Kontrollit eivät pelasta huonoa ISO/IEC 27001 -toteutusta

Silti auditointi voi epäonnistua. Tai pahimmillaan menee läpi ilman, että mikään oikeasti muuttuu.

ISO/IEC 27001 ei ole kontrollikehikko vaan johtamisjärjestelmä

Syy ei yleensä ole kontrolleissa. Syy on siinä, että ISO/IEC 27001 ei ole kontrollikehikko vaan johtamisjärjestelmä, ja se unohtuu liian usein.

Kun auditoija kysyy, miten tietoturvaa johdetaan, vastaus ei löydy palomuurista tai käyttöoikeusmatriisista, vaikka ne tärkeitä sipulimallin* kannalta ovatkin. Se löytyy siitä, ymmärtääkö organisaatio oman toimintaympäristönsä, onko johdolla aito rooli tietoturvassa ja onko vastuut määritelty niin, että myös riskeillä on omistajat. ISO/IEC 27001:n vaatimukset 4–10 pakottavat tähän ajatteluun, mutta ne jäävät helposti kontrollien varjoon. 

Riskit määrittävät kontrollit – ei toisinpäin

Erityisen selvästi tämä näkyy riskienhallinnassa. ISO/IEC 27001:ssa kontrollit eivät ole lähtökohta vaan lopputulos. Ensin pitäisi pysähtyä miettimään, mitkä tiedot tai asiat ja sen kautta riskit ovat tälle organisaatiolle olennaisia, mitkä niistä hyväksytään ja mihin halutaan oikeasti vaikuttaa. Vasta sen jälkeen on järkevää päättää, millä kontrolleilla riskejä pienennetään - jos pienennetään. Joskus oikea päätös on hyväksyä riski tai muuttaa toimintaa, ei ottaa uutta teknistä kontrollia käyttöön. 

Tässä kohtaa Liite A nousee usein jalustalle, vaikka se on vain yksi mahdollinen kontrollikirjasto. ISO/IEC 27001 ei vaadi käyttämään sitä, eikä varsinkaan ottamaan kaikkia kontrolleja käyttöön. Se vaatii perusteluja. Soveltuvuuslausunto ei ole ruksilista auditoijaa varten, vaan dokumentti, joka kertoo, miten organisaatio ajattelee riskejään ja miksi tietyt kontrollit ovat mukana – tai jätetty pois. Toki Liite A on erinomainen, valmiiksi ajateltu lista keinovalikoimasta. 

Todellinen testi alkaa auditoinnin jälkeen

Lopulta sertifioinnin todellinen koetinkivi ei ole alkuauditointi vaan se, mitä tapahtuu sen jälkeen. ISMS joko jää elämään omaa elämäänsä tai ohjaa aidosti päätöksentekoa, riskienhallintaa ja arjen tietoturva tekemistä.

Onko tietoturvallisuudelle riittävä resursointi, kuten tietoturvasta vastaava henkilö? Onko henkilöstö tietoinen omasta roolistaan tietoturvassa? Seurataanko toimintaa ja opitaanko poikkeamista? Parannetaanko tekemistä systemaattisesti vai jääkö ISMS elämään omaa elämäänsä SharePointissa? 

ISO/IEC 27001 ei kysy, onko organisaatio täydellinen. Se kysyy, onko tietoturva johdettua. Ja siihen kysymykseen kontrollit yksin eivät koskaan riitä vastaamaan.

Haluatko rakentaa järjestelmän, joka toimii myös auditointien ulkopuolella?

Jos haluat varmistaa, että ISO/IEC 27001 -toteutuksesi ei jää pelkäksi kontrollilistaksi vaan tukee aidosti liiketoimintaa, ota yhteyttä! Me Kiwa Impactilla autamme mielellämme.

*Tietoturvan sipulimalli, eli kerroksellinen kriittisten tietojen puolustusjärjestelmä, jossa hyökkääjää itkettää yrittäessään päästä siitä läpi.

Kirjoittaja

Joonas Heimonen

Johtava konsultti, Kiwa Impact Oy