Sådan laver du en ISO 27001-risikovurdering for din virksomhed

Annonce – sponsoreret indhold.

En ISO 27001 risikovurdering er den systematiske gennemgang, hvor din virksomhed finder ud af, hvilke oplysninger der er værd at beskytte, hvad der kan gå galt, og hvor sandsynligt og alvorligt det er. Hvis du er tømrer, elektriker, ejendomsmægler, boligadministrator eller driver en interiørbutik, og en større kunde eller et udbud pludselig spørger til din informationssikkerhed, er det her, du skal begynde. Du behøver hverken en IT-afdeling eller en certificering for at komme i gang. Du skal bruge et overblik, en enkel metode og nogle ærlige svar på, hvor dine følsomme data faktisk ligger. Denne guide tager dig gennem forløbet trin for trin og viser, hvornår det kan betale sig at hente hjælp udefra.

Hvorfor en ISO 27001 risikovurdering kommer før alt andet

ISO/IEC 27001 er den internationale standard for et ledelsessystem for informationssikkerhed, ofte forkortet ISMS. Standarden foreskriver ikke en fast liste af tiltag, som alle virksomheder skal indføre. Den kræver i stedet, at du selv afgør, hvilke tiltag der er nødvendige, og det afgør du netop gennem en risikovurdering. Kravene til processen står i standardens afsnit 6.1.2 og 6.1.3. Her skal virksomheden fastlægge en metode, identificere risici, vurdere dem og beslutte, hvordan de håndteres.

Risikovurderingen styrer altså resten af arbejdet. Den afgør, hvilke af kontrollerne i standardens Annex A du skal bruge. Annex A rummer 93 kontroller i den nuværende udgave, ISO 27001:2022. Den danner grundlag for din Statement of Applicability, som beskriver, hvilke kontroller du har valgt til og fra og hvorfor. Og den giver ledelsen et konkret beslutningsgrundlag i stedet for mavefornemmelser. En virksomhed, der springer risikovurderingen over og går direkte til at skrive politikker, ender ofte med dokumenter, der ikke passer til virkeligheden.

Derfor starter forløbet typisk med en ISO 27001 risikovurdering, hvor du kortlægger dine vigtigste informationsaktiver og de risici, der truer dem. Hos rådgivere sker det ofte som en del af en foranalyse eller GAP-analyse. Her sammenholdes virksomhedens nuværende arbejde med standardens krav, og resultatet bliver en prioriteret handlingsplan. Principperne er de samme, uanset om du gør det selv eller sammen med en specialist.

Det kan lyde tungt, men for en virksomhed med ti medarbejdere er en grundig første risikovurdering ofte et spørgsmål om nogle få workshops og et par ugers opfølgning. Det afgørende er ikke antallet af sider, men at vurderingen afspejler, hvordan I rent faktisk arbejder.

Hvilke virksomheder i bolig- og håndværksbranchen møder kravet

Kravene kommer sjældent fra en myndighed, der banker på. De kommer fra kunder, bygherrer og samarbejdspartnere, der selv er forpligtet til at sikre deres leverandørkæde. Det betyder, at en lille virksomhed kan blive mødt med spørgsmål om informationssikkerhed uden at have set det komme.

Typiske situationer

• Tømrere og entreprenører, der er underleverandører på større byggeprojekter. Totalentreprenøren eller bygherren vil vide, hvordan I håndterer tegninger, projektdata, adgangskoder til byggepladsportaler og billeddokumentation.
• Elektrikere og VVS-installatører, der idriftsætter smart home-systemer, alarmer, adgangskontrol og ladestandere. I kommer til at kende adgangskoder, netværksopsætninger og nogle gange koder til kundens alarm.
• Interiørbutikker og indretningsarkitekter, der gemmer kundekartoteker, tilbud, planløsninger, fotos fra private hjem og leveringsadresser med oplysninger om, hvornår ingen er hjemme.
• Ejendomsmæglere, der håndterer sælgeres og købers personoplysninger, økonomiske oplysninger, ID-dokumenter og nøgler til boliger, der står tomme.
• Boligadministratorer og ejerforeningsadministratorer, der sidder på beboerlister, vedligeholdelsesplaner, nøgle- og adgangssystemer samt bankoplysninger for mange ejendomme på én gang.
• Vagt-, rengørings- og servicefirmaer, der har fysisk adgang til boliger og erhvervslokaler og ofte opbevarer nøgler eller koder centralt.

Hvor kravene kommer fra

Kravene kan have flere kilder. Offentlige og større private udbud stiller i stigende grad spørgsmål om informationssikkerhed, og nogle beder om ISO 27001-certificering eller dokumentation for tilsvarende styring. Store kunder sender sikkerhedsspørgeskemaer som led i leverandørstyring. Hvis kunden er omfattet af NIS2-reglerne, som i Danmark er implementeret i cybersikkerhedsloven, kan kravene også blive videregivet i kontrakter til leverandører. Byggebranchen i sig selv er ikke automatisk omfattet, men du kan blive berørt som underleverandør. Om og hvordan din virksomhed er omfattet, kan du få afklaret hos Center for Cyber Sikkerhed, som hører under Forsvarets Efterretningstjeneste, eller via din brancheorganisation.

Dertil kommer databeskyttelsesreglerne. GDPR stiller krav om passende tekniske og organisatoriske sikkerhedsforanstaltninger, og Datatilsynet er den myndighed, du skal forholde dig til, hvis du behandler personoplysninger om kunder, lejere eller beboere. En risikovurdering er et naturligt redskab til at dokumentere, at du har tænkt over det.

Afgræns omfanget og vælg en metode, der kan bruges i praksis

Før du kortlægger noget, skal du beslutte, hvad vurderingen omfatter. I ISO 27001 kaldes det scope. Et klart scope forhindrer, at du forsøger at vurdere alt på én gang og taber pusten, før du har noget at handle på.

Beslut scope

Spørg dig selv, hvilke dele af virksomheden kunderne bekymrer sig om. Hvis kravet kommer fra en bygherre, kan scope være projektstyring, tegningsmateriale og kommunikation i byggesager. Hvis du er ejendomsmægler, handler det nok om sagsbehandling og håndtering af nøgler og personoplysninger. Skriv scope ned i et par sætninger: hvilke afdelinger, hvilke lokationer, hvilke systemer og hvilke medarbejdere.

Fastlæg ansvar og deltagere

Ledelsen skal eje risikovurderingen. Det er ikke en teknisk opgave, men en forretningsbeslutning om, hvilke risici virksomheden vil leve med. Udpeg derfor én ansvarlig, som ofte er direktøren eller kontorlederen. Inddrag desuden en eller to medarbejdere, der kender det daglige arbejde, for eksempel en sjakbajs, en indkøber eller en bogholder. De ved, hvor tingene faktisk går galt.

Vælg en enkel risikometode

Standarden kræver en defineret og gentagelig metode, men ikke en bestemt model. For små virksomheder fungerer en simpel matrix godt:

• Sandsynlighed vurderes på en skala fra 1 (usandsynlig) til 3 eller 5 (meget sandsynlig).
• Konsekvens vurderes på samme skala, fra mindre ubehag til alvorlig skade på kunder, økonomi eller omdømme.
• Risikoniveauet beregnes som sandsynlighed ganget med konsekvens.
• Du fastsætter på forhånd, hvilket niveau der kræver handling, og hvilket du kan acceptere.

Det vigtigste er, at skalaerne har klare beskrivelser. “Høj konsekvens” kan for eksempel betyde, at en kundes alarmkode eller adresseoplysninger kan misbruges, eller at et projekt stopper i flere dage. Når beskrivelserne er skrevet ned, bliver vurderingerne mere ensartede, og du kan gentage processen næste år og sammenligne resultaterne.

Trin 1 og 2: Kortlæg aktiver og find trusler og sårbarheder

Selve vurderingen begynder med et overblik over, hvad du skal beskytte, og hvad der kan true det.

Trin 1: Kortlæg dine informationsaktiver

Et informationsaktiv er alt, hvad der har værdi for virksomheden, og som ville gøre skade, hvis det forsvandt, blev ødelagt eller faldt i de forkerte hænder. Det er ikke kun it-udstyr. Aktiver kan opdeles i grupper:

• Information: kundekartotek, tilbud, kontrakter, tegninger, fotos fra byggepladser og private hjem, lønoplysninger, ansættelseskontrakter.
• Adgange og legitimationer: nøgler, nøglebokse, alarmkoder, adgangskoder til kunders smart home-systemer, WiFi-koder, login til byggepladsportaler og leverandørsystemer.
• Systemer og tjenester: mail, regnskabsprogram, tidsregistrering, projektstyring, fælles drev som OneDrive, Google Drive eller Dropbox, backupløsninger.
• Udstyr: medarbejdernes telefoner og tablets, bærbare computere, værkstedets pc, netværksdisk, printere, router.
• Mennesker og viden: nøglemedarbejdere, som ene om at kende bestemte systemer eller koder.
• Eksterne leverandører: hostingpartner, bogholderibureau, it-supporter, softwareleverandører.

Lav en simpel liste i et regneark med kolonnerne aktiv, placering, ejer og værdi. Skriv også, hvad aktivet betyder for fortrolighed (må ikke ses af uvedkommende), integritet (må ikke ændres uden kontrol) og tilgængelighed (skal være til rådighed, når det skal bruges). Overvej for hvert aktiv, hvad der sker, hvis det forsvinder i en uge. For en elektriker kan det være værre at miste adgang til projektdokumentation end at miste en enkelt laptop.

Trin 2: Identificér trusler og sårbarheder

En trussel er noget, der kan forårsage skade. En sårbarhed er en svaghed, som truslen kan udnytte. Risikoen opstår, når begge dele mødes. En ransomware-angreb er en trussel, og en netværksdisk uden opdateringer og offline backup er sårbarheden.

Typiske trusler i bolig- og håndværksbranchen er:

• Phishing og fakturasvindel: falske mails, der udgiver sig for at være fra leverandør, bank eller kunde, og som får dig til at ændre et kontonummer eller taste login ind.
• Tab eller tyveri af udstyr: en telefon eller tablet, der ligger i varevognen, uden skærmlås eller kryptering.
• Delte adgangskoder: en fælles kode til kundens smart home-system, der står i en WhatsApp-gruppe eller på en post-it i bilen.
• Tidligere medarbejdere og freelancere: adgange, der aldrig bliver lukket, efter en medarbejder stopper.
• Nøgler og koder uden kontrol: en nøglebox uden log over, hvem der har taget hvilken nøgle.
• Ukontrolleret deling af filer: projektmapper delt med link, som alle med adressen kan åbne.
• Menneskelige fejl: en mail sendt til forkert modtager med kundens personoplysninger, eller forkert sletning af en projektmappe.
• Nedbrud og tab af data: et defekt drev, en brand på kontoret eller en leverandør, der lukker et system ned.
• Fysisk adgang: uvedkommende i værkstedet, på kontoret eller i butikken, hvor skærme og papirer er synlige.

Brug workshoppen til at gennemgå aktiverne ét ad gangen og stille to spørgsmål: Hvad kan gå galt? Og hvad gør det muligt? Det giver ofte mere konkrete svar end en generel liste fra en skabelon. Hvis I bruger mobiler til at tage billeder af kunders badeværelser, og billederne automatisk lander i en privat sky, har I fundet en sårbarhed, som ingen generisk checkliste ville have nævnt.

Trin 3: Vurdér sandsynlighed og konsekvens

Når aktiver og trusler er beskrevet, skal hver risiko vurderes. Her bruger du den metode, du valgte tidligere. Undgå at overtænke tallene. Formålet er at skelne de store risici fra de små, ikke at beregne noget præcist.

Sådan vurderer du sandsynligheden

Tag udgangspunkt i, hvad der allerede er sket hos jer eller hos andre i branchen. Hvis medarbejdere jævnligt mister mobiler på byggepladser, er sandsynligheden høj. Hvis I aldrig har haft nogen uvedkommende på værkstedet, men døren står åben hele dagen, er den moderat. Tag højde for de tiltag, I allerede har, for eksempel automatiske opdateringer, tofaktorlogin eller en fast procedure for udlevering af nøgler.

Sådan vurderer du konsekvensen

Vurdér skaden på flere dimensioner: økonomisk tab, driftsstop, skade på kunders tillid, brud på kontrakter og eventuelle følger efter GDPR. Hvis en kundes alarmkode og adresse kommer ud, er konsekvensen langt større end ved tab af en intern arbejdsseddel. Hvis I mister adgang til tilbud og økonomisystem i flere dage, kan det betyde forsinkede fakturaer og dermed likviditetsproblemer.

Et eksempel på et lille risikoregister

Et risikoregister samler resultaterne. Det kan se således ud i en forenklet udgave med skala fra 1 til 3:

Tallene er blot et eksempel på formen. Dine egne vurderinger skal bygge på din virksomheds virkelighed og din egen skala.

Trin 4: Prioritér indsatserne og beslut, hvad der skal gøres

Når risiciene har fået et niveau, sorterer du dem fra højeste til laveste. Det er her, risikovurderingen bliver til en handlingsplan. Standarden kalder det risikohåndtering, og du har groft sagt fire muligheder for hver risiko:

1. Reducere risikoen ved at indføre en kontrol, for eksempel tofaktorlogin, en adgangskodeadministrator, kryptering af telefoner eller en nøglelog.
2. Undgå risikoen ved at stoppe den aktivitet, der skaber den, for eksempel ved at holde op med at gemme kunders alarmkoder i egne systemer.
3. Overføre risikoen ved at flytte en del af ansvaret, for eksempel til en professionel hostingleverandør eller via en cyberforsikring. Ansvaret for dine kunders data forsvinder dog ikke af den grund.
4. Acceptere risikoen, hvis niveauet er lavt, eller hvis det koster mere at håndtere, end det kan forårsage i skade. Accepten skal være en bevidst ledelsesbeslutning og dokumenteres.

For hver risiko, du vil reducere, skriver du en konkret handling, en ansvarlig person og en frist. En god handlingsplan er kort. Seks til ti prioriterede tiltag, som bliver gennemført, er bedre end halvtreds, som ingen når at starte på. Start med de risici, der både er høje og forholdsvis billige at afhjælpe. Skift af delte adgangskoder til en adgangskodeadministrator og aktivering af tofaktorlogin på mail og regnskabsprogram er klassiske eksempler, som ofte rykker mere end dyre investeringer.

Efter beslutningerne er restrisikoen den risiko, der er tilbage, når tiltagene er på plads. Den skal godkendes af ledelsen. Til sidst opdaterer du din Statement of Applicability, så hver relevant kontrol fra Annex A er markeret som implementeret, planlagt eller ikke relevant, med en begrundelse. Hvis du kun vil bruge risikovurderingen som internt styringsværktøj og ikke skal certificeres, kan du nøjes med risikoregister og handlingsplan.

Sådan griber du det an uden egen IT-afdeling

Manglen på en IT-afdeling er ikke en hindring. Informationssikkerhed handler langt mere om vaner, ansvar og beslutninger end om teknik. Her er en praktisk fremgangsmåde for små virksomheder.

Start med en halv dags workshop

Saml ledelsen og to eller tre medarbejdere fra forskellige funktioner. Gennemgå scope, lav aktivlisten på en tavle eller i et delt dokument, og brainstorm trusler. Brug den næste halve dag til at vurdere sandsynlighed og konsekvens. Mange små virksomheder har mere viden i hovedet, end de tror, og det er netop den viden, der skal ned på papir.

Brug det, I allerede har

Hvis I allerede har en GDPR-fortegnelse over behandlingsaktiviteter, er den en god kilde til aktivlisten. Det samme gælder leverandøroversigter, kontrakter med databehandlere og eventuelle sikkerhedsspørgeskemaer, I tidligere har udfyldt for kunder. Tidligere hændelser, selv de små, er guld værd som grundlag for sandsynlighedsvurderingerne.

Gør de simple ting først

Uden at have gennemført en komplet risikovurdering kan du allerede nu sikre en række grundlæggende forhold:

• Tofaktorlogin på mail, skylagring og regnskabsprogram.
• En adgangskodeadministrator i stedet for fælles koder i chat eller på sedler.
• Skærmlås og kryptering på alle telefoner, tablets og bærbare computere.
• Automatiske opdateringer på computere, telefoner og netværksudstyr.
• Backup, der også ligger uden for kontorets netværk, og som I har prøvet at gendanne fra.
• En fast procedure for, hvornår en medarbejders adgange lukkes, og hvordan nøgler og koder afleveres.
• En nøglelog, der viser, hvem der har haft hvilke kundenøgler, og hvornår de er afleveret.

Dette kan kombineres med en kort, praktisk guide til medarbejderne. Den behøver ikke fylde mere end en side: hvad man gør, hvis telefonen bliver væk, hvem man ringer til ved mistænkelige mails, og hvordan man håndterer koder til kunders systemer.

Dokumentér med måde

Det er en udbredt misforståelse, at ISO 27001 kræver bunker af papir. Standarden kræver dokumenteret information om blandt andet scope, risikometode, risikovurdering, risikohåndteringsplan og Statement of Applicability. Resten afhænger af, hvad virksomheden har brug for. Skriv det, der understøtter arbejdet, og drop det, der kun skal fylde i en mappe. Små virksomheder kan få meget ud af ét samlet dokument, som dækker politik, ansvar og vigtigste regler.

Planlæg opfølgning

En risikovurdering er ikke en engangsøvelse. Risikobilledet ændrer sig, når I får nye kunder, skifter system, ansætter flere eller tager nye ydelser ind, for eksempel installation af smart home-løsninger. Fastlæg et årshjul, hvor risikovurderingen gennemgås mindst én gang om året og efter større ændringer eller hændelser. Hvis I senere vil certificeres, forventer en certificeringsauditor netop at se, at processen gentages. Et ISO 27001-certifikat er typisk gyldigt i tre år og følges op af årlige overvågningsaudits.

Hvornår det kan betale sig at hente ekstern specialistviden

Du kan komme langt på egen hånd, men der er situationer, hvor en specialist sparer tid, penge og frustration.

Når du skal certificeres

Hvis målet er et ISO 27001-certifikat, bliver din risikovurdering gennemgået af en akkrediteret certificeringsauditor. Her er det en fordel at have haft en erfaren rådgiver til at sikre, at metoden lever op til standardens formelle krav, at risikovurderingen hænger sammen med Statement of Applicability, og at dokumentationen er tilstrækkelig. En forkert metode opdager man ofte først til audit, og så koster det tid at rette op.

Når et kundekrav er konkret og har en frist

Hvis en stor kunde eller et udbud kræver dokumentation inden for en bestemt tidsramme, kan en foranalyse give dig et hurtigt overblik. Hos rådgivere som Nesp.ONE består en sådan foranalyse eller GAP-analyse typisk af en workshop, en analyse af det nuværende niveau, en rapport, en gennemgang med en specialist, en prioriteret handlingsplan og et årshjul. Nesp.ONE angiver, at en foranalyse kan købes fra 10.000 DKK, og at man kan starte med en uforpligtende samtale. Spørg i alle tilfælde om, hvad prisen omfatter, og om rapporten er skrevet, så du kan arbejde videre med den uden rådgiverens hjælp.

Når du er i tvivl om dit eget niveau

Det er svært at vurdere sine egne blinde vinkler. En udefrakommende ser ofte straks, at nøglen til kundens villa hænger synligt på en krog i kontoret, eller at en tidligere medarbejders login stadig er aktivt. En specialist kan også udfordre jeres vurderinger af sandsynlighed og konsekvens, så de hverken bliver for optimistiske eller for alarmistiske.

Når I vokser eller ændrer forretningsmodel

Hvis I går fra kun at udføre håndværk til også at drive abonnementsservice på smart home-systemer, tager I ansvar for kunders data over længere tid. Det ændrer risikobilledet markant. På samme måde, hvis I overtager flere ejendomme som administrator, eller I begynder at arbejde som underleverandør for store kunder, kan en ny vurdering med ekstern sparring være tiden værd.

Sådan vælger du en rådgiver

• Spørg efter erfaring med virksomheder af jeres størrelse og branche, ikke kun med store koncerner.
• Bed om en klar beskrivelse af, hvad du får, og hvad du selv skal bidrage med.
• Sørg for, at rådgiveren forklarer resultaterne og ikke bare leverer en rapport. En gennemgang med en specialist, hvor du kan stille spørgsmål, er en vigtig del af værdien.
• Vær skeptisk over for tilbud, der lover certificering uden at du selv skal gøre noget. Ledelsens engagement kan ikke outsources.
• Tjek, hvordan rådgiveren håndterer fortrolighed, da du skal give indblik i følsomme forhold.

Typiske fejl i den første risikovurdering

De fleste fejl går igen, uanset branche. Hvis du kender dem på forhånd, kan du undgå dem.

• For stort scope fra start. Begynd med de kritiske processer, og udvid, når fundamentet fungerer.
• Kun fokus på it. Nøgler, papirer, mundtlige koder og fysisk adgang hører med i en risikovurdering.
• Kopierede skabeloner uden tilpasning. En standardliste fra internettet kender ikke din hverdag.
• Ingen ejer. Uden en navngiven ansvarlig ender handlingsplanen i en skuffe.
• For mange tiltag på en gang. Prioritér hårdt, og gennemfør dem, der betyder mest.
• Manglende opfølgning. Risikovurderingen skal revideres, ellers bliver den hurtigt forældet.
• Medarbejdere, der ikke er med. Hvis reglerne ikke giver mening i arbejdsdagen på byggepladsen eller i butikken, bliver de omgået.

Husk også, at en risikovurdering ikke fjerner alle risici. Den gør dem synlige og giver dig et grundlag for at træffe gode beslutninger. Det er netop det, kunder og samarbejdspartnere vil se: at du kender dine svagheder, har prioriteret dem og arbejder systematisk på at håndtere dem.

Ofte stillede spørgsmål

Hvad er en ISO 27001 risikovurdering?

Det er en struktureret proces, hvor virksomheden identificerer sine informationsaktiver, finder trusler og sårbarheder, vurderer sandsynlighed og konsekvens og beslutter, hvilke risici der skal håndteres først. Resultatet er et risikoregister og en handlingsplan, som danner grundlag for de sikkerhedstiltag, virksomheden vælger at indføre.

Skal vi være certificeret for at lave en risikovurdering efter ISO 27001?

Nej. Du kan bruge standardens principper uden at søge certificering. Mange virksomheder starter med en risikovurdering for at imødekomme et kundekrav eller få overblik og vælger først senere, om de vil videre til certificering. Hvis en kunde eller et udbud kræver certificering, skal du dog følge standardens formelle krav fuldt ud.

Hvor lang tid tager en første risikovurdering for en lille virksomhed?

Det afhænger af virksomhedens størrelse, scope og hvor meget dokumentation der allerede findes. For en lille virksomhed med afgrænset scope kan selve workshopdelen klares på få dage, mens opfølgning, beslutninger og dokumentation typisk tager længere tid. Den største tidsmæssige udfordring er normalt at få ledelse og nøglemedarbejdere samlet.

Kan vi lave risikovurderingen uden en IT-afdeling?

Ja. Risikovurderingen handler om forretningen, ikke kun teknik. Det vigtigste er, at ledelsen deltager, og at I har medarbejdere, der kender de daglige processer. Hvis der er tekniske spørgsmål, kan din it-leverandør eller en ekstern rådgiver bidrage på de punkter, hvor I mangler viden.

Hvor ofte skal risikovurderingen opdateres?

Mindst én gang om året og derudover ved større ændringer, for eksempel nye systemer, nye leverandører, flytning, fusion eller alvorlige sikkerhedshændelser. ISO 27001 forudsætter, at risikovurderingen gentages med planlagte intervaller, så den afspejler virksomhedens aktuelle risikobillede.