ISO‑certifikatet beviser, at vi er sikre: en misforståelse

Når virksomheden har fået sit ISO 27001-certifikat, er det nærliggende at tro, at sikkerhedsspørgsmålet er afgjort. Arbejdet har været stort, en uafhængig part har godkendt det, og certifikatet hænger på væggen. Men certifikatet svarer på et andet spørgsmål end det, ledelsen kan tro. Det bekræfter, at virksomheden har et ledelsessystem for informationssikkerhed, der lever op til standardens krav. Det siger ikke, at de enkelte systemer kan modstå et forsøg på at bryde ind. Misforståelsen er forståelig, og den er værd at rette, før den styrer beslutninger.

Hvorfor misforståelsen opstår

Der er gode grunde til, at certifikat og sikkerhed smelter sammen i ledelsens bevidsthed. Certificeringen kræver meget arbejde, og arbejdet handler om sikkerhed. Kunder spørger efter certifikatet, som om det var et kvalitetsstempel. Og ordet certificeret lyder som en garanti.

Hertil kommer, at certificeringen har en tydelig afslutning med en revision og et dokument, mens sikkerhed ikke har det. Det er menneskeligt at lade det afsluttede projekt stå for det hele. Certifikatet bliver let det synlige symbol på en indsats, som ledelsen har prioriteret og betalt for, og det er naturligt at ville se den indsats anerkendt. Ingen i ledelsen har gjort noget forkert ved at glæde sig over certifikatet. Problemet opstår først, når det bruges som svar på spørgsmål, det ikke dækker. Derfor handler rettelsen ikke om at tale certifikatet ned, men om at bruge det til det, det er lavet til.

Hvad certifikatet faktisk dækker

Dansk Standard beskriver ISO/IEC 27001 som en ledelsesstandard, der stiller krav til et ledelsessystem for informationssikkerhed og til løbende forbedring af det. Virksomheden vurderer selv sine risici og dokumenterer i en erklæring om anvendelighed, hvilke foranstaltninger den har valgt til og fra.

Det giver ledelsen tre ting, som er værdifulde:

En styret proces · risici vurderes, beslutninger dokumenteres, og ansvar er placeret.
En ekstern vurdering · en uafhængig part har set på, om processen lever op til standarden.
En ramme for forbedring · systemet skal holdes ved lige og udvikles.

Det, certifikatet ikke giver, er en afprøvning af, om de valgte foranstaltninger holder i praksis på de konkrete systemer. Revisionen ser på ledelsessystemet. Den forsøger ikke at bryde ind. → Skal vi certificeres?

Hvor forskellen bliver synlig

Forskellen mellem en styret proces og afprøvet sikkerhed kan vise sig på bestemte steder. Ledelsen kan bruge dem som pejlemærker:

Det, der er valgt fra · en foranstaltning, der er vurderet unødvendig, kan vise sig at mangle, når nogen prøver.
Det, der er ændret siden · nye systemer og leverandører kommer til mellem revisionerne.
Det, der står på papiret · en procedure kan være godkendt uden at blive fulgt i hverdagen.
Det, der ikke er med i omfanget · certificeringen dækker det, virksomheden har afgrænset, ikke nødvendigvis alt.

På hvert af de fire steder kan en sikkerhedstest give et svar, som certifikatet ikke giver. → Virker de sikkerhedsinvesteringer, vi har gjort?

Når certifikatet bruges som svar

Misforståelsen gør mest skade, når den former virksomhedens svar til andre eller ledelsens egne beslutninger. Tre situationer er værd at kende:

Over for kunderne · certifikatet nævnes som bevis på, at kundens data er sikre, selv om det kun dokumenterer et ledelsessystem.
I budgettet · en ønsket test bliver fravalgt med henvisning til, at virksomheden jo er certificeret.
Efter en hændelse · ledelsen undrer sig over, at noget kunne ske, når alt var godkendt.

Den første situation kan få betydning for, hvad virksomheden har lovet. Den anden kan efterlade virksomheden uden viden om, hvor den står. Den tredje er den dyreste måde at opdage forskellen på. Fælles for dem er, at certifikatet får lov at svare på et spørgsmål om afprøvet sikkerhed, som ingen har stillet til selve systemerne. → Løfter om sikkerhed til kunderne

Sådan bruges certifikat og test sammen

Certifikatet og testen konkurrerer ikke. De supplerer hinanden, og ledelsen får mest ud af begge, når de kobles. Certificeringen giver en proces, hvor testresultater kan indgå i risikovurderingen og i opfølgningen. Testen giver processen noget konkret at arbejde med.

I praksis kan ledelsen bede om, at fund fra en sikkerhedstest behandles i ledelsessystemet som andre risici: med ejer, prioritet og frist. Så bliver testen en del af den løbende forbedring, standarden lægger op til, og certifikatet kommer til at dække noget, der også er afprøvet. Ledelsen kan stille nogle enkle spørgsmål til den ansvarlige for ledelsessystemet for at se, om koblingen er på plads:

Hvornår blev de vigtigste systemer sidst afprøvet? · svaret viser, om ledelsessystemet bygger på afprøvede forhold.
Hvor står fundene fra den seneste test? · de bør kunne findes i risikovurderingen eller handlingsplanen.
Hvad er ændret siden sidste revision? · nye systemer og leverandører er kandidater til næste test. → Bliver fundene rettet?

Et tænkt eksempel

En virksomhed, der driver bookingsystemer for fitnesscentre, har været certificeret i et par år. På et bestyrelsesmøde foreslår et nyt bestyrelsesmedlem en sikkerhedstest af bookingplatformen. Direktøren svarer først, at certificeringen dækker det.

Efter mødet beder bestyrelsesformanden om en kort redegørelse for, hvad certifikatet dækker. Redegørelsen viser, at platformen er omfattet af ledelsessystemet, men at dens sikkerhed aldrig er afprøvet af en uafhængig tester. Ledelsen beslutter at bestille en test og at lade fundene indgå i næste risikovurdering. Ledelsen beder også om, at bookingplatformen fremover nævnes i den årlige plan for afprøvning, så spørgsmålet ikke afhænger af, at et nyt bestyrelsesmedlem stiller det. I salgsmaterialet erstattes sætningen om, at kundernes data er sikre takket være certificeringen, med en beskrivelse af, hvad certificeringen omfatter.

Det skal I lade være med

At bruge certifikatet som bevis for sikkerhed · det dokumenterer et ledelsessystem.
At fravælge test med henvisning til certificeringen · de svarer på forskellige spørgsmål.
At glemme det, der er valgt fra · fravalgte foranstaltninger er også beslutninger.
At lade testresultater ligge uden for ledelsessystemet · lad dem indgå i risikovurderingen.
At tale certifikatet større, end det er · beskriv, hvad det omfatter.

Hvad kan og ikke kan konkluderes

Et ISO 27001-certifikat viser, at virksomheden har et ledelsessystem for informationssikkerhed, som en uafhængig part har vurderet i forhold til standarden. Det kan ikke bruges som dokumentation for, at bestemte systemer er fri for svagheder, eller at et angreb ikke vil lykkes. En sikkerhedstest kan heller ikke stå alene; den afprøver det, der er i omfanget, på det tidspunkt, den udføres. → Har vi gjort nok?

Tjekliste til ledelsen i en certificeret virksomhed

☐ Ved ledelsen, hvilke systemer certificeringen omfatter?
☐ Er de vigtigste systemer afprøvet af en uafhængig tester?
☐ Indgår testresultater i risikovurderingen og opfølgningen?
☐ Beskriver salgsmaterialet certifikatet præcist?
☐ Er fravalgte foranstaltninger vurderet igen efter større ændringer?

Kilder

Dansk Standard, ISO/IEC 27001 Informationssikkerhed: standarden som ledelsesstandard med krav til et ledelsessystem og løbende forbedring; erklæringen om anvendelighed, hvor virksomheden dokumenterer valgte og fravalgte foranstaltninger.

Senest gennemgået: oktober 2026.