ISO/IEC 27005 lead-implementer" data-autoinject="link_injection">Lead Risk Manager-eksamen er en vurdering av hvordan du anvender risikostyring i konkrete informasjonssikkerhetsscenarioer, ikke bare hvor godt du kan pugge begreper fra standarden. Derfor er ren begrepspugging normalt en svak strategi.
ISO/IEC 27005:2022 handler om risikostyring for informasjonssikkerhet og brukes ofte som støtte for et styringssystem etter ISO/IEC 27001:2022. For en kandidat betyr det at forberedelsen bør dreie seg om mer enn definisjoner: hvordan kontekst avklares, hvordan risikokriterier etableres, hvordan risiko identifiseres og analyseres, og hvordan behandling, aksept og overvåking dokumenteres på en måte som passer virksomheten.
Sist oppdatert: 22. juli 2026. Veiledningen tar utgangspunkt i 2022-revisjonene av ISO/IEC 27005 og ISO/IEC 27001. Eksamensformat, språk, varighet, kostnader, hjelpemidler og krav til bestått varierer mellom sertifiseringsorganer og kursleverandører, så kandidater bør alltid kontrollere gjeldende kandidatveiledning før de melder seg opp eller lager en detaljert studieplan.
Hva eksamen egentlig prøver å måle
En Lead Risk Manager-eksamen er vanligvis rettet mot personer som skal kunne lede eller støtte risikoarbeid i et ISMS, ikke bare delta i en enkelt workshop. Det innebærer å forstå hvordan risikoarbeidet henger sammen med virksomhetens mål, interessenter, regulatoriske krav, risikotoleranse og sikkerhetsmål. ISO/IEC 27005 gir en risikostyringsramme for informasjonssikkerhet; ISO/IEC 27001 plasserer dette inn i styringssystemet, blant annet gjennom kontekst, ledelsesforankring, risikoeierskap og forbedring.
Dette skiller ISO/IEC 27005 Lead Risk Manager fra ISO/IEC 27001 Lead Implementer og Lead Auditor. Lead Implementer passer best for dem som skal etablere og drive et ISMS, mens Lead Auditor retter seg mot revisjon av styringssystemet. ISO/IEC 27005 Lead Risk Manager går dypere inn i risikoanalyse, risikokriterier, evaluering, behandling og oppfølging. Valget bør derfor styres av arbeidsoppgavene kandidaten faktisk skal utføre.
En vanlig feil er å behandle ISO/IEC 27005 som et oppslagsverk for kontroller. Kontroller kan være relevante når risiko skal behandles, men risikoarbeidet starter tidligere. Kandidaten må kunne oversette en scenariotekst til aktiva, trusler, sårbarheter, hendelser, konsekvenser, sannsynlighet, eksisterende tiltak, risikoeier og beslutning om videre behandling. Det er her mange svar blir for generelle: de navngir en kontroll, men forklarer ikke hvorfor akkurat den behandlingen reduserer årsaken til risikoen eller bringer risikoen innenfor akseptkriteriene.
Bygg forståelsen rundt én realistisk risiko
En god måte å forberede seg på er å øve på én risiko fra start til slutt. Tenk på en mellomstor virksomhet som flytter økonomisystemet sitt til en skybasert løsning. I en risiko-workshop deltar systemeier, drift, sikkerhet, økonomi og en representant fra leverandørstyring. Gruppen finner at feilkonfigurerte tilgangsrettigheter kan gi uautorisert innsyn i betalingsdata. Dette er ikke bare en teknisk observasjon; det er et risikoscenario som må beskrives presist nok til at virksomheten kan ta en beslutning.
I risikoregisteret bør aktiva være tydelig, for eksempel betalingsdata og økonomisystemets tilgangsmodell. Trusselen kan være misbruk av privilegerte rettigheter eller kompromitterte brukerkontoer. Sårbarheten kan være mangelfull rollemodell, svak periodisk tilgangskontroll eller utilstrekkelig logging. Konsekvensen kan beskrives i form av konfidensialitet, etterlevelse, økonomisk tap og omdømme, uten å bruke ubegrunnede tall dersom scenarioet ikke gir grunnlag for det.
Deretter må risikoen vurderes mot kriterier som passer virksomheten. En «one-size-fits-all»-skala for sannsynlighet og konsekvens fungerer dårlig både i praksis og i eksamenssvar. En helsevirksomhet, en bank og en produksjonsbedrift kan ha helt ulike toleranser for nedetid, datalekkasje og regulatoriske avvik. Et godt svar forklarer derfor hvordan kriteriene er forankret i kontekst, mål og risikotoleranse før risikoen evalueres.
Risikobehandling bør også begrunnes. Dersom årsaken er uklar rollemodell, kan behandlingen være å etablere rollebasert tilgang, innføre godkjenningsflyt for privilegerte rettigheter, gjennomføre periodisk tilgangsrevisjon og overvåke avvik. Dersom årsaken er manglende leverandørkontroll, må behandlingen også omfatte avtaler, rapportering og oppfølging. Risikoaksept bør dokumenteres med hvem som aksepterer, på hvilket grunnlag, innenfor hvilke kriterier og når beslutningen skal vurderes på nytt.
Hvordan knytte ISO/IEC 27005 til ISO/IEC 27001:2022
ISO/IEC 27005 og ISO/IEC 27001 bør ikke blandes sammen, men de bør heller ikke leses isolert. ISO/IEC 27001 beskriver kravene til styringssystemet, mens ISO/IEC 27005 gir veiledning for hvordan informasjonssikkerhetsrisiko kan håndteres. I en eksamensbesvarelse kan kandidaten ofte skape struktur ved å starte med kontekst og risikokriterier, fortsette med analyse og evaluering, og avslutte med behandling, aksept, overvåking og forbedring.
Dette er også en god måte å unngå begrepsblanding med ISO 31000 og NIST 800-30. Disse rammeverkene kan være nyttige i virksomheter, men en ISO/IEC 27005-eksamen forventer normalt at svaret bruker ISO/IEC 27005-logikken og knytter den til et ISMS. Å hente inn alternative begreper uten å forklare dem kan gjøre svaret uklart. Kandidaten bør heller bruke ett konsistent språk og vise hvordan beslutningene støtter styringssystemet.
Vedlegg A i ISO/IEC 27001:2022 kan være relevant når behandlingstiltak vurderes, men kontrollsettet er ikke selve risikoanalysen. Før en kontroll velges, må risikoen være forstått. Etter at en kontroll er valgt, må det fortsatt vurderes om restrisikoen er akseptabel. Dette skillet er viktig: kontrollvalg uten risikobegrunnelse blir ofte en svakere besvarelse enn en kort, presis forklaring av årsak, tiltak, ansvar og oppfølging.
En praktisk studieplan over fire til seks uker
Forberedelsen bør produsere konkrete arbeidsprodukter, ikke bare markerte sider i kursmateriell. En kandidat som kan lage et enkelt risikoregister, formulere risikokriterier, begrunne behandlingstiltak og forklare koblingen til ISO/IEC 27001, står vanligvis sterkere enn en kandidat som bare kjenner terminologien. Strukturerte kurs kan hjelpe noen kandidater med å få progresjon og oppgaver; Readynez tilbyr for eksempel ISO/IEC 27005 Lead Risk Manager-opplæring for dem som ønsker et styrt løp, men egenøving på scenarioer er fortsatt avgjørende.
- Uke 1: Les deg opp på formålet med ISO/IEC 27005:2022 og repeter hvordan ISO/IEC 27001:2022 bruker risiko i ISMS-sammenheng.
- Uke 2: Lag egne risikokriterier for en valgt virksomhetstype og test om kriteriene faktisk støtter beslutninger om aksept, prioritering og behandling.
- Uke 3: Øv på risikoidentifisering ved å oversette scenarioer til aktiva, trusler, sårbarheter, hendelser, konsekvens og risikoeier.
- Uke 4: Bygg et risikoregister med analyse, evaluering, behandling, restrisiko, ansvar og oppfølgingspunkter.
- Uke 5: Skriv korte eksamenslignende svar der strukturen følger kontekst, analyse, evaluering, behandling og overvåking.
- Uke 6: Repeter svake områder, sammenlign svarene dine med standardens logikk, og kontroller praktiske eksamenskrav hos valgt tilbyder.
Planen kan komprimeres eller utvides, men leveransene bør beholdes. Særlig risikokriterier fortjener mer tid enn mange setter av. Kandidater som bruker generiske skalaer uten å forklare virksomhetskontekst, får ofte problemer når scenarioet inneholder motstridende hensyn, for eksempel høy regulatorisk konsekvens, lav teknisk sannsynlighet og en forretningskritisk tjeneste.
Vanlige feil i forberedelsen
Den første feilen er å lese standarden som en ordliste. Begrepene er nødvendige, men eksamen krever ofte vurdering. Kandidaten må kunne forklare hvorfor en risiko er betydelig, hvorfor en behandling er egnet, og hvordan beslutningen skal følges opp. Et presist svar bruker begrepene til å løse problemet i scenarioet, ikke til å gjengi teori løsrevet fra situasjonen.
Den andre feilen er å hoppe rett til tiltak. I praksis skjer dette ofte i workshopper: noen foreslår multifaktorautentisering, logging eller opplæring før gruppen har avklart hva risikoen faktisk består i. Tiltak kan være riktige, men de må kobles til årsak. Hvis risikoen skyldes uklart eierskap, hjelper ikke et teknisk tiltak alene. Hvis risikoen skyldes svak leverandøroppfølging, må behandlingen omfatte styring, avtaleverk og kontrollpunkter.
Den tredje feilen er å overse risikoeierens rolle. Risikoarbeid er ikke komplett før noen har myndighet til å akseptere, redusere, overføre eller unngå risikoen innenfor virksomhetens kriterier. I en eksamensbesvarelse bør eierskap, beslutningsgrunnlag og oppfølging komme tydelig frem, særlig når restrisiko aksepteres.
Eksamensstrategi på selve dagen
Før eksamen bør kandidaten ha bekreftet praktiske detaljer hos tilbyder: språk, format, identitetskrav, tillatte hjelpemidler, regler for pauser, tekniske krav ved fjernavleggelse og hvordan resultat eller eventuell klage håndteres. Slike detaljer varierer, og det er risikabelt å basere seg på andres erfaringer dersom tilbyderens policy er endret.
Når oppgaven er scenariobasert, bør første lesing brukes til å forstå konteksten. Hvilken type virksomhet beskrives? Hvilke aktiva er berørt? Hvem eier risikoen? Hvilke krav eller mål er relevante? Ved andre lesing bør kandidaten markere signalord som peker på trusler, sårbarheter, eksisterende kontroller, konsekvenser og begrensninger. Mange distraktorer ligner relevante detaljer, men påvirker ikke risikobeslutningen.
Et godt svar kan struktureres rundt fem bevegelser: kontekst, analyse, evaluering, behandling og overvåking. Først beskrives rammen og kriteriene, deretter risikoens bestanddeler, så vurderes risikoen mot kriteriene, før behandling og restrisiko forklares. Til slutt bør svaret si hvordan risikoen skal følges opp. Denne strukturen gjør det lettere å svare presist uten å spekulere i leverandørspesifikke krav.
Tidsstyring handler ikke bare om tempo. Kandidaten bør unngå å bruke for lang tid på ett scenario fordi det virker kjent. Kjente scenarioer kan inneholde små detaljer som endrer riktig vurdering, for eksempel en ny risikotoleranse, et regulatorisk krav eller en begrensning i budsjett og ansvar. Det tryggeste er å la scenarioet styre svaret.
Vanlige spørsmål før påmelding
Må man kunne ISO/IEC 27001 før ISO/IEC 27005 Lead Risk Manager?
Det er vanskelig å arbeide godt med ISO/IEC 27005 uten å forstå hvordan risiko brukes i et ISMS etter ISO/IEC 27001:2022. Kandidaten trenger ikke nødvendigvis å ha en egen ISO/IEC 27001-sertifisering først, men bør forstå kontekst, ledelsesforankring, risikoeierskap, sikkerhetsmål, kontrollvalg og forbedring.
Er eksamen lik hos alle sertifiseringsorganer?
Nei. Format, språk, varighet, krav til bestått, kostnader, omprøvevilkår og sertifikatregler kan variere. Kandidater bør kontrollere den offisielle kandidatveiledningen hos valgt sertifiseringsorgan før de planlegger tid, budsjett og eksamensstrategi.
Hva bør man øve mest på?
Den mest verdifulle øvingen er å arbeide med scenarioer. Kandidaten bør trene på å trekke ut aktiva, trusler, sårbarheter, konsekvenser og eierskap, vurdere risiko mot kriterier, foreslå behandling og forklare hvordan restrisiko skal aksepteres eller overvåkes. Dette gir bedre eksamensberedskap enn ren memorering.
Fra standardforståelse til risikobeslutninger
ISO/IEC 27005 Lead Risk Manager-eksamen belønner strukturert tenkning. Kandidaten må vise at risiko kan forstås i kontekst, vurderes mot relevante kriterier og behandles på en måte som støtter virksomhetens ISMS. Den praktiske forskjellen ligger i å gjøre standardens begreper om til beslutninger som kan eies, dokumenteres og følges opp.
Et godt neste steg er å lage et eget risikoregister for en kjent virksomhetssituasjon og teste om hvert felt faktisk hjelper noen å ta en beslutning. Dersom det er behov for et mer strukturert treningsløp, kan Readynez være ett alternativ, men den viktigste forberedelsen er fortsatt å øve på realistiske scenarioer og kontrollere alle eksamensdetaljer hos valgt tilbyder før oppmelding.
