Q&A med AO: ISO-certificeringer effektiviserer compliancearbejdet og skaber forretningsværdi

Q&A med Henning Mortensen, CISO/CPO hos AO

Hvilke cyber- og informationssikkerhedsstandarder har I implementeret? 

"Vi har implementeret standarden for informationssikkerhed ISO 27001 og standarden for privatlivsbeskyttelse ISO 27701.”

Hvor lang tid har det taget at implementere standarderne?

”Vi har arbejdet efter standarderne i knap otte år og forberedt certificering i godt to år.”

Hvordan har I valgt at implementere standarderne? 

"Vi er gået struktureret til værks og har først lavet et setup med regler i et governance system fra Wired Relations. Dette setup har vi baseret på standardernes krav og suppleret med øvrige krav fra sikkerhedsrelateret lovgivning, f.eks. GDPR og NIS2."

"Hver gang, vi har arbejdet med et krav i en af standarderne, har vi spurgt os selv, om det, vi har gjort, kan dokumenteres. År efter år har vi gjort og opfyldt flere og flere ting, indtil vi vurderede, at vi var compliant med standarderne."

"De to standarder spiller godt sammen og sammen med ISO27002. På den måde har en række af de ting, vi skulle gøre, og foranstaltninger, vi skulle iværksætte, spillet sammen og understøttet alle standarder og lovgivningsmæssige krav i regelsættet på én gang."

"Afslutningsvis har vi gennemført en ekstern certificeringsproces med DNV.”

Hvilke udfordringer har I oplevet?

”Nogle af standardeneres regler kan være lidt formalistiske, og derfor har der været behov for at arbejde med, hvordan det kunne give reel sikkerhedsmæssig og forretningsmæssig værdi. Desuden er virkeligheden jo, at man kan arbejde i denne retning, men i praksis bliver processen henimod en certificering løbende forstyrret af forretningsmæssige krav, som har, og skal have, højere prioritering end at arbejde med certificeringen.”

Hvilke effekter har I set af implementeringen?

”Vi er kommet hele vejen rundt om sikkerhed og databeskyttelse og har fået implementeret tekniske og organisatoriske foranstaltninger, der hænger sammen. Vi har også effektiviseret vores compliancearbejde, fordi én foranstaltning kan opfylde krav i flere standarder på én gang. Standarderne understøtter og sikrer således en samlet tilgang, i stedet for at arbejde med to isolerede projekter for henholdsvis sikkerhed og databeskyttelse. Endelig sikrer standarderne et fælles sprog mellem jurister og teknikere.”

Står omkostningerne, ved at implementere standarden, på mål med gevinsterne?

”Det har været vores overordnede strategi at få certificeringer i en lang række standarder – foruden informationssikkerhed og databeskyttelse således også på miljø, kvalitet, arbejdsmiljø m.fl. På den måde behøver der ikke være så meget usikkerhed og drøftelser med kunder om, hvorvidt vi er compliant med det ene eller det andet. Vi viser vores certificeringer, lukker compliancesnakken og kan fokusere på forretningen og vores viden om VVS, El, m.v."

"Certificeringerne giver kunderne tryghed, men de giver også organisationen tryghed for, at vi gør det rigtige. Omkostningerne står derfor mål med gevinsterne.”