Paras ISO27001 sertifioitumisprojektinne koskaan

Paras ISO27001 sertifioitumisprojektinne koskaan

06.02.2024
22:59
isms, iso27001

Thomas

The author works at and owns Mint Security, a mean and lean security company founded in 2015. No fuzz (literally - we do not fuzz, there are companies better equipped to do that).

ISO27001 -sertifointiprojektin aloittaminen on haastavaa. On templateja, on ajatuksia, on olemassa olevaa dokumentaatiota – ja päällimmäisenä paljon kysymyksiä. Mistä tahansa asiaa katsookin, tuntuu että jostain toisesta paikasta olisi sittenkin parempi aloittaa. Ja tuleva tuntematon, eli auditointi pelottaa.

Tämä ei ole tavatonta. Mitkään valmispohjat, täyttöohjeet ja onlinetyökalut ei tätä asiaa ratkaise.

ISO27001 -toteutusprojekti Mint-tyyliin

Joulupuun rungosta aloitetaan

Meidän projekteissamme olemme päättäneet, että alkuun on päästävä. Ja alkuun on päästävä heti. Ilman selityksiä ja jaarittelua. Asiakasta pidetään kädestä kiinni, mutta asiakkaan on myös uskallettava ottaa omia itsenäisiä askeleita. Me emme voi emmekä aio kirjoittaa kaikkea asiakkaan puolesta. Siksi meillä on joulupuumalli. Joulupuulla on runko – niin on myös ISO27001 -dokumentaatiolla. Runkoon kirjoitetaan perusasioita standardinmukaisten otsikoiden alle. Tehdään asia hyvin yksinkertaiseksi. Kun tämä runko on saatu alkuun, on paljon helpompi jatkaa. Vaikka organisaatiot ja yritykset ovat uniikkeja, runko on kaikilla organisaatioilla tässä suhteessa hyvin samankaltainen.

Joulupuu koristellaan

Tunnistamme seuraavaksi isoja kokonaisuuksia, jotka eivät sovi runkoon, vaan jotka ovat merkittäviä koristeita – eli käytännössä erillisiä dokumentteja. Näillä dokumenteilla täydennämme kokonaisuutta. Alta aikayksikön olemme saaneet aikaiseksi sekä ”pakollista dokumentaatiota”, että visualisoitavan rakenteen hallintajärjestelmälle. Näin koko projekti ja sen konteksti hahmottuu asiakkaalle. Kun asiat hahmottuvat, ovat ne lähestyttävämpiä. Samalla projektihallinta tulee melkein kaupan päälle – tehtävälistat muodostuvat helposti ja konkreettisesti.

Kiipeämme kontekstipyramidia ylös ja alas

Seuraavaksi tartummekin toiseen visuaaliseen työkaluumme, pyramidiin. Pyramidia kuljemme ylös ja alas ja sitä kautta löydämme yksittäisen yrityksen uniikit asiat ja yrityksen oman todellisen kontekstin. Rakennamme tietoturvatavoitteet ja riskit siten, että niistä syntyy järkevä SoA (Statement of Applicability). Kuin itsestään olemme taas synnyttäneet uutta ”pakollista dokumentaatiota” – mutta luonnollisella tavalla.

Vaivatonta projektihallintaa

Joulupuun ja kontekstipyramidin avulla lopputuloksena asiakas ja konsultti näkevät ja visioivat nyt projektin ja lopputuloksen samalla tavalla. Runko on selkeä, oksille muodostuu sisältöä ja projektin aikataulutuskin on melkein itsestään selvää. Lisäksi asiakas vie projektia ja konsultteja, eikä päinvastoin.

Osaamista siirtyy asiakkaalle

Kokonaisuudessa asiat liittyy toisiinsa. Lähestymistavallamme asiakas saa kuin varkain myös omaa näkemystä ja kyvykkyyttä ratkaista asioita – päättelykykyä ja rohkeutta toimia vähän pelottavassa kokonaisuudessa. Pelottavassa siksi, että lopputulostahan tulee ulkoinen auditoija arvioimaan kriittisin silmin. Punaisen langan ollessa selkeästi näyvillä ja seurattavissa, ei asiat ole ollenkaan niin pelottavia. Käytännössä asiakkaan ydintiimi ei tämän kummempaa koulutusta tarvitse saadakseen projektin maaliin.

Hallitut projektiriskit aikataulu- ja resurssityökaluna

Puhuttaessa auditoijan näkökulmasta päästäänkin kolmanteen työkaluun mitä hyödynnämme. Tämä työkalu kulkee meillä nimellä ”hallittu projektiriski”. Me emme pyri täydellisyyteen vaan itse asiassa pyrimme siihen, että käytämme aikaa ja resursseja oikein ja käänteisesti vältämme käyttämästä niitä tehottomasti. Projektissa pitää pyrkiä epätäydellisyyteen, oikeissa kohdissa. Pahimmassa tapauksessa, eli projektiriskin realisoituessa, sisäisen auditoinnin tai sertifiointiauditoinnin tehdessä havaintoja ja löydöksiä, korjaamme tilanteen nopeasti ja täsmällisesti havaintojen mukaisesti. Onko tässä ristiriitaa standardin asettamaan toimintamalliin? Ei suinkaan, standardi pyrkii kannustamaan jatkuvaan parantamiseen. Projektiriskien käsittely on itse asiassa harjoittelua tähän jatkuvan parantamisen prosessiin.

Auditoija tulee joka tapauksessa tekemän löydöksiä – se on osa jatkuvan parantamisen prosessia sekin. Ja löydösten tekeminen on auditoijan työ.

Yhteenveto

Tätä se überkonsultointi sitten tarkoittaa. Yhteenvetona asia voidaan kuvata näin:

Joulupuumalli tarjoaa hyvin matalakynnyksisen lähestymisen ISO27001 -projektin dokumentaatioon
Kontekstipyramidi tarjoaa työkalut yrityksen oman kontekstin kuvaamiseen ja ymmärtämiseen
Projektiriski taklaa perisuomalaisen täydellisyyteen pyrkimisen problematiikan

Meille ja asiakkaillemme tämä on überkonsultointia parhaimmillaan. Tervetuloa tekemään kanssamme parasta ISO27001 -sertifoitumisprojektianne koskaan.

Blogit

ISMS projektin ensimmäiset askeleet

ISMS tai ISO27001 -projekti voi lähteä hyvin erilaisista lähtökohtista liikkeelle. Jotkut ovat tutustuneet standardiin, jotkut jo kirjoittaneet ensimmäisiä dokumentteja – joillekin taas tämä on ensikosketus ylipäätään mihinkään määrämuotoiseen tietoturvatyöskentelyyn.

Lue lisää »

Blogit

Riskienhallinta ja ISO27001

Onko haaveissa olla ISO27001 yhteensopiva? Thomas on kirjoittanut blogin millaisista lähtökohdista ISO27001 sertifiointiprojektiin voi lähteä. Tässä blogissa avataan riskienhallinnan merkitystä ISO27001-sertifikaattia tavoiteltaessa.

Lue lisää »

Blogit

ISO 27001 – keskeiset vaatimukset

Jokainen organisaatio on tietoturvatarpeiltaan ja -kyvykkyyksiltään yksilöllinen, eikä ISO 27001 pyri tätä tosiasiaa muuttamaan. Standardi ohjaa ottamaan käyttöön asianmukaisia prosesseja ja käytäntöjä, joilla parannetaan, selkeytetään ja ylläpidetään tietoturvaa luontaisena osana jokapäiväistä toimintaa.

Lue lisää »

Thomas

The author works at and owns Mint Security, a mean and lean security company founded in 2015. No fuzz (literally - we do not fuzz, there are companies better equipped to do that).