Granskningsmål
Förberedelse för ISO 27001
Hur teknisk testning kan underbygga riskhantering och utvärdering av kontroller i ett ISMS enligt ISO/IEC 27001.
ISO/IEC 27001:2022 kräver att organisationer hanterar informationssäkerhetsrisker och utvärderar de kontroller de förlitar sig på. Teknisk testning visar hur verkliga system fungerar, vilket kan underbygga det arbetet. Den ersätter inte ledningssystemet, riskbedömningen eller tillämpningsdeklarationen.
Hur testning kan stödja det här målet
- Underlag för bilaga A-kontroll 8.8 (hantering av tekniska sårbarheter): identifiera svagheter i system som används och besluta hur de ska åtgärdas.
- Underlag för bilaga A-kontroll 8.29 (säkerhetstestning i utveckling och godkännande), till exempel innan ett betydande system eller en ändring tas i drift.
- Fynd som matas in i riskregistret, så att hanteringsbeslut vilar på visad exponering snarare än antaganden.
- En kontroll av om kontrollerna fungerar i praktiken och inte bara på papper.
Vad testning inte gör
- ISO/IEC 27001 kräver inte någon särskild typ av test, och inget enskilt test visar överensstämmelse.
- En testrapport ersätter inte riskbedömningen, tillämpningsdeklarationen eller den interna revisionen.
- Beslut om certifiering ligger hos certifieringsorganet, inte hos testleverantören.