ISO/IEC 27005 Lead Risk Manager handlar om att skapa tydliga kriterier för informationssäkerhetsrisker och koppla dem till styrning enligt ISO/IEC 27001:2022. När en organisation ska flytta ett kundsystem till molnet samtidigt som en ny driftleverantör tar över delar av supporten räcker det därför inte att riskregistret finns; riskbehandlingen behöver också synas i Statement of Applicability.
Det är i sådana situationer ISO/IEC 27005 Lead Risk Manager blir relevant. Certifieringen prövar inte bara om kandidaten känner igen ord som hot, sårbarhet och konsekvens, utan om kandidaten kan använda ISO/IEC 27005:2022 för att strukturera riskhantering för informationssäkerhet inom ramen för ett ISMS.
Senast uppdaterad: 2026. Artikeln avser ISO/IEC 27005:2022 och kopplingen till ISO/IEC 27001:2022. Examensregler, provformat och tillåtna hjälpmedel kan ändras av certifieringsleverantören, så den som bokar prov bör alltid kontrollera aktuella exam policies hos exempelvis PECB innan examination.
Vad provet egentligen handlar om
ISO/IEC 27005:2022 är en vägledning för riskhantering inom informationssäkerhet. Den är nära kopplad till ISO/IEC 27001:2022, eftersom 27001 kräver att organisationen definierar en metod för riskbedömning och riskbehandling, medan 27005 beskriver hur arbetet kan genomföras på ett strukturerat sätt.
Det viktiga inför Lead Risk Manager-provet är därför att förstå processlogiken. Kandidaten behöver kunna resonera kring riskkriterier, kontext, riskidentifiering, riskanalys, riskutvärdering, riskbehandling, kommunikation, konsultation, övervakning och förbättring. Provfrågor och fallstudier tenderar att belöna konsekvent tillämpning av kriterier snarare än lösryckta definitioner.
En vanlig miss är att läsa äldre material som bygger på ISO/IEC 27005:2018 utan att kontrollera vad som förändrats i 2022-utgåvan. Den nuvarande utgåvan ligger närmare modern riskstyrning och bör läsas tillsammans med terminologin och kraven i ISO/IEC 27001:2022. Det påverkar hur riskägarskap, riskacceptans, behandling och uppföljning bör beskrivas i ett provsvar.
Det är också klokt att skilja mellan certifieringsspåren. ISO/IEC 27005 Lead Risk Manager passar bäst när arbetsuppgiften handlar om riskkriterier, bedömningar, riskregister, behandling och löpande riskstyrning. ISO/IEC 27001 Lead Implementer passar bättre när fokus ligger på att designa och införa ett ISMS, medan ISO/IEC 27001 Lead Auditor riktar sig mot revision av ledningssystemets kravuppfyllelse.
Kopplingen mellan ISO/IEC 27005 och ISO/IEC 27001:2022
ISO/IEC 27005 ska inte läsas som ett fristående kontrollbibliotek. Den hjälper organisationen att fatta riskbaserade beslut, medan ISO/IEC 27001 anger krav på ledningssystemet och Annex A ger ett kontrollunderlag som används när riskbehandling planeras och dokumenteras.
I praktiken börjar kopplingen med riskkriterierna. Organisationen behöver bestämma hur sannolikhet, konsekvens, risknivå och acceptans ska bedömas. Därefter kan risker identifieras och analyseras på ett sätt som gör att olika beslut blir jämförbara. Om kriterierna ändras mellan frågor eller scenarier blir svaren snabbt svaga, även om terminologin låter korrekt.
Riskbehandling är den punkt där många kandidater tappar kopplingen till ISO/IEC 27001:2022. Ett behandlingsbeslut bör kunna spåras till valda kontroller, ansvar, motivering och status i Statement of Applicability. Om en risk kopplad till leverantörsåtkomst behandlas med skärpta åtkomstkontroller, loggning och krav i leverantörsavtal bör dessa beslut synas i SoA, inte bara i riskregistret.
Ett enkelt utdrag ur ett riskregister kan visa hur resonemanget bör hänga ihop. Tillgången kan vara en kunddatabas i molnet, hotet obehörig administratörsåtkomst, sårbarheten svag privilegiehantering, konsekvensen otillåten åtkomst till personuppgifter och behandlingen införande av villkorad åtkomst, princip för privilegierad åtkomst och leverantörskrav. Det avgörande är inte att välja flest kontroller, utan att visa varför behandlingen svarar mot riskkriterierna.
Ett scenariobaserat sätt att tänka
Anta att ett företag migrerar en affärskritisk applikation till molnet och samtidigt anlitar en extern leverantör för driftövervakning. En ytlig riskbedömning skulle nöja sig med att skriva “molnrisk” eller “leverantörsrisk”. En 27005-baserad analys behöver däremot bryta ned situationen i tillgångar, hot, sårbarheter, konsekvenser, befintliga kontroller och beslutskriterier.
Riskidentifieringen kan börja med att kartlägga vilka informationsobjekt som berörs: kunddata, driftloggar, administrativa konton, integrationsnycklar och dokumenterade rutiner. Därefter identifieras hot som felkonfiguration, otillåten åtkomst, leverantörsbortfall eller bristande incidentrapportering. Sårbarheter kan vara oklara ansvarsförhållanden, avsaknad av central loggning eller för breda administratörsrättigheter.
I analysen bedöms sannolikhet och konsekvens enligt fördefinierade kriterier. Om kriterierna säger att påverkan på konfidentialitet för kunddata ger hög konsekvens, ska samma logik användas genom hela scenariot. Riskutvärderingen avgör sedan om risken accepteras, behöver behandlas eller kräver ytterligare analys.
Behandlingen kan omfatta tekniska, organisatoriska och avtalsmässiga åtgärder. Exempel är rollbaserad åtkomst, krav på incidentrapportering, leverantörsgranskning, säkerhetsloggning och dokumenterad återställningsförmåga. I ett bra provsvar kopplas dessa åtgärder tillbaka till risknivån och till relevanta delar av ISMS-dokumentationen, särskilt riskbehandlingsplanen och Statement of Applicability.
Metoder som OCTAVE och EBIOS utan att blanda ihop dem med 27005
OCTAVE, EBIOS och MEHARI kan vara användbara metoder i verkliga riskprogram, men de ersätter inte ISO/IEC 27005 som provets huvudsakliga referensram. Det är en viktig skillnad, eftersom kandidater ibland skriver svar som om en namngiven metod styr provmålen. Det gör resonemanget onödigt osäkert.
| Ramverk eller metod |
Praktisk användning |
Hur det bör behandlas inför provet |
| ISO/IEC 27005:2022 |
Ger vägledning för informationssäkerhetsriskhantering inom ett ISMS. |
Används som huvudstruktur för riskprocess, begrepp och beslutslogik. |
| ISO/IEC 27001:2022 |
Anger krav på ISMS, inklusive riskbedömning, riskbehandling och SoA. |
Läses som kravramen som 27005-riskarbetet ska stödja. |
| OCTAVE |
Kan stödja organisationsdriven riskidentifiering och analys. |
Ses som möjlig metod, inte som ersättning för 27005-processen. |
| EBIOS |
Kan användas för scenariobaserad analys av hot och risker. |
Kan ge praktiskt tänkande, men provsvar bör förankras i 27005. |
| MEHARI |
Kan stödja strukturerad riskbedömning och kontrollanalys. |
Bör inte blandas ihop med provets primära begrepp och processsteg. |
Den säkra strategin är att använda dessa metoder som stöd för förståelse, men att formulera provsvar med ISO/IEC 27005:2022 som ryggrad. Om en fråga handlar om riskutvärdering ska svaret visa hur risknivån jämförs med riskkriterier, inte beskriva en metodetikett utan sammanhang.
En 4–6 veckors studieplan som fungerar i praktiken
En bra studieplan bygger på aktiv tillämpning. Det räcker sällan att läsa standarden från början till slut och markera viktiga ord. Kandidaten behöver träna på att fatta riskbeslut utifrån kriterier, dokumentera motiveringar och koppla behandlingen till ett ISMS.
- Vecka 1: Läs ISO/IEC 27005:2022 översiktligt och bygg en ordlista över centrala begrepp.
- Vecka 2: Studera ISO/IEC 27001:2022 med fokus på riskbedömning, riskbehandling, Annex A och Statement of Applicability.
- Vecka 3: Skapa egna riskkriterier och använd dem på två realistiska scenarier.
- Vecka 4: Bygg ett riskregister med tillgångar, hot, sårbarheter, konsekvenser, risknivåer och behandlingsbeslut.
- Vecka 5: Träna på scenariobaserade frågor och kontrollera att varje svar följer samma kriterier.
- Vecka 6: Repetera svaga områden och kontrollera aktuella examensregler hos certifieringsleverantören.
Den som har mindre tid bör prioritera processförståelse framför detaljmemorering. Eftersom provformat och tillåtna referenser styrs av leverantörens aktuella policy är det riskabelt att planera utifrån gamla blogginlägg eller kursanteckningar. Framgång bygger på att snabbt kunna hitta, tolka och använda relevant information på ett konsekvent sätt.
Ett praktiskt förberedelsepaket kan göra stor skillnad. Det kan bestå av en enkel konsekvensskala, sannolikhetsskala, acceptanskriterier, en katalog över typiska tillgångar, hot och sårbarheter samt en mall för riskregister. Sådana artefakter hjälper inte bara inför provet, utan speglar också hur riskarbete faktiskt bedrivs i organisationer som vill hålla sitt ISMS levande.
Vanliga misstag som kostar poäng
Det första misstaget är att behandla ISO/IEC 27005 som en lista över kontroller. Standarden handlar om riskhantering; kontroller blir relevanta när de väljs som del av riskbehandlingen. Kandidater som hoppar direkt till kontrollval utan att visa riskidentifiering, analys och utvärdering missar ofta den logik som frågan vill pröva.
Det andra misstaget är att blanda begrepp från äldre material, andra standarder eller namngivna metoder utan att förklara hur de passar in. Termer som inte hör hemma i sammanhanget, eller felaktiga domännamn, gör svaret mindre trovärdigt. Vid osäkerhet bör kandidaten återvända till ISO/IEC 27005:2022 och formulera svaret kring processens egna begrepp.
Det tredje misstaget är att glömma spårbarheten. I både prov och praktiskt arbete behöver riskbehandlingen kunna följas från riskkriterier och riskregister till beslut, ansvar, kontrollval och SoA. En risk som behandlas men inte syns i dokumentationen skapar problem vid revision och gör beslutsunderlaget svagt.
Det fjärde misstaget är att välja fel certifiering för målet. Den som huvudsakligen ska bygga ett ISMS kan få mer direkt nytta av 27001 Lead Implementer. Den som ska granska ett ledningssystem bör titta på Lead Auditor. Den som förväntas leda riskbedömningar, definiera kriterier och hålla ihop riskbehandlingen har däremot en tydlig anledning att sikta på ISO/IEC 27005 Lead Risk Manager.
Var utbildning kan passa in
Självstudier kan fungera bra för den som redan arbetar med ISO/IEC 27001 och informationssäkerhetsrisker. En strukturerad kurs blir mer relevant när kandidaten behöver snabb återkoppling på scenariobaserade resonemang, vill få ordning på kopplingen mellan 27005 och 27001 eller har begränsad tid att bygga egna övningsfall. Readynez erbjuder ISO/IEC 27005 Lead Risk Manager-utbildning för den som vill förbereda sig i ett lärarlett format.
Att gå från provförberedelse till användbar riskstyrning
Det mest hållbara sättet att förbereda sig är att behandla provet som en övning i beslutsdisciplin. Kandidaten bör kunna visa varför en risk bedöms på ett visst sätt, varför en behandling väljs och hur beslutet dokumenteras inom ett ISMS. Då blir kunskapen användbar även efter certifieringen.
En praktisk nästa åtgärd är att bygga ett eget mini-ISMS-scenario med riskkriterier, riskregister, behandlingsplan och SoA-koppling. Den som därefter vill få strukturerad träning kan använda Readynez som stöd, men värdet ligger i att kunna tillämpa ISO/IEC 27005:2022 konsekvent på verkliga riskbeslut.
