Hvorfor så mange spørgeskemaer ligner ISO 27001
ISO 27001 er den mest udbredte standard for informationssikkerhed, og Annex A er en liste over kontroller grupperet efter temaer. Når en kundes sikkerhedsteam skriver et spørgeskema, er Annex A den tjekliste, de tager udgangspunkt i, også selv om spørgeskemaet aldrig nævner ISO. Derfor kommer spørgsmålene i en genkendelig rækkefølge: politikker og organisation, mennesker, fysisk sikkerhed, teknologi.
Temaerne, og hvad hvert af dem spørger om
Organisatoriske kontroller. Har du en informationssikkerhedspolitik, hvem ejer sikkerheden, hvordan er roller defineret, hvordan styrer du leverandører, hvordan klassificerer du information, hvordan håndterer du hændelser, hvordan planlægger du kontinuitet, og hvilke juridiske og kontraktlige forpligtelser har du. Det er den største gruppe og den, hvor skriftlige politikker betyder mest.
Personrelaterede kontroller. Screening før ansættelse, ansættelsesvilkår, træning i sikkerhedsbevidsthed, disciplinær proces, hvad der sker, når nogen fratræder, fortrolighedsaftaler, regler for fjernarbejde.
Fysiske kontroller. Sikre områder, adgangskontrol, beskyttelse mod miljøtrusler, udstyrssikkerhed, ryddeligt skrivebord og ryddet skærm, sikker bortskaffelse. For en cloudvirksomhed besvares det meste af dette med hostingudbyderens certificering, plus det du gør med bærbare computere og kontorer.
Teknologiske kontroller. Slutpunktsenheder, privilegeret adgang, adgangsbegrænsning, godkendelse, kapacitetsstyring, beskyttelse mod malware, sårbarhedsstyring, logning og overvågning, backup, redundans, netværkssikkerhed, kryptografi, sikker udvikling, ændringsstyring, testdata, kodegennemgang.
At svare med et certifikat
Hvis du er certificeret, besvarer certifikatet, dets omfang og anvendelseserklæringen en stor del af ethvert ISO-præget spørgeskema. Vedhæft certifikatet, gengiv omfanget ordret (dem, der gennemgår, tjekker, at den tjeneste, de køber, er dækket af det), og besvar hvert tema ud fra anvendelseserklæringen: hvilke kontroller der gælder, hvordan de er implementeret, og hvem der ejer dem. Forvent spørgsmål om den seneste opfølgningsaudit og eventuelle afvigelser.
Besvarelse uden én
Du kan stadig besvare hver række. For hver kontrol skal du sige, om du har den, hvordan den er implementeret, hvem der har ansvaret for den, og hvor dokumentationen er; og for dem, du ikke har, skal du sige det og forklare, hvad du gør i stedet, eller hvornår den er planlagt. En leverandør med klare, ærlige svar og en plan består ofte en kundes gennemgang; en leverandør med et certifikat og vage svar gør det nogle gange ikke.
Behold kortlægningen, ikke spørgeskemaerne
Den samme Annex A-kontrol vil blive spurgt om i hvert spørgeskema fra nu af, med forskellige ord. Behold ét godkendt svar pr. kontrol med dokumentation og dato, og udarbejd hvert spørgeskema ud fra det. I Responsemate bor det svar ét sted i vidensbasen, med sin fil og sin udløbsdato, og hvert spørgeskema udarbejdes ud fra det med kilden vist på hver række. Viden i Responsemate.
Spørgsmål, folk stiller
Har vi brug for ISO 27001-certificering for at besvare et ISO 27001-spørgeskema?
Nej. Spørgeskemaet spørger, om du har kontrollerne, ikke om en revisor har kontrolleret dem. Et certifikat giver dig mulighed for at besvare mange rækker med "certificeret, se certifikatet og anvendelseserklæringen", uden et besvarer du hver række ud fra indholdet.
Hvad er anvendelseserklæringen?
Dokumentet i et ISO 27001-system, der oplister hver Annex A-kontrol og angiver, om den gælder for dig, og hvordan den er implementeret. Dem, der gennemgår og kender ISO, beder om det, fordi det besvarer det meste af deres spørgeskema i ét dokument.