ISO/IEC 27001 Informationssikkerhed

Hvorfor er informationssikkerhed vigtigt?

Når information mistes, ødelægges, stjæles eller bliver utilgængelig, går det ud over virksomhedens renommé og kundernes tillid.

Informationssikkerhed er væsentligt for alle, der besidder informationer – hvad enten det er fysiske, digitale eller talte – og kan have betydelige konsekvenser for både overholdelse af lovgivning, organisationens aktiviteter og succes samt troværdighed og image.

Baggrund:
I løbet af de seneste 20 år er risikoen for cyberangreb og IT-kriminalitet som følge af mangel på informationssikkerhed steget markant. Det skyldes ikke mindst brugen af internettet som middel til at gøre forretning og skaffe sig adgang til store mængder information. Og i takt med en stigende efterspørgsel efter flere opkoblingsmuligheder og forretningsadgange via mobile teknologier samt øget udveksling af data stiger risikoen, for at informationssikkerheden kompromitteres yderligere.

Det betyder:
Personfølsomme oplysninger kan blive stjålet på mange måder, fx via internettet, ved tyveri af bærbare computere via skade på IT-systemer eller via andre sårbare informationskilder. Derfor står erhvervslivet og samfundet over for mange risici, i takt med at flere og flere data gøres digitale og afhængigheden af IT-systemer stiger.

Virksomheder bør have kendskab til sådanne risici og ledelsesmæssigt tage skridt til at beskytte deres virksomhed.

Til denne proces benyttes et såkaldt SoA-dokument, hvor organisationen skal forholde sig til de til- og fravalg af foranstaltninger, som organisationen vil implementere for at håndtere de identificerede risici.

Digitaliseringsstyrelsen gennemfører løbende analyser om borgernes oplevelser med og kendskab til informationssikkerhed. De mest markante observationer fra undersøgelserne er bl.a., at de færreste danskere beskytter egne data med sikkerhedskopiering, og mange også benytter samme passwords til forskellige tjenester.

5 gode råd til virksomheder der skal i gang med at arbejde med informationssikkerhed

1. Start med at etablere et udvalg for informationssikkerhed, der består af en blanding af forretningsfolk og IT-repræsentanter. Det må aldrig blive et rent IT-teknisk anliggende, da IT- og informationssikkerhed jo også handler om at pege på fejl og mangler hos IT-enheden eller dens leverandører. Det er desuden afgørende, at den øverste ledelse viser deres støtte og opbakning – helst ved at indtage formandsstolen i styrekomitéen. Komitéens fornemmeste opgave er at fastlægge og derefter forestå Information Security Governance i virksomheden. Dvs. at beslutte strategi og vision samt fastsætte organiseringen og de ressourcer, der skal anvendes på området.
   
   
2. Lad være med at forsøge at genopfinde den dybe tallerken – brug de standarder, der allerede findes (DS/ISO og ISF’s Standard of Good Practise). De er alle grundigt gennemtænkt og afprøvet tusindvis af steder. Så kan du altid justere dem, så de passer til din virksomhed.
   
   
3. Ansæt en person, der har informationssikkerhed som sit primære arbejdsområde. Undersøgelser viser, at virksomheder, der gør det, har markant færre alvorlige hændelser. Det handler om ejerskabsfølelse og klare roller.
   
   
4. Skab opmærksomhed omkring emnet. Det er vigtigt at få promoveret god skik og etik blandt brugerne, fx i forbindelse med brug af internet, sociale medier, håndtering af personoplysninger i både små og større mængder.
   
   
5. Stil de nødvendige ressourcer til rådighed, der passer til virksomhedens størrelse og modenhed. Man må ikke tro, at én person kan løse IT-sikkerhedsproblemet i en virksomhed med et femcifret antal medarbejdere, mens det måske vil være passende i en mindre virksomhed.

Hovedprincipperne i informationssikkerhed

Informationssikkerhed skal bevare fortrolighed, integritet og tilgængelighed af information ved hjælp af en risikostyringsproces og sikre, at interessenter har tillid til, at risici hånderes på en ordentlig måde.

Fortrolighed

Beskyttelse af informationer mod uautoriseret videregivelse eller adgang. Eksempel: beskyttelse mod uautoriseret adgang til en persons kreditkort eller økonomiske informationer, som personen forventer opbevares på fortrolig måde, eller til hemmelige designspecifikationer, forskningsresultater, markedsprognoser og analyser.

Integritet

Beskyttelse af informationer mod uautoriseret ændring eller ødelæggelse, også utilsigtet ødelæggelse samt sikring af informationernes nøjagtighed og pålidelighed. Eksempel: en persons sygejournal eller personoplysninger eller virksomhedsregnskaber skal være nøjagtige, herunder informationer, der er afgørende for, at et forretningssystem kan fungere effektivt, som fx en virksomheds lønudbetalinger, fakturering og/eller lagerstyring.

Tilgængelighed

Beskyttelse af informationer mod uautoriseret adgangsforbud for de personer, som har retmæssig adgang. Eksempel: når en virksomheds databaseserver har været udsat for et såkaldt DoS-angreb (fx forårsaget af en computervirus), kan informationerne i databasen blive utilgængelige, hvilket vil kunne medføre et større systemnedbrud. Alternativt kan tyveri af mobile enheder, som fx en bærbar computer, resultere i, at ejermanden også mister adgangen til de informationer, der var indeholdt i computeren.