ISO 27001 kan bruges til at måle sikkerheden, selv om virksomheden ikke vil certificeres. Standardens egen opfølgning består af løbende måling, en intern audit og en gennemgang i ledelsen, og hver af de tre kan give et målepunkt, der gentages år for år.
Mange koncerner har allerede et ledelsessystem bygget efter standarden i nogle selskaber. Spørgsmålet er, hvordan de samme mekanismer kan give et tal, der kan følges over tid og på tværs af enheder.
Et forbehold om kilderne
Selve standarden har vi ikke kunnet læse. ISO afviste adgang, og standarden er betalt materiale. Beskrivelsen bygger på Dansk Standards katalogside om ISO/IEC 27001 og på Digitaliseringsstyrelsens “Vejledning i evaluering og opfølgning” fra juni 2016. Vejledningen er skrevet til 2013-udgaven af standarden. Den gældende udgave er fra 2022, og afsnits- og kontrolnumre er ændret siden. Vi gengiver derfor ingen numre, og I bør læse den gældende standard, før I bygger en måling på den.
Det, standarden handler om
Dansk Standard beskriver ISO/IEC 27001 som en standard med krav til at etablere, drive og forbedre et ledelsessystem for informationssikkerhed, bygget på risikostyring. I anvendelseserklæringen, ofte kaldt SoA, vælger organisationen fra en liste, hvilke foranstaltninger der gennemføres.
Kravene kan bruges uden certifikat. Certificeringen er en ekstern bekræftelse af, at systemet lever op til standarden. Måleprogrammet, den interne audit og ledelsens gennemgang er dele af systemet, som virker, uanset om nogen udefra bekræfter dem.
Tre aktiviteter, tre målepunkter
Digitaliseringsstyrelsens vejledning fra 2016 beskriver tre aktiviteter, hvor de to første giver input til den tredje.
- Overvågning og måling · Vejledningens beskrivelse: Målepunkter om mennesker, processer og teknologi, med tærskler og rapportering i grøn, gul og rød · Målepunkt i en koncern: (Andel af nøgletal i grøn pr. enhed, med retning)
- Intern audit · Vejledningens beskrivelse: En planlagt og uafhængig gennemgang, der dokumenteres · Målepunkt i en koncern: (Antal åbne afvigelser og deres alder)
- Ledelsens gennemgang · Vejledningens beskrivelse: Topledelsens ansvar, med målinger, auditresultater og risikobillede som input · Målepunkt i en koncern: (Dokumenterede beslutninger pr. gennemgang)
Eksemplerne i højre kolonne er tænkte. De viser, at hver aktivitet kan give et tal, som kan følges fra år til år.
Måleprogrammet
Vejledningen beskriver måleprogrammet i fire faser: fastlæg målepunkter og tærskler, indhent data, analyser og rapporter. Rapporteringen sker i grøn, gul og rød med en angivelse af retningen. Omfanget af programmet afhænger efter vejledningen af organisationens modenhed. En organisation, der lige er begyndt, kan nøjes med få målepunkter.
Vejledningen peger på et princip, der er vigtigt i en koncern. Den, der driver en proces, bør ikke selv måle den. Når enhederne rapporterer egne nøgletal, bør nogen uden for enheden kunne kontrollere datagrundlaget.
Intern audit som målepunkt
Vejledningen beskriver intern audit som en planlagt og uafhængig gennemgang, der dokumenteres, og holder den adskilt fra revision. Hvor revisor skal nå frem til en meget sikker konklusion og derfor tager mange stikprøver, ligner intern audit efter vejledningen mere et review. Auditører må ikke auditere deres eget arbejde. Afvigelser skal føre til en handlingsplan med frist, ansvar og kriterier for, hvornår afvigelsen er lukket.
For koncernen giver det to målepunkter. Det ene er dækningen: hvor stor en del af enhederne og områderne er auditeret i perioden. Det andet er lukningen: hvor mange afvigelser er lukket til tiden. Begge kan sammenlignes mellem enheder, hvis auditten følger samme program. Hvordan den interne audit organiseres i forhold til intern revision, står i intern revision og ekstern sikkerhedsvurdering.
Ledelsens gennemgang som målepunkt
Ledelsens gennemgang er efter vejledningen topledelsens ansvar. Input er blandt andet resultaterne af målingerne, auditresultaterne, en opdateret gap-analyse og risikobilledet. Beslutningerne skal dokumenteres.
Det gør gennemgangen til et målepunkt for ledelsens engagement. Holdes den til tiden? Er input komplet? Fører den til beslutninger, der kan genfindes? I en koncern kan spørgsmålene stilles både til koncernledelsen og til hvert selskabs ledelse. Det offentliges brug af ISO-måling er beskrevet under det offentliges IT-audit.
Uden certifikat, men ikke uden disciplin
Fravælger koncernen certificering, mister den den eksterne kontrol, som certificeringsorganets besøg giver. Det skal erstattes, hvis tallene skal kunne bære. En mulig løsning er at lade en uvildig part gennemgå et udvalg af enhedernes interne audits hvert år og vurdere, om de er gennemført efter programmet. Det er praksis og ikke standardens krav.
Fra tre aktiviteter til én måleserie
De tre målepunkter giver først et billede over tid, når de opgøres på samme måde hvert år. Det betyder, at nøgletallene i måleprogrammet skal have faste definitioner, at auditprogrammet skal tælle dækning og lukning efter samme regel, og at ledelsens gennemgang skal have en fast dagsorden. Ændres en definition, skal ændringen stå i rapporten, så et spring i tallet ikke læses som en forbedring eller en forværring.
I en koncern med både certificerede og ikke-certificerede selskaber er det en fordel, at alle bruger de samme tre målepunkter. Så kan koncernen følge alle selskaber i én serie, uanset om de har et certifikat. Forskellen ligger i, hvem der har kontrolleret tallene.
Hvad det kræver, og hvad det koster at lade være
Det kræver et fælles måleprogram for koncernen, et auditprogram, der dækker enhederne efter en plan, og ledelsesgennemgange, der holdes og dokumenteres. Endelig skal koncernens procedurer rettes til efter 2022-udgaven, hvilket forudsætter, at nogen har den foran sig.
Uden de tre faste målepunkter bliver ISO 27001 en mappe med politikker. Der er intet tal at følge, og bestyrelsen kan ikke se, om systemet virker eller blot findes.
Det skal I lade være med
- At bygge procedurer på kontrolnumre fra 2013-udgaven · nummereringen er ændret i 2022.
- At lade enhederne måle deres egne processer uden kontrol · den, der driver processen, bør ikke måle den.
- At holde ledelsens gennemgang uden dokumenterede beslutninger · så kan den ikke bruges som målepunkt.
Det skal gennemgangen kunne vise
- ☐ Et måleprogram med målepunkter, tærskler og retning.
- ☐ Et auditprogram med dækning af enheder og områder.
- ☐ Handlingsplaner for afvigelser med frist, ansvar og kriterier.
- ☐ Referater fra ledelsens gennemgang med input og beslutninger.
- ☐ Den udgave af standarden, procedurerne bygger på.
Kilder
- Digitaliseringsstyrelsen, Vejledning i evaluering og opfølgning, juni 2016, læst 14. november 2026.
- Dansk Standard, ISO/IEC 27001 Information security management, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find referatet fra jeres seneste ledelsesgennemgang og se, om input og beslutninger kan tælles.
Læs også: Certificerede enheder i koncernmålingen · Nøgletal mellem to vurderinger
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
