ISO 27001 gap-analyse: steg og leveranser

En gap-analyse mot ISO 27001 sammenligner dagens kontroller og dokumentasjon med standardens krav og kontrollsettet i Annex A, og munner ut i en prioritert tiltaksplan. Den forbereder virksomheten på en sertifiseringsrevisjon, men er ikke i seg selv et sertifikat, og ingen analyse kan love at sertifisering følger.

Hva er en gap-analyse mot ISO 27001?

ISO/IEC 27001 er den internasjonale standarden for et styringssystem for informasjonssikkerhet (ISMS): et dokumentert, risikobasert sett med retningslinjer, prosesser og kontroller som vedlikeholdes og forbedres, ikke installeres én gang. Sertifisering utstedes av et akkreditert sertifiseringsorgan etter organets egne revisjoner. Selve standarden kjøpes fra ISO, og kravene i den er målestokken for enhver analyse.

En gap-analyse besvarer ett spørsmål ærlig: Hvor langt unna er organisasjonen fra å oppfylle kravene i dag? Den gjennomgår det som finnes – dokumenter, faktisk praksis og teknisk konfigurasjon – og registrerer avvik som funn mot standardens klausuler (klausul 4 til 10 inneholder kravene til styringssystemet) og mot kontrollsettet i Annex A, som i 2022-versjonen inneholder 93 referansekontroller gruppert etter tema.

Tre presiseringer som forebygger misforståelser senere:

Det er en beredskapsøvelse, ikke en revisjon. Ingen akkreditering, ingen sertifiseringsbeslutning og ingen formell avviksregistrering med sertifiseringsorganets nummerering. Resultatet er en praktisk tiltaksplan.

Omfanget velges, det pålegges ikke. ISO 27001 krever ikke at hele organisasjonen sertifiseres: omfanget kan være en forretningsenhet, et sted, en produktlinje eller et sett med systemer, forutsatt at avgrensningen er definert og begrunnet. De fleste selskaper starter med et smalt omfang – et valg som halverer kostnaden for analysen og sertifiseringen, og som bør avklares før noen gjennomgår et eneste dokument.

Analysen er ærlig om dokumentasjonen. Hvis et dokument sier én ting mens praksis viser noe annet, registreres forskjellen slik den er. Sertifiseringsrevisoren vil finne det samme avviket senere, på et dårligere tidspunkt.

Slik foregår analysen

De seks stegene nedenfor viser hvordan en praktisk analyse gjennomføres. Kolonnen for resultat er poenget med tabellen: hvert steg skal gi et konkret arbeidsdokument som tas vare på, ikke bare et inntrykk:

Tabell A: steg | aktivitet | resultat

Steg	Aktivitet	Resultat
Avgrensning	Avtal ISMS-omfanget: hvilke steder, avdelinger, systemer og data som inngår, og hvorfor; identifiser berørte parter og kravene deres	Omfangsbeskrivelse med begrunnelse, klar til gjenbruk i trinn 1-revisjonen
Dokumentgjennomgang	Les eksisterende retningslinjer, prosedyrer og logger mot klausul 4–10 og Annex A; kontroller om dokumentene beskriver virkeligheten eller ambisjonene	Dokumentoversikt med status per element: finnes / delvis / mangler, samt dokumentasjonen som er gjennomgått
Intervjuer	Snakk med dem som driver prosessene – IT, HR, drift, økonomi og ledelse – og sammenlign svar på tvers av roller; motstridende svar mellom avdelinger er også funn	Intervjunotater per prosess, med forskjeller mellom praksis og dokumentasjon registrert
Tekniske kontroller	Stikkprøv den faktiske konfigurasjonen: tilgangslister, logging, sikkerhetskopieringsjobber og gjenopprettingsbevis, oppdateringsstatus og fysisk adgang – stikkprøve, ikke penetrasjonstest	Kontrollresultater per kontrollområde, med utvalg og datoer slik at resultatene kan verifiseres på nytt
Vurdering	Vurder hvert funn etter alvorlighetsgrad og innsats; alvorlighetsgraden følger risikoen for organisasjonen, ikke kontrollens plassering i Annex A	Avviksregister: klausul eller kontroll, nåsituasjon, funn, alvorlighetsgrad og foreslått ansvarlig
Rapport og veikart	Samle funnene i en rapport og planlegg rekkefølgen: raske forbedringer, strukturelle tiltak og dokumentene som må være på plass før trinn 1-revisjonen	Gap-analyserapport, tiltaksveikart med prioriteringer og utkast til Statement of Applicability

Om metoden: Standarden fastsetter ikke hvordan en gap-analyse skal gjennomføres, så leverandørene bruker ulike metoder. Det som skiller en nyttig analyse fra en dyr gjennomgang, er disiplin i dokumentasjonen – funn knyttet til noe en sertifiseringsrevisor kan kontrollere på nytt – og registeret som følges opp etterpå. Styring og revisjonsspørsmål knyttet til sikkerhetsarbeid omtales på siden om IT-revisjon og rådgivning, mens den bredere konteksten for sikring av infrastrukturen bak ISMS beskrives på siden om digital infrastruktur.

Leveranser

Fire dokumenter kjennetegner en grundig analyse. Hvis et tilbud ikke nevner alle fire, bør du spørre hvorfor:

Gap-analyserapport. Den helhetlige fremstillingen: gjennomgått omfang, metode, funn per klausul og kontrollområde, samt et sammendrag som en daglig leder kan lese på ti minutter. Rapporten forklarer forskjellene; den nøyer seg ikke med å liste dem opp.

Avviksregister. Arbeidsdatabasen: hvert funn med henvisning til klausul eller Annex A, nåsituasjon, alvorlighetsgrad og prioritet. Det er registeret prosjektet bygger videre på – det gjør rapportens råd om til en oppgaveliste med ansvarlige.

Tiltaksveikart. Funnene settes i rekkefølge i en plan: hva som må være på plass før trinn 1-revisjonen, hva som hører hjemme i de første månedene av ISMS, og hva som kan vente. Rekkefølgen tar hensyn til avhengigheter – du kan ikke gjennomgå tilganger hvert kvartal før tilgangslistene finnes.

Utkast til Statement of Applicability (SoA). Dokumentet som lister alle Annex A-kontroller, angir om hver enkelt er relevant og hvorfor, og beskriver hvordan den er implementert. Et SoA-utkast utarbeidet under analysen er den største enkeltstående tidsbesparelsen i sertifiseringsprosjektet, fordi alternativet er å skrive ned 93 beslutninger fra blanke ark under tidspress.

Leveransene gis skriftlig og tilhører kjøperen. En leverandør som ikke vil vise en eksempelrapport før avtalen signeres, forteller deg noe om rapporten.

Dette er ikke en gap-analyse

Presiseringer her forebygger diskusjoner senere:

Det er ikke et sertifikat. Bare et akkreditert sertifiseringsorgan som arbeider etter ISO/IEC 17021 og sin egen akkreditering, kan sertifisere et ISMS. En analyse er rådgivende arbeid; funnene har ingen formell status hos et sertifiseringsorgan, og resultatet garanterer ikke sertifisering. En organisasjon kan bestå analysen og likevel stryke på trinn 2-revisjonen på grunn av funn revisoren gjør uavhengig.

Det er ikke en internrevisjon. Standarden krever internrevisjoner og ledelsens gjennomgang som del av driften av ISMS. Dette er forpliktelser i systemet som gjennomføres senere; analysen er arbeidet som bringer dere frem til punktet der dette kan utføres.

Det er ikke en sikkerhetstest. Stikkprøver av konfigurasjon inngår, men en penetrasjonstest eller full teknisk revisjon er et eget oppdrag med et annet omfang og en annen dybde.

Det er ikke en juridisk vurdering. ISO 27001 og personvernlovgivning overlapper, men er ulike regelverk – se spørsmålene nedenfor – og verken analysen eller rapporten erstatter råd fra en kvalifisert juridisk rådgiver eller personvernrådgiver.

Det er ikke et løfte om sertifisering. En leverandør som antyder garantert sertifisering, oppgir en suksessrate eller viser til et forhold til et sertifiseringsorgan som tar beslutninger uavhengig, bør regnes som et varselsignal, ikke et salgsargument. Uavhengighet er selve tjenesten.

Forberedelse til sertifiseringsrevisjonen

Den virkelige verdien av analysen blir synlig i sertifiseringsprosjektet som følger. Slik henger de to sammen:

Trinn 1 kontrollerer dokumentasjonen og omfanget: omfangsbeskrivelsen for ISMS, risikovurdering og risikohåndtering, retningslinjer, Statement of Applicability, internrevisjonslogger og logger fra ledelsens gjennomgang. De fleste funn i trinn 1 gjelder manglende eller utdaterte dokumenter, nettopp det dokumentgjennomgangen og SoA-utkastet fra analysen avdekker.

Trinn 2 kontrollerer implementering og praksis: om kontrollene fungerer slik de er dokumentert, med stikkprøver på tvers av omfanget. Intervjuene og de tekniske kontrollene i analysen fungerer som øvelse – et team som allerede har svart på spørsmål om tilgangsgjennomganger og hendelseshåndtering, kan svare rolig under revisjonen.

Oppfølging og gjentakelse kommer etter sertifiseringen. Veikartet må derfor bygge et system i drift, ikke bare en dokumentpakke: tilgangsgjennomganger som gjentas, hendelser som registreres, opplæring som loggføres og sikkerhetskopier som gjenopprettes og testes. Et ISMS som bare er bygget for å bestå én revisjon, bryter sammen ved den første oppfølgingsrevisjonen.

Praktiske forberedelsespunkter analysen vanligvis avdekker: hvem som internt eier hvert kontrollområde, om ledelsens gjennomgang er et reelt møte eller bare en signatur, om internrevisorene er uavhengige av områdene de reviderer, og hvordan logger oppbevares mellom revisjoner. For et selskap som gjør dette for første gang, omtales de tilgrensende IT-spørsmålene – logging, tilgangsstyring og sikkerhetskopieringsrutiner – på siden om digital infrastruktur, og ansvar for leverandører og datahåndtering på siden om IT-outsourcing.

Vanlige mangler

Funn som går igjen hos små og mellomstore selskaper, omtrent sortert etter hvor ofte de forekommer:

Oversikt over eiendeler. Ingen oppdatert liste over systemer, enheter og data med ansvarlige eiere. Nesten alle andre kontroller avhenger av at man vet hva som finnes, og derfor er dette vanligvis første punkt på veikartet.

Metode for risikovurdering. Enten mangler den, eller så er den arvet fra en mal uten begrunnelse for virksomheten. Sertifiseringsrevisoren spør hvordan risikoer ble identifisert og håndtert, og «konsulenten skrev det» er ikke et svar som holder.

Leverandørstyring. Ingen oversikt over hvilke leverandører som håndterer virksomhetsdata, ingen sikkerhetskrav i leverandøravtalene og ingen regelmessig gjennomgang. For selskaper som samarbeider med utviklingspartnere, henger dette avviket direkte sammen med kontraktsspørsmålene på siden om IT-outsourcing.

Tilgangsgjennomganger. Kontoer opprettes når folk begynner, men gjennomgås aldri; tidligere ansatte står fortsatt på tilgangslisten; administratorrettigheter beholdes av personer som har byttet rolle. Gjennomganger som bare finnes på papiret, uten logger, utgjør halvparten av et funn.

Hendelseshåndtering. Ingen definert prosess, kontaktliste eller registrering av hendelser som faktisk har oppstått. Hendelser virksomheten har glemt, er de som blir funn under revisjonen.

Bevisstgjøring og opplæring. En enkelt introduksjonsslide ved oppstart i stedet for et regelmessig program med logger. Standarden spør om ansatte kjenner forpliktelsene sine; en datert deltakerliste gir svar på det.

Testing av sikkerhetskopier. Sikkerhetskopier er konfigurert, men aldri gjenopprettet. En gjenoppretting som aldri er forsøkt, er en uprøvd kontroll, og den tekniske kontrollen i analysen ber vanligvis om bevis på gjenoppretting, ikke et skjermbilde av en tidsplan.

Slik velger du leverandør

Tre spørsmål skiller en grundig analyse fra en kostbar gjennomgang:

Uavhengighet. Analytikeren må ikke ha noen interesse i sertifiseringsbeslutningen – analytikere utfører ikke sertifisering, det gjør sertifiseringsorganer, og en leverandør som lover begge deler beskriver en interessekonflikt, ikke en tjeneste. Uavhengighet innebærer også at analytikeren ikke har et produkt å selge etterpå: En analyse som anbefaler leverandørens egen plattform, er et salgsdokument med funn vedlagt.

Metode. Be om metoden før du får tilbudet: hvordan omfang avtales, hvordan funn vurderes, hvilken dokumentasjon som kreves per kontrollområde, og hvilke leveranser du får. En metode som er skrevet ned på forhånd, gjør funnene etterprøvbare for sertifiseringsrevisoren senere.

Eksempelrapport. Den beste enkeltstående testen. Et avidentifisert avviksregister og en rapport viser nøyaktig hva du vil motta: om funn knyttes til klausuler med dokumentasjon, om alvorlighetsgradene er begrunnet, og om veikartet er en rekkefølge eller en ønskeliste.

To praktiske tillegg for selskaper i Türkiye: Avklar om analytikeren arbeider med standarder og sertifiseringsorganer som er kjent for kundene i målmarkedet, siden kundekrav ofte nevner bestemte ordninger. Avklar også arbeidsspråket for intervjuer og dokumenter, slik at teamene som skal rette opp funnene, kan bruke dem. Sjekklisten for leverandørforespørsler beskriver en generell metode for å vurdere slike innkjøp, og siden om IT-revisjon og rådgivning tar for seg den bredere rådgivningskonteksten.

Ofte stilte spørsmål

Hvor lang tid tar en gap-analyse?

Det avhenger av omfanget, og den som oppgir en varighet før omfanget er avklart, gjetter. De viktigste faktorene er størrelsen på omfanget – antall steder, systemer og prosesser innenfor avgrensningen – dokumentasjonens tilstand og hvor mange personer som må intervjues. Et omfang som dekker én avdeling med eksisterende retningslinjer, er et annet oppdrag enn et omfang på flere steder som starter fra ingenting. Et ærlig svar kommer etter samtalen om avgrensning, skriftlig.

Trenger vi ISO 27001 for å selge?

Som regel er dette et kundekrav snarere enn et lovkrav: Anbud, store kunder og regulerte innkjøpere ber stadig oftere om sertifisering, særlig innen programvare og tjenester. Det praktiske svaret er å se på egen salgspipeline – hvis to seriøse potensielle kunder har spurt, finnes det en forretningsbegrunnelse; hvis ingen har spurt, bygger saken på risikoreduksjon snarere enn inntekter. Standarden krever ikke sertifisering av hele organisasjonen, så en avgrenset sertifisering kan først dekke den kundevendte delen av virksomheten.

Hva er Statement of Applicability?

Dokumentet lister alle Annex A-kontroller, angir om de gjelder for omfanget deres og hvorfor, og beskriver hvordan de er implementert. Standarden krever dokumentet, og sertifiseringsorganet gjennomgår det. Det er også det mest effektive dokumentet å utarbeide tidlig, fordi det tvinger frem skriftlige kontrollbeslutninger én gang i stedet for under revisjonspress. Et SoA-utkast er én av de fire leveransene fra analysen ovenfor.

Hvordan vurderes avvik?

Etter alvorlighetsgrad og prioritet, der alvorlighetsgraden knyttes til risikoen for organisasjonen og ikke til kontrollens plassering i standarden. En nyttig vurdering forklarer seg selv: hva som kan skje hvis avviket blir stående, hvem eller hva som er utsatt, og hva som skal til for å lukke det. Vurderinger som bare rangerer punktene som «høy/middels/lav» uten begrunnelse, fører til diskusjoner senere; vurderinger med skriftlig begrunnelse gir et veikart folk følger.

Kan en gap-analyse erstatte en revisjon?

Nei. Internrevisjon og ledelsens gjennomgang er forpliktelser i ISMS, mens sertifiseringsrevisjonen utføres av et akkreditert sertifiseringsorgan. En gap-analyse kommer før begge og bidrar til begge, men har ingen revisjonsstatus – dette er poenget med «ikke et sertifikat» ovenfor. Be enhver leverandør som blander begrepene om å presisere skriftlig.

De overlapper delvis, men er ikke det samme. ISO 27001 er en standard for styringssystemer for informasjonssikkerhet, og berører personvern bare der sikkerhetskontroller beskytter personopplysninger. KVKK og GDPR fastsetter juridiske plikter – behandlingsgrunnlag, registrertes rettigheter, varsling om brudd og regler for overføring – som et ISMS kan støtte, men ikke oppfylle alene. Mange selskaper driver begge programmene med felles dokumentasjon, mens juridiske spørsmål håndteres av en kvalifisert rådgiver. Plikter etter KVKK/GDPR knyttet til leverandører og hosting omtales på siden om IT-outsourcing.

Kilder og standarder

Selve standarden er ISO/IEC 27001, utgitt av ISO (https://www.iso.org); kravene som vurderes, er klausul 4–10 og kontrollsettet i Annex A, som inneholder 93 referansekontroller i 2022-versjonen. Sertifisering utføres av akkrediterte sertifiseringsorganer som arbeider etter ISO/IEC 17021. Denne siden fremsetter ingen påstand om sertifisering.
Beskrivelsene av prosess, leveranser og vanlige mangler bygger på praksis blant fagfolk som utfører gap-analyser generelt (avgrensning, dokumentgjennomgang, intervjuer, tekniske stikkprøver, avviksregister med alvorlighetsgrad, tiltaksveikart og utkast til Statement of Applicability); siden oppgir ingen varigheter, kostnader eller suksessrater.
Beskrivelsene av sertifiseringsprosessen (dokumentasjonsrevisjon i trinn 1, implementeringsrevisjon i trinn 2 og oppfølging) følger standardens publiserte rammeverk for sertifisering. Bekreft gjeldende regler med sertifiseringsorganet du velger.
Ingen steder på denne siden hevdes det at WorldwideTradeX er ISO 27001-sertifisert eller akkreditert, og ingen sertifiseringsgaranti gis. Personvernplikter nevnes, men tolkes ikke – avklar hvilket regelverk som gjelder med en kvalifisert rådgiver.

Relaterte sider

IT-revisjon og rådgivning · Digital infrastruktur · IT-outsourcing fra Türkiye · Sjekkliste for leverandørforespørsler · Be om tilbud