Vägen till en ISO 27001-certifiering börjar med att etablera ett ledningssystem (ISMS) och identifiera era informationssäkerhetsrisker. Processen kräver en gapanalys mot standardens krav, implementering av säkerhetsåtgärder och slutligen en extern revision för att bekräfta att ni arbetar systematiskt med säkerhet.
Här guidar vi dig genom de fem avgörande stegen mot certifiering – från förberedelse till revision.
1. Förberedelser för certifiering
Först måste ni ta ett beslut. Det här är ett strategiskt vägval som ledningen måste stå bakom. Det kostar tid och pengar, men ger stort värde.
Ska ni göra jobbet själva eller ta hjälp? Många anlitar konsulter, och det finns bra skäl till det.
Fördelar med konsulter:
- Erfarenhet: Det är svårt att bygga ett ledningssystem (ISMS) från noll om man aldrig gjort det förr.
- Objektivitet: Utomstående experter ser risker ni kanske missar ("hemmablindhet").
- Effektivitet: Det sparar tid. Ni gör rätt från början och slipper uppfinna hjulet på nytt.
Men kom ihåg: Även om ni tar hjälp är det ni som måste äga arbetet. Det är er säkerhet det handlar om. En konsult kan visa vägen, men ni måste gå den.
2. GAP-analys och implementering
Nu börjar det riktiga arbetet. Först gör ni en GAP-analys. Den jämför ert nuläge med kraven i standarden. Resultatet blir en "att-göra-lista" på allt som saknas.
Hur lång tid tar det? Räkna med 3 till 12 månader.
- Litet bolag: Kanske 3-6 månader om ni är snabba.
- Medelstort bolag: Oftast 6-8 månader.
- Stort bolag: 12 månader eller mer.
Det beror helt på hur mycket ni redan har på plats.
Under den här tiden bygger ni ert ledningssystem (LIS). Ni skapar policys, skriver rutiner och – viktigast av allt – utbildar personalen. Det tar tid eftersom ni ofta måste ändra hur ni jobbar i vardagen. Det är en kulturförändring, inte bara pappersarbete.
3. Val av certifieringsorgan
När ni känner er redo är det dags för examen. Nu ska ni välja ett ackrediterat revisionsbolag som ska granska er.
Tänk på detta när ni väljer leverantör:
- Kompetens: Har de erfarenhet av er bransch? En revisor som kan mjukvara förstår era utmaningar bättre än en som mest jobbar med tillverkning.
- Pris: Jämför offerter. Se till att allt ingår (resor, certifikatsavgift, etc.).
- Kemi: Ni ska leva med dem i tre år. Det är viktigt att ni kan prata med varandra.
Ta in offerter från flera bolag. Billigast är inte alltid bäst. Ni vill ha en revisor som ger värdefulla insikter, inte bara en stämpel.
4. Certifieringsrevision
Revisionen är uppdelad i två steg för att ge er en chans att rätta till fel.
Steg 1: Dokumentgranskning: Revisorn kollar era papper. Har ni alla policys som krävs? Har ni gjort riskanalyser? Detta görs ofta på distans. Målet är att se om ni är redo för nästa steg. Om ni har stora brister får ni veta det här.
Steg 2: Certifieringsrevision: Nu kommer revisorn till er. De intervjuar personal, kollar i system och letar bevis på att ni faktiskt gör som ni säger. De letar efter avvikelser.
Efteråt får ni en rapport.
- Inga avvikelser? Grattis, ni rekommenderas för certifiering!
- Mindre avvikelser? Ni måste ta fram en plan för att fixa dem.
- Större avvikelser? Ni måste åtgärda felet och kanske göra om revisionen.
När allt är godkänt får ni ert certifikat! Det är giltigt i tre år.
5. Underhåll av certifieringen
Många tror att jobbet är slut när certifikatet hänger på väggen. Det är fel. Det är nu jobbet börjar på riktigt.
ISO 27001 handlar om ständiga förbättringar.
- Årliga uppföljningar: En gång om året kommer revisorn tillbaka. De kollar en del av systemet för att se att ni inte slappnat av.
- Omcertifiering: Vart tredje år görs en stor revision, liknande den första. Då går man igenom hela systemet igen.
Det här tvingar er att hålla säkerheten på topp. Ni kan inte luta er tillbaka, utan måste hela tiden bli lite bättre.
Aspekter att överväga vid en ISO-certifiering
Utmaningar att se upp för
ISO 27001 är bra, men det finns fallgropar.
- Teori vs Praktik: Det är lätt att skriva fina policys, men svårt att få alla att följa dem.
- Tolkningar: Konsulter kan tycka olika. Det kan skapa frustration.
- Resurser: Det kostar tid och pengar.
Mindre företag väljer ibland att "följa standarden" utan att certifiera sig. Det är ett bra första steg, men ger inte samma tyngd mot kunder.
