När flera personer arbetar med informationssäkerhet behöver ni kunna se vilka beslut som är fattade och vilket underlag som stöder dem. I AmpliFlows kontrollregister kan ni samla era bedömningar, ansvariga och beskrivningar av hur ni arbetar.
Bilaga A till ISO 27001 innehåller 93 säkerhetsåtgärder, ofta kallade kontroller. De hjälper er att pröva om skyddet för informationen har luckor. En kontroll kan beröra hur människor arbetar, hur lokaler skyddas eller hur tekniken används. Här visar vi hur ni kan dokumentera bedömningarna och följa upp genomförandet i AmpliFlow.
Börja med era risker och beslut
Utgå från vilken information ni hanterar, vad som kan hända med den och vilka skydd ni behöver. Om en kollega exempelvis skickar kunduppgifter till fel mottagare, behöver ni undersöka både hur filen delas och hur misstaget tas om hand. Riskbedömningen hjälper er att välja insatser som passar er verksamhet.
ISO 27001 avsnitt 6.1.3 knyter valet av skydd till riskbehandlingen. Jämförelsen med bilaga A hjälper er att upptäcka sådant ni annars kunde ha missat. Era egna behov kan också kräva skydd utöver bilagan. Urvalet behöver därför bygga på era risker och krav, snarare än ett antagande om att varje kontroll alltid har samma betydelse för alla företag.
Läs mer om hur ni kan arbeta med Bilaga A.
Arbeta i kontrollregistret
Dela upp arbetet så att de som känner informationen, rutinerna och tekniken kan bidra. Följande arbetsgång hjälper er att hålla ihop bedömningar och genomförande:
- Samla rätt personer. Be dem som känner verksamheten och IT-miljön att bidra med underlag för bedömningarna.
- Dokumentera era beslut. Ange tillämplighet och skriv en motivering där ni bedömer att en kontroll inte är tillämplig. Gör en egen bedömning, inte ett generellt antagande om att svaret alltid är ja.
- Beskriv nuläget. Ange status och skriv hur ni faktiskt arbetar. Skilj sådant som är genomfört från sådant ni planerar.
- Fördela ansvar. Koppla ansvariga till kontrollen så att ni vet vem som kan svara på frågor och driva kvarvarande arbete.
- Koppla underlag. Länka relevanta risker, processer och dokument till kontrollen. Välj underlag som gör det möjligt att kontrollera era uppgifter.
- Följ upp med de ansvariga. Stäm av om arbetssättet används och uppdatera beskrivning och status när något ändras.
Vad ska ni fylla i?
Tillämplighet och motivering: Avgör om kontrollen behövs inom ert ledningssystems omfattning. Om ni väljer bort den, skriv varför och vilket underlag ni använde. En annan person ska kunna följa resonemanget när verksamheten förändras.
Status: Visa hur långt ni har kommit. Att ni har bestämt ett arbetssätt betyder inte att det redan används. Uppdatera status när genomförandet går framåt och kontrollera resultatet med dem som utför uppgifterna.
Ansvariga och medverkande: Ange vem som håller ihop arbetet och vilka som behöver bidra. Samma person kan ha flera uppgifter i ett mindre företag. Den ansvariga behöver veta vad som återstår och vilka frågor som behöver beslut.
Förklaring och intern beskrivning: Använd förklaringsfältet för att hjälpa kollegorna förstå frågan. Beskriv sedan hur ni själva hanterar den i den interna beskrivningen. Ett påstående som “vi hanterar behörigheter” säger mindre än en beskrivning av vem som beställer åtkomst, vem som godkänner den och hur avslutade anställningar följs upp.
Fördjupning, verktyg och underlag: Samla de uppgifter som behövs för att utföra och kontrollera arbetet. Länka till relevanta risker, processer och dokument, så att ni kan hitta underlaget utan att skriva samma instruktion på flera ställen.
Skilj intern beskrivning från SoA-text
Er tillämplighetsförklaring, Statement of Applicability (SoA), förklarar vilka skydd ni har valt och varför. Den visar också vad som är infört och hur ni har resonerat när något från bilaga A valts bort. Det gör besluten möjliga att granska och ompröva.
I kontrollregistret finns separata fält för en intern beskrivning och en text till er SoA.
Den interna beskrivningen kan hjälpa kollegor att hitta rätt rutin och förstå hur en uppgift utförs. I SoA-texten beskriver ni ert arbetssätt för den som ska läsa förklaringen. Anpassa detaljnivån efter mottagare och syfte; undvik att sprida känsliga uppgifter i onödan.
Vad kommer med i SoA-exporten?
AmpliFlows PDF-export visar kontrollens referens och namn, tillämplighet, status och er SoA-beskrivning. För en kontroll som ni markerat som ej tillämplig visas motiveringen i beskrivningskolumnen. Kontrollerna grupperas per kategori.
Den interna beskrivningen, förklaringsfältet, fördjupningen, verktygsfältet och de länkade underlagen ingår inte i kontrolltabellen i PDF:en. Därför behöver SoA-texten vara begriplig även för någon som inte ser era interna anteckningar.
Granska exporten före delning. Stämmer beskrivningarna med det ni gör? Finns underlag för bedömningarna? Får mottagaren ta del av innehållet? Bestäm också när ni ska följa upp besluten igen, exempelvis efter ett systembyte eller en förändring av vilka kunduppgifter ni hanterar.
Läs mer om kontrollhantering i AmpliFlow eller kontakta supporten om ni behöver hjälp med verktyget.
