ISO 27001-certificering: gap-analyse og pris

En gap-analyse for ISO 27001-certificering sammenholder jeres nuværende kontroller og dokumenter med standardens krav og Annex A-kontroller og munder ud i en prioriteret plan for at lukke mangler. Den forbereder virksomheden på en certificeringsaudit, men er ikke i sig selv et certifikat, og ingen analyse kan garantere, at I bliver certificeret.

Hvad er en gap-analyse for ISO 27001-certificering?

ISO/IEC 27001 er den internationale standard for et ledelsessystem for informationssikkerhed (ISMS): et dokumenteret, risikobaseret sæt politikker, processer og kontroller, som vedligeholdes og forbedres løbende frem for at blive indført én gang for alle. Certificeringen udstedes af et akkrediteret certificeringsorgan efter dets egne audits. Selve standarden købes hos ISO, og dens krav er målestokken for enhver analyse.

En gap-analyse besvarer ét spørgsmål uden omsvøb: Hvor langt er organisationen fra at opfylde kravene i dag? Den gennemgår det eksisterende — dokumenter, praksis og tekniske konfigurationer — og registrerer forskellene som fund op mod standardens klausuler (klausul 4 til 10 omfatter kravene til ledelsessystemet) og Annex A-kontrollerne. I 2022-versionen rummer Annex A 93 referencekontroller, grupperet efter tema.

Tre præciseringer, der forebygger misforståelser senere:

Det er en parathedsvurdering, ikke en audit. Ingen akkreditering, ingen certificeringsafgørelse og ingen formelle afvigelser med certificeringsorganets nummerering. Resultatet er en praktisk handlingsplan.

Omfanget fastlægges, det pålægges ikke. ISO 27001 kræver ikke, at hele organisationen certificeres. Omfanget kan være en forretningsenhed, en lokation, en produktlinje eller et sæt systemer, hvis afgrænsningen er tydelig og begrundet. Mange virksomheder starter med et snævert omfang — en beslutning, der halverer både analyseomkostningen og certificeringsomkostningen, og som bør træffes, før nogen gennemgår et eneste dokument.

Dokumentationen holdes op mod virkeligheden. Hvis et dokument siger ét, mens praksis viser noget andet, bliver forskellen registreret. Certificeringsauditøren vil finde den samme forskel senere, på et dårligere tidspunkt.

Sådan foregår analysen

De seks trin nedenfor viser, hvordan en analyse i praksis ser ud. Kolonnen med leverancer er central: hvert trin skal give et konkret materiale, I kan gemme, ikke blot et indtryk:

Tabel A: trin | aktivitet | leverance

Trin	Aktivitet	Leverance
Afgrænsning	Aftal ISMS-afgrænsningen: hvilke lokationer, afdelinger, systemer og data der er omfattet, og hvorfor; identificer interessenter og deres krav	Afgrænsningsbeskrivelse med begrundelse, klar til genbrug ved Stage 1-audit
Dokumentgennemgang	Gennemgå eksisterende politikker, procedurer og registreringer op mod klausul 4–10 og Annex A; vurder, om dokumenterne beskriver praksis eller en ønsket tilstand	Dokumentoversigt med status for hvert punkt: findes / delvist / mangler, samt gennemgået dokumentation
Interview	Tal med dem, der driver processerne — IT, HR, drift, økonomi og ledelse — og sammenhold svar på tværs af roller; modstridende svar fra to afdelinger er også fund	Interviewnoter pr. proces med forskelle mellem praksis og dokumentation registreret
Tekniske kontroller	Stikprøvekontrollér den faktiske konfiguration: adgangslister, logning, backupjob og dokumentation for gendannelse, patchstatus og fysisk adgang — stikprøver, ikke en penetrationstest	Kontrolresultater pr. område med stikprøver og datoer, så resultatet kan efterprøves
Vurdering	Bedøm hvert fund efter alvor og indsats; alvoren afspejler risikoen for organisationen, ikke kontrollens placering i Annex A	Mangelliste: klausul eller kontrol, nuværende status, fund, alvor og foreslået ansvarlig
Rapport og køreplan	Saml fundene i en rapport, og planlæg rækkefølgen: hurtige forbedringer, strukturelle tiltag og dokumenter, der skal være på plads før Stage 1-audit	Gap-analyserapport, prioriteret handlingsplan og udkast til Statement of Applicability

Om metoden: Standarden foreskriver ikke, hvordan en gap-analyse skal gennemføres, så leverandørernes metoder varierer. Det, der adskiller en brugbar analyse fra en dyr gennemgang, er disciplinen omkring dokumentation — fund skal kunne knyttes til noget, en certificeringsauditør kan efterprøve — og den mangelliste, der følges op på bagefter. Governance- og auditspørgsmål om sikkerhedsarbejde behandles på siden om IT-audit og rådgivning, mens den bredere sikring af infrastrukturen bag ISMS'et beskrives på siden om digital infrastruktur.

Leverancer ved en ISO 27001-certificering: gap-analyse og pris

Fire konkrete leverancer kendetegner en grundig analyse. Hvis et tilbud ikke nævner dem alle, så spørg hvorfor:

Gap-analyserapport. Den sammenhængende beskrivelse: gennemgået omfang, metode, fund fordelt på klausuler og kontrolområder samt et ledelsesresumé, som en administrerende direktør kan læse på ti minutter. Rapporten forklarer forskellene; den nøjes ikke med at opliste dem.

Mangelliste. Arbejdsgrundlaget: hvert fund med reference til klausul eller Annex A, nuværende status, alvor og prioritet. Det er listen, projektet bygger videre på — den omsætter rapportens anbefalinger til en opgaveliste med ansvarlige.

Handlingsplan. Fundene sættes i rækkefølge: hvad der skal være på plads før Stage 1-audit, hvad der hører til i ISMS'ets første måneder, og hvad der kan vente. Rækkefølgen tager højde for afhængigheder — kvartalsvis gennemgang af adgang kan ikke gennemføres, før adgangslisterne findes.

Udkast til Statement of Applicability (SoA). Dokumentet opregner hver Annex A-kontrol, angiver om og hvorfor den er relevant samt beskriver implementeringen. Et SoA-udkast fra analysefasen sparer mest tid i certificeringsprojektet, fordi alternativet er at formulere 93 beslutninger fra bunden under tidspres.

Leverancerne skal være skriftlige og tilhører køberen. En leverandør, der ikke vil vise en eksempelrapport før underskrift, fortæller også noget om den rapport, I kan forvente.

Hvad analysen ikke er

Præcise forventninger forebygger uenighed senere:

Det er ikke et certifikat. Kun et akkrediteret certificeringsorgan, der arbejder efter ISO/IEC 17021 og sin egen akkreditering, kan certificere et ISMS. En analyse er rådgivning; dens fund har ingen formel status hos et certificeringsorgan, og intet analyseresultat garanterer certificering. En organisation kan bestå analysen og stadig dumpe Stage 2-audit på fund, som auditøren selv afdækker.

Det er ikke en intern audit. Standarden kræver interne audits og ledelsens evaluering som led i driften af ISMS'et. Det er forpligtelser i selve systemet, som udføres senere; analysen hjælper jer frem til det punkt, hvor de kan gennemføres.

Det er ikke en sikkerhedstest. Stikprøver af konfigurationen indgår, men en penetrationstest eller en fuld teknisk audit er en anden opgave med et andet omfang og en anden dybde.

Det er ikke juridisk rådgivning. ISO 27001 og databeskyttelseslovgivning overlapper, men er forskellige regelsæt — se FAQ nedenfor. Hverken analysen eller rapporten erstatter rådgivning fra en kvalificeret jurist eller databeskyttelsesrådgiver.

Det er ikke et løfte om certificering. En leverandør, der antyder garanteret certificering, opgiver en succesrate eller påstår at have en særlig relation til et certificeringsorgan, som træffer afgørelser uafhængigt, bør vække bekymring. Uafhængighed er selve ydelsen.

Forberedelse til certificeringsaudit

Analysens reelle værdi viser sig i certificeringsprojektet bagefter. Sådan hænger de to forløb sammen:

Stage 1 gennemgår dokumentation og afgrænsning: ISMS-afgrænsningen, risikovurdering og risikohåndtering, politikker, Statement of Applicability, registreringer af interne audits og ledelsens evaluering. De fleste fund ved Stage 1 handler om manglende eller forældede dokumenter — netop det, dokumentgennemgangen og SoA-udkastet fra analysen afdækker.

Stage 2 kontrollerer implementering og praksis: om kontrollerne fungerer som beskrevet, ved stikprøver på tværs af det aftalte omfang. Interviewene og de tekniske kontroller i analysen fungerer som øvelse. Et team, der allerede har besvaret spørgsmål om adgangsgennemgange og hændelseshåndtering, står mere roligt i auditten.

Overvågning og gentagelse følger efter certificeringen. Handlingsplanen skal derfor skabe et fungerende system, ikke blot en samling dokumenter: tilbagevendende adgangsgennemgange, registrerede hændelser, logget træning samt backup, der gendannes og testes. Et ISMS, der kun er bygget til at bestå én audit, falder fra hinanden ved den første overvågningsaudit.

Analysen afdækker typisk også praktiske forberedelsespunkter: hvem der internt ejer hvert kontrolområde, om ledelsens evaluering er et reelt møde eller blot en underskrift, om interne auditører er uafhængige af det, de kontrollerer, og hvordan registreringer opbevares mellem audits. For virksomheder, der gør dette for første gang, behandles de tilhørende IT-spørgsmål — logning, adgangsstyring og backupdisciplin — på siden om digital infrastruktur, mens leverandør- og datahåndteringsforpligtelser beskrives på siden om IT-outsourcing.

Typiske mangler

Disse fund går igen hos små og mellemstore virksomheder, omtrent i den rækkefølge, de oftest optræder:

Aktivfortegnelse. Der mangler en opdateret liste over systemer, enheder og data med angivelse af ansvarlige. Næsten alle andre kontroller forudsætter, at virksomheden ved, hvad den har, og derfor er dette typisk første punkt i handlingsplanen.

Metode til risikovurdering. Den mangler helt eller er overtaget fra en skabelon uden begrundelse i organisationens forhold. Certificeringsauditøren spørger, hvordan risici blev identificeret og håndteret; "konsulenten skrev det" er ikke et svar, der holder.

Leverandørstyring. Der mangler en oversigt over leverandører med adgang til virksomhedsdata, sikkerhedskrav i leverandøraftaler og en fast evalueringscyklus. For virksomheder med udviklingspartnere ligger denne mangel tæt op ad kontraktspørgsmålene på siden om IT-outsourcing.

Adgangsgennemgange. Konti oprettes ved ansættelse og gennemgås aldrig; fratrådte medarbejdere står stadig på adgangslisten, og personer, der har skiftet rolle, har fortsat administratorrettigheder. Gennemgange, der kun findes på papiret uden registreringer, udgør stadig en mangel.

Hændelseshåndtering. Der findes ingen fast proces eller kontaktliste, og hændelser, der faktisk er sket, registreres ikke. Hændelser, virksomheden har glemt, bliver ofte til fund under auditten.

Sikkerhedsbevidsthed. Et enkelt introduktionsslide erstatter ikke et tilbagevendende program med dokumentation. Standarden spørger, om medarbejderne kender deres forpligtelser; en dateret deltagerliste kan besvare spørgsmålet.

Test af backup. Backup er konfigureret, men gendannelse er aldrig afprøvet. En gendannelse, der aldrig er forsøgt, er en uprøvet kontrol. Den tekniske analyse beder derfor normalt om dokumentation for en gendannelse, ikke et skærmbillede af en tidsplan.

Sådan vælger I leverandør

Tre spørgsmål skelner en grundig analyse fra en dyr gennemgang:

Uafhængighed. Den, der udfører analysen, må ikke have en interesse i certificeringsafgørelsen: konsulenter udfører ikke certificering, det gør certificeringsorganer. En leverandør, der lover begge dele, beskriver en interessekonflikt, ikke en service. Uafhængighed betyder også, at leverandøren ikke har et produkt at sælge bagefter. En analyse, der anbefaler leverandørens egen platform, er et salgsdokument med fund vedlagt.

Metode. Bed om metoden, før I modtager tilbuddet: hvordan omfang aftales, hvordan fund vurderes, hvilken dokumentation der kræves for hvert kontrolområde, og hvilke leverancer I får. En metode, der er beskrevet på forhånd, gør fundene lettere at forsvare over for certificeringsauditøren.

Eksempelrapport. Den bedste prøve. En anonymiseret mangelliste og rapport viser præcist, hvad I modtager: om fund knyttes til klausuler og dokumentation, om alvoren begrundes, og om handlingsplanen er en realistisk rækkefølge eller en ønskeliste.

To praktiske råd til virksomheder i Türkiye: Undersøg, om konsulenten kender de standarder og certificeringsorganer, som jeres kunders målmarked har tillid til, da kundekrav ofte nævner bestemte ordninger. Afklar også arbejdssproget for interview og dokumenter, så de teams, der skal lukke manglerne, kan bruge resultaterne. Tjeklisten til leverandør-RFP beskriver en generel metode til at vurdere et sådant køb, og siden om IT-audit og rådgivning behandler den bredere rådgivningskontekst.

Ofte stillede spørgsmål

Hvor lang tid tager en gap-analyse?

Det afhænger af omfanget, og den, der opgiver en varighed før afgrænsningen, gætter. Tidsforbruget afhænger af omfangets størrelse — antal lokationer, systemer og processer — dokumentationens tilstand og hvor mange personer, der skal interviewes. En afgrænsning til én afdeling med eksisterende politikker er en anden opgave end flere lokationer, der starter fra nul. Et troværdigt svar kan først gives efter samtalen om afgrænsning, og det bør gives skriftligt.

Skal vi have ISO 27001 for at sælge?

Som regel er det et kundekrav snarere end et lovkrav: Udbud, store kunder og regulerede købere efterspørger i stigende grad certificering, særligt inden for software og serviceydelser. Se på jeres egen salgspipeline: Har to seriøse potentielle kunder spurgt, er forretningsgrundlaget til stede. Hvis ingen har spurgt, handler begrundelsen snarere om risikoreduktion end omsætning. Standarden kræver ikke, at hele organisationen certificeres, så en afgrænset certificering kan først dække den kundevendte del af virksomheden.

Hvad er Statement of Applicability?

Dokumentet opregner hver Annex A-kontrol, angiver om den er relevant for jeres afgrænsning og hvorfor samt beskriver, hvordan den er implementeret. Standarden kræver dokumentet, og certificeringsorganet gennemgår det. Det er også mest effektivt at udarbejde tidligt, fordi beslutningerne om kontroller så dokumenteres én gang frem for under auditpres. Et udkast til SoA er en af de fire leverancer fra analysen ovenfor.

Hvordan vurderes mangler?

Efter alvor og prioritet, hvor alvoren knyttes til risikoen for organisationen og ikke kontrollens placering i standarden. En brugbar vurdering forklarer sig selv: Hvad kan ske, hvis manglen består, hvem eller hvad er udsat, og hvad kræves for at lukke den? Vurderinger, der kun bruger kategorierne "høj/middel/lav" uden begrundelse, skaber senere diskussioner. En skriftlig begrundelse giver et grundlag for en handlingsplan, folk følger.

Kan en gap-analyse erstatte en audit?

Nej. Intern audit og ledelsens evaluering er forpligtelser i ISMS'et, og certificeringsauditten udføres af et akkrediteret certificeringsorgan. En gap-analyse kommer før begge dele og hjælper med begge, men har ingen formel auditstatus — som forklaret ovenfor under "Det er ikke et certifikat". En leverandør, der udvisker forskellen, bør bedes præcisere den skriftligt.

Delvist overlappende, men ikke det samme. ISO 27001 er en standard for ledelsessystemer inden for informationssikkerhed og berører kun databeskyttelse, hvor sikkerhedskontroller beskytter personoplysninger. KVKK og GDPR fastlægger juridiske forpligtelser — behandlingsgrundlag, registreredes rettigheder, anmeldelse af brud og regler for dataoverførsler — som et ISMS kan understøtte, men ikke opfylder alene. Mange virksomheder driver begge programmer med fælles dokumentation; juridiske spørgsmål bør fortsat afklares med en kvalificeret rådgiver. Forpligtelser efter KVKK/GDPR vedrørende leverandører og hosting behandles på siden om IT-outsourcing.

Kilder og standarder

Selve standarden er ISO/IE 27001, udgivet af ISO (https://www.iso.org). De vurderede krav er klausul 4–10 og Annex A-kontrollerne, som i 2022-versionen omfatter 93 referencekontroller. Certificering udføres af akkrediterede certificeringsorganer efter ISO/IEC 17021; denne side fremsætter ingen påstand om certificering.
Beskrivelser af proces, leverancer og typiske mangler følger almindelig praksis for gap-analyser: afgrænsning, dokumentgennemgang, interview, tekniske stikprøver, prioriteret mangelliste, handlingsplan og udkast til Statement of Applicability. Siden angiver ingen varighed, pris eller succesrate.
Beskrivelserne af certificeringsforløbet — dokumentationsaudit i Stage 1, implementeringsaudit i Stage 2 og overvågning — følger standardens offentliggjorte certificeringsramme. Bekræft de gældende regler hos det certificeringsorgan, I vælger.
Siden hævder ikke, at WorldwideTradeX er ISO 27001-certificeret eller akkrediteret, og den garanterer ikke certificering. Databeskyttelsesforpligtelser nævnes, men fortolkes ikke. Afklar den relevante ordning med en kvalificeret rådgiver.

Relaterede sider

IT-audit og rådgivning · Digital infrastruktur · IT-outsourcing fra Türkiye · Tjekliste til leverandør-RFP · Indhent et tilbud