ISO/IEC 27001 is an international management system standard for information security, giving organisations a structured reference point for governing risk, controls and continuous improvement.
För svenska organisationer är ISO/IEC 27001:2022 inte bara en teknisk säkerhetsstandard. Den påverkar hur ledning, juridik, verksamhet, IT och leverantörer visar att informationssäkerhet hanteras systematiskt. En ISO 27001-revisor granskar detta ledningssystem, ett ISMS, och bedömer om kraven är uppfyllda, om kontrollerna fungerar och om organisationen kan visa trovärdiga bevis för sina beslut.
Lead Auditor-certifiering blir relevant när rollen går från att delta i eller genomföra interna revisioner till att planera, leda och rapportera mer omfattande revisioner. Det kan handla om externa certifieringsrevisioner, leverantörsgranskningar eller interna revisioner där flera processer, platser och intressenter måste samordnas. I praktiken kräver rollen både standardkunskap, revisionsmetodik och förmåga att bedöma risk utan att fastna i enbart dokumentkontroll.
Vad en ISO 27001-revisor faktiskt granskar
ISO/IEC 27001:2022 beskriver kraven på ett ledningssystem för informationssäkerhet. Standarden kräver att organisationen förstår sin kontext, definierar omfattning, genomför riskbedömning, behandlar risker, sätter mål, följer upp resultat och förbättrar systemet över tid. Revisorns uppgift är att bedöma om detta är etablerat, infört, underhållet och förbättrat på ett sätt som är förenligt med standardens krav.
Det innebär att revisionen inte stannar vid frågan om en policy finns. Revisorn behöver se hur policyn styr beslut, hur risker prioriteras, hur ansvar fördelas och hur avvikelser leder till åtgärder. En välskriven rutin räcker inte om den saknar spår i incidenthantering, åtkomststyrning, leverantörsstyrning eller ledningens genomgång.
En central del är organisationens scope, alltså avgränsningen av ISMS. Scope anger vilka verksamheter, system, platser, processer och beroenden som ingår. Om avgränsningen är för snäv kan revisionen missa väsentliga risker, till exempel molnplattformar, outsourcade driftmiljöer eller personuppgiftsbehandling hos leverantörer. I många revisioner leder brister i scope och Statement of Applicability, SoA, till allvarligare problem än en enskild teknisk kontrollbrist, eftersom hela riskbilden då blir osäker.
Vad ISO/IEC 27001:2022 ändrar för revisorn
Övergången till ISO/IEC 27001:2022 innebär att revisorn behöver förstå både strukturen i ledningssystemet och den uppdaterade kontrollbilagan. Annex A har organiserats om till färre men bredare kontroller, med teman som organisatoriska, personrelaterade, fysiska och tekniska kontroller. Det gör att revisionen i större utsträckning behöver bedöma kontrollernas design och effektivitet, inte bara om det finns dokument som matchar en kontrollrubrik.
SoA får därför större praktisk betydelse. Organisationen måste kunna förklara vilka kontroller som är tillämpliga, vilka som inte är det, varför besluten har fattats och hur kontrollernas införande följs upp. En gammal SoA från 2013-versionen, mekaniskt mappad till 2022 utan ny riskbedömning, är en vanlig svaghet. Revisorn bör då undersöka om riskkriterier, mätetal, policykarta och kontrollägarskap verkligen har uppdaterats.
I molnbaserade miljöer blir detta extra tydligt. Shared responsibility-modellen innebär att vissa skyddsåtgärder ligger hos molnleverantören medan andra ligger hos kunden. Revisionen behöver därför omfatta avtal, ansvarsmatriser, konfigurationsbevis, loggar, åtkomstrecensioner och incidentprocesser. Att en tjänst drivs i en certifierad molnplattform visar inte automatiskt att kundens egen användning är korrekt styrd.
Hur en ISO 27001-revision genomförs
ISO 19011:2018 ger vägledning för revision av ledningssystem och är en viktig referens för hur revisioner planeras, genomförs och följs upp. Den betonar bland annat riskbaserad planering, kompetens hos revisorer, objektivitet, bevisbaserade slutsatser och tydlig rapportering. För en ISO 27001-revisor innebär det att revisionsprogrammet ska spegla organisationens risker, inte bara följa en statisk mall.
Förberedelsen börjar med att revisorn analyserar scope, tidigare revisionsrapporter, riskbedömningar, SoA, policyer, mål, ledningens genomgång och relevanta processbeskrivningar. Därefter planeras intervjuer, urval och bevisinsamling. Ett vanligt misstag är att välja för litet urval eller att bara granska de processer som organisationen själv lyfter fram som välfungerande. En trovärdig revision behöver sampling som täcker risk, förändring, kritiska system och tidigare avvikelser.
- Revisionsplanen fastställer syfte, omfattning, kriterier, tidsplan, deltagare och metod.
- Stage 1 bedömer beredskap, dokumentation, scope, riskarbete och om organisationen är redo för fördjupad granskning.
- Stage 2 prövar införandet genom intervjuer, observationer, dokumentgranskning och stickprov i verksamheten.
- Revisionsrapporten beskriver bevis, avvikelser, observationer och slutsatser mot ISO/IEC 27001:2022.
- Uppföljningen bedömer korrigerande åtgärder och om grundorsaken har hanterats.
Stage 1 och Stage 2 används framför allt i certifieringssammanhang, men tänkesättet är användbart även internt. Stage 1 handlar om att förstå om ledningssystemet är tillräckligt definierat för att kunna granskas på djupet. Stage 2 handlar om att pröva om systemet fungerar i praktiken, till exempel genom att följa en åtkomstbegäran från beställning till godkännande, implementation, loggning och återkommande granskning.
Bevis kan komma från intervjuer, systemutdrag, ärendehanteringssystem, riskregister, mätetal, observationsanteckningar, avtal och loggar. Revisorn behöver väga bevisens relevans och tillförlitlighet. Ett muntligt svar kan vara värdefullt för att förstå processen, men slutsatsen bör stödjas av spårbara underlag när frågan rör efterlevnad, riskbehandling eller kontrollernas effektivitet.
Ett praktiskt exempel på avvikelse och åtgärd
En vanlig revisionssituation är att organisationen har definierat molntjänster som en del av sitt ISMS, men att SoA endast anger att leverantörsstyrning är införd. Vid stickprov visar det sig att ett affärskritiskt SaaS-system saknar dokumenterad riskbedömning, att personuppgiftsbiträdesavtalet inte är kopplat till informationsklassningen och att åtkomstrecensioner görs informellt utan sparade bevis.
Avvikelsen ligger då inte bara i en missad accessgranskning. Den pekar på en svaghet i hur organisationen styr tredjepartsrisk, personuppgifter och molnberoenden. En korrigerande åtgärd bör därför omfatta grundorsaken: uppdaterad leverantörsprocess, tydligare ansvar för systemägare, krav på dokumenterad riskbedömning före införande, beviskrav för återkommande åtkomstrecensioner och en uppdaterad SoA som speglar de faktiska kontrollbesluten.
Internrevisor eller Lead Auditor
Terminologin spelar roll. En internrevisor granskar normalt den egna organisationens ISMS eller delar av det interna revisionsprogrammet. En ISO 27001-revisor kan arbeta internt, som konsult eller i en extern revisionsroll. En Lead Auditor leder revisionsuppdrag, koordinerar revisionsgruppens arbete, hanterar kund- eller verksamhetsdialogen och ansvarar för att slutsatserna är välgrundade och tydligt rapporterade.
Valet mellan internrevisor och Lead Auditor bör utgå från ansvar, förkunskaper och den typ av revisioner personen ska utföra. Den som främst ska stödja organisationens interna förbättringsarbete behöver ofta en stark förståelse för ISO/IEC 27001:2022, ISO 19011:2018 och den egna verksamhetens processer. Den som ska leda externa revisioner, omfattande leverantörsgranskningar eller revisionsprogram med flera revisorer behöver dessutom kunna planera uppdrag, hantera revisionsrisk, fördela arbete och formulera avvikelser så att de håller vid granskning.
Certifieringsvägar via exempelvis IRCA, PECB eller Exemplar Global kan vara relevanta beroende på arbetsmarknad, kundkrav och vilken typ av revisionsroll som efterfrågas. Det viktiga är att inte välja certifiering enbart utifrån titel. En praktiskt användbar väg bygger på tillräcklig förståelse för ledningssystem, riskhantering, informationssäkerhetskontroller, intervjuteknik och bevisvärdering.
Svensk kontext: SIS, MSB, IMY och NIS2
I Sverige kommer ISO/IEC 27001 ofta in i samtal om styrning, upphandling, regulatorisk efterlevnad och leverantörssäkerhet. SIS är den svenska standardiseringsorganisationen där standarder kan köpas och hanteras. MSB:s arbete med informations- och cybersäkerhet, liksom kommande och befintliga krav kopplade till NIS2, påverkar hur många verksamheter ser på ledningssystem, incidentförmåga och leverantörskedjor. IMY:s tillsyn inom dataskydd gör dessutom att personuppgiftsbehandling, åtkomst, loggning och incidentrapportering ofta blir centrala revisionsspår.
Det betyder inte att ISO/IEC 27001 i sig ersätter juridisk analys. Däremot ger standarden en struktur för att visa hur risker identifieras, hur krav omsätts i kontroller och hur uppföljning sker. För verksamheter med säkerhetsskydd, samhällsviktig verksamhet, känsliga personuppgifter eller omfattande outsourcing blir kopplingen mellan ISMS-scope, leverantörsstyrning och regulatoriska krav särskilt viktig.
Förkunskaper som gör certifieringen mer användbar
ISO 27001-revisorscertifiering ger störst värde när den vilar på praktisk förståelse för hur organisationer styr risk. Erfarenhet av informationssäkerhet, IT-drift, compliance, internkontroll, kvalitetsledning, dataskydd eller leverantörsstyrning gör det lättare att tolka bevis och ställa relevanta följdfrågor. Den som saknar revisionsvana bör lägga extra tid på ISO 19011:2018, särskilt principerna för objektivitet, sampling och revisionsrapportering.
Vanliga förberedelsefel är otylig ISMS-avgränsning, en SoA som inte har uppdaterats från tidigare version, bristande evidenskartläggning, avsaknad av provtagningsplan och en alltför teknisk syn på revisionen. ISO 27001-revision handlar om ledningssystem och riskstyrning; tekniska kontroller är viktiga, men de behöver förstås i sitt process- och ansvarssammanhang.
Den som förbereder sig för en Lead Auditor-roll bör därför öva på att formulera revisionsfrågor, koppla bevis till krav, skilja observationer från avvikelser och skriva korrigerande åtgärdskrav utan att själv bli lösningsarkitekt. En utbildning som ISO 27001 Lead Auditor-certifiering hos Readynez kan vara ett strukturerat sätt att samla standardkunskap, revisionsmetodik och scenariobaserad övning när målet är att leda revisioner.
Vanliga frågor om ISO 27001-revisorscertifiering
Vad är skillnaden mellan ISO/IEC 27001 och ISO/IEC 27002?
ISO/IEC 27001 är kravstandarden för ledningssystemet och används som grund för certifiering. ISO/IEC 27002 ger vägledning om informationssäkerhetskontroller. En revisor granskar mot kraven i ISO/IEC 27001:2022, men behöver förstå kontrollvägledningen för att kunna bedöma design och införande på ett rimligt sätt.
Behöver en internrevisor vara Lead Auditor-certifierad?
Inte alltid. En internrevisor behöver kunna planera, genomföra och rapportera interna ISMS-revisioner med tillräcklig objektivitet och kompetens. Lead Auditor-certifiering blir mer relevant när personen ska leda revisionsuppdrag, samordna andra revisorer eller arbeta med externa revisioner och leverantörsgranskningar.
Vad granskas mest noggrant i en ISO 27001-revision?
Revisorn granskar hela ledningssystemet, men scope, riskbedömning, riskbehandling, SoA, ledningens engagemang, mätning, internrevision, avvikelsehantering och förbättringar är ofta centrala. I moderna miljöer får även molnberoenden, leverantörsavtal, åtkomststyrning och incidenthantering stor betydelse.
Hur påverkar ISO/IEC 27001:2022 organisationer som tidigare arbetat mot 2013-versionen?
Organisationen behöver se över riskarbete, SoA, kontrollmappning, mätning av kontrollernas effektivitet och relaterade policyer. En ren dokumentmappning räcker sällan om den inte visar varför kontroller är valda, hur de fungerar och hur ansvar och bevis hanteras i praktiken.
Att bygga revisionskompetens som håller i praktiken
ISO 27001-revisorskompetens handlar om att kunna kombinera standardkrav med praktisk riskförståelse. Den som kan bedöma scope, SoA, bevis, leverantörsberoenden och förbättringsarbete ger organisationen mer än en kontrollista; revisionen blir ett sätt att pröva om informationssäkerheten fungerar som ett styrsystem.
Nästa steg bör vara att jämföra den tänkta rollen med den kompetens som krävs: internrevision, leverantörsgranskning, extern revision eller ledning av revisionsprogram. För den som siktar på att leda revisioner kan Readynez ISO 27001 Lead Auditor-certifiering vara ett relevant alternativ, men den viktigaste grunden är fortfarande förmågan att koppla ISO/IEC 27001:2022 till verkliga risker, tydliga bevis och åtgärder som förbättrar ISMS över tid.
