj åtgärd och kontrollera omfattningen. CIS kan ge praktisk vägledning om multifaktorautentisering. Bestäm vilka konton och tjänster som ska täckas.
- Knyt åtgärden till riskbehandlingen. Dokumentera beslutet och bedöm hur det relaterar till er tillämplighetsförklaring.
- Spara bevis på genomförandet. Exempel är konfigurationsunderlag och granskning av konton som fortfarande saknar skydd.
- Kontrollera effekten. Testa att kravet fungerar och att undantag har ansvarig och slutdatum.
En mappning mellan ramverken hjälper er hitta samband. Den bevisar inte i sig att en åtgärd är genomförd eller att standardens krav är uppfyllda.
Risker, krav och åtgärder kan följas upp i ChainSecs GRC-stöd. Omfattas ni av cybersäkerhetslagen behöver ni dessutom se vad som skiljer lagen från standarden; läs NIS2 vs ISO 27001.
Vanliga frågor
Vilken säkerhetsstandard ska jag välja - CIS 18 eller ISO 27001?
Ramverken kompletterar varandra. Välj ISO 27001 om kunder eller partner kräver certifiering, om ni behöver den för att visa att krav följs eller om ni vill styra säkerhetsarbetet med ett ledningssystem. Välj CIS 18 om ni behöver praktisk vägledning för tekniska skyddsåtgärder. Många använder CIS Controls för att införa flera av åtgärderna i ISO 27001:s bilaga A (Annex A).
Kan vi kombinera CIS 18 och ISO 27001 samtidigt?
Ja. ISO 27001 ger struktur för riskbedömning, ansvar och uppföljning. CIS Controls kan ge praktisk vägledning när ni väljer och genomför säkerhetsåtgärder.
Hur mappar CIS 18 mot ISO 27001 i praktiken?
Center for Internet Security tillhandahåller officiella mappningar. De visar hur CIS Controls relaterar till kontrollerna i bilaga A till ISO 27001. Använd mappningen för att hitta samband och kontrollera vilka versioner den gäller. Ni behöver fortfarande bedöma vilka åtgärder som behövs och verifiera att de fungerar.
Vilken säkerhetsstandard är lättast att komma igång med?
CIS IG1 ger en prioriterad start för praktiska säkerhetsåtgärder. ISO 27001 börjar med att avgränsa ledningssystemet, fördela ansvar och bedöma risker. Åtgärder kan införas samtidigt som ledningssystemet byggs; det finns ingen bestämd förberedelsetid som gäller alla.
Vad kostar det att implementera och certifiera enligt ramverken?
CIS Controls går att ladda ned gratis. Att införa åtgärderna tar däremot tid och kan kräva nya verktyg. För ISO 27001 behöver ni räkna med kostnader för standarden, eget arbete, eventuellt konsultstöd och revisioner för certifieringen. Begär offerter för det som ert ledningssystem ska omfatta. Ett allmänt prisintervall är inte ett säkert underlag.
