Fra DS 484 til ISO 27001

Størrelse: px
Starte visningen fra side:

Download "Fra DS 484 til ISO 27001"

Transkript

1 Fra DS 484 til ISO Hvordan kan din virksomhed efterleve den internationale standard for informationssikkerhed - ISO 27001? En praktisk vejledning i at skifte fra den udgående danske standard, DS 484 til den internationale ISO Af Gaffri Johnson Sikkerhedskonsulent hos Neupart Fra DS 484 til ISO Neupart A/S 1

2 Fra DS 484 til ISO Engang for længe siden var der ingen dansk standard for it- sikkerhed. Men så en dag i 2004 besluttede Folketinget at indføre åbne standarder i alle statslige institutioner, og med i pakken var den nye danske standard DS 484. DS 484 blev udarbejdet som en oversættelse af den internationale standard ISO der igen stammer fra den engelsk standard BS DS 484 blev dog hurtigt de facto standarden for it- sikkerhedsimplementering i mange danske virksomheder. Den var dog langt fra perfekt. For mange har det, at forstå og dække alle standardens krav til sikringsforanstaltninger, været en administrativ udfordring. DS 484 er en rigid standard med meget lidt albuerum der gør det svært at fravælge afsnit som ikke er relevante for netop din virksomhed. Men nu er det heldigvis snart slut. DS 484 udfases nu til fordel for den internationale standard ISO i sammenhæng med at sidstnævnte revideres. Når 2013 glider over i 2014 skal staten, kommuner og mange virksomheder overgå til ISO som deres foretrukne rammeværktøj for it- sikkerhedsstyring. Men før vi ser på hvordan man håndterer selve overgangsprocessen så lad os først se på hvad forskellen egentlig er på DS 484 og ISO Hvorfor ISO 27001? ISO lægger op til en mere helhedsorienteret tilgang til sikkerhedsstyring hvor mennesker og processer sættes i fokus. Effektiv it- sikkerhedsstyring kræver et velbalanceret samspil mellem fortsat at sikre at it- processer og systemer understøtter forretningens behov og krav, og at væsentlige it- risici bliver håndteret. Der er en tendens blandt virksomheder til at fokusere meget på risici og at håndhæve kontrolmiljøerne med tekniske løsninger. Sådan en tilgang ender ofte i her og nu løsninger når f.eks. it- revisionen kommer med deres krav. Uden forankring i it- processer, involvering af ledelsen og medarbejdere, er værdien af disse tiltag ikke stor, har oftest kun kortsigtet effekt, er tungt at vedligeholde og kan ende med at være et økonomisk dyrt bekendtskab. Tekniske løsninger kan og bør ikke stå alene. Der bør være et afbalanceret forhold mellem teknologi, mennesker og processer. Teknologi bør kun være det værktøj der understøtter elementerne og på sigt er værdiskabende ikke en omkostning. Og netop det hjælper ISO med. Fra DS 484 til ISO Neupart A/S 2

3 Teknologi Processer Mennesker Med ISO skifter I fokus fra en kontrol- og checklistebaseret tilgang til it- sikkerhedsledelse, til en mere procesorienteret tilgang. God it- sikkerhedsledelse tager udgangspunkt i et balanceret forhold mellem mennesker, processer og teknologi. Hvad er forskellen på DS 484 og ISO 27001? Når din virksomhed skifter til ISO vil du opleve nogle markante ændringer. Du vil opleve en betydeligt større fleksibilitet i dine processer men du vil også opleve at ledelsen får en større rolle i it- sikkerhedsstyringen. De fire vigtigste forskelle du skal være opmærksom på er: 1. Kontrolcentrisk vs. Procesorienteret En af de største udfordringer ved DS 484 er at se den forretningsmæssige værdi af alle de sikringstiltag den stiller krav til. Arbejdet med den løbende vedligeholdelse, sikring af efterlevelse og rapportering af afvigelser er en administrativ byrde og fører til at mange DS 484 projekter aldrig bliver effektivt forankret i organisationerne. DS 484 beskrev en form for check- liste- sikkerhed, hvor en mindre grad af ledelsesinvolvering var krævet Man kan sige at DS 484 har en alt- eller intet tilgang i forhold til struktureringen af indholdet og standardens formuleringer. De procesmæssige værktøjer til at vurdere de konkrete sikkerhedsbehov, herunder hvordan man kunne inddrage ledelsen og måle effektiviteten af sine tiltag er aldrig blevet taget ordentligt op i DS 484 og mange virksomheder har derfor manglet værktøjer til at håndtere disse opgaver. 2. Kravbaseret vs. Risikobaseret Formuleringerne i DS 484 har lagt op til at alle kravene (sikringstiltagene) i de 15 afsnit skal efterleves, herunder også de enkelte afsnits beskrevne implementeringsretningslinier. Det har været med til at give organisationer en meget teknisk og kontrolbaseret tilgang til it- sikkerhedsstyring. Med ISO flyttes fokus til en mere fleksibel procesorienteret og risikobaseret it- Fra DS 484 til ISO Neupart A/S 3

4 sikkerhedsstyring. Der stilles nu krav til at organisationer starter med at implementere et ledelsesstyringssystem som skal sikre en passende styring af it- sikkerhedsprocesserne. Det betyder at der faktisk kræves et vist minimum af modenhed i forhold til it- governance. 3. Ledelsesinvolvering Hvor DS 484 kun i mindre omfang beskriver hvad ledelsens rolle skal være, bliver ledelsen i ISO den primære drivkraft i forhold til den overordnede styring af sikkerhed i forhold til forretningsstrategier. Ledelsen skal være garant for at arbejdet omkring it- sikkerhed bliver forankret i virksomheden. ISO kræver at ledelsen er engageret, blandt andet gennem aktiv deltagelse i risikoarbejdet og i beslutninger omkring håndtering af identificerede risici. Risikohåndteringsprocessen bruges til at kortlægge hvor meget sikkerhed der er nødvendigt og ønsket. Derudover understøtter den beslutninger om it- processer og teknologiske løsninger i forbindelse med kritiske forretningsprocesser og strategiske mål for jeres virksomhed. 4. Fleksibilitet Det er blevet nævnt et par gange før men der er en stor forskel på de to standarders tilgange. DS 484 gør meget ud af at beskrive de konkrete sikringstiltag der skal implementeres. ISO lægger til gengæld op til at andre rammeværktøjer kan inddrages i forhold til valg af konkrete sikringstiltag og dybden eller effektiviteten af sikringsforanstaltninger. Det kunne være rammeværktøjer som ISO 27002, ISF, Cobit, ITIL, PCI DSS, NIST standarder m.m. ISO er risikobaseret, lægger op til større grad af ledelsesinvolvering og er fleksibel i forhold til valg af konkret sikkerhedsstandard til sikrings- foranstaltninger. Dog forventes det, at de overordnede it- sikkerhedsprocesser i ISO bliver behandlet i ISMS et. Hvis din virksomhed har baseret sine sikringsforanstaltninger på DS 484, er jeres primære opgave at vurdere behovet for sikringsforanstaltninger. Dette behov skal tage udgangspunkt i gennemførte risikovurderinger for systemer og processer. Fra DS 484 til ISO Neupart A/S 4

5 Hvordan flytter man nemmest fra DS 484 til ISO 27001? Der er heldigvis et sammenfald mellem indholdet af DS 484 og ISO så meget af det arbejde du og din virksomhed måske har lagt i implementeringsarbejdet omkring DS 484 ikke er spildt. I ISO standardens afsnit 4-8 fremlægges alle kravene som dækker over ISMS et (Information Security Management System) der kan defineres som jeres overordnede metode for styring af jeres it- governance processer. ISO operer med princippet Plan- Do- Check- Act, og nedenstående tegning illustrerer hvordan I skal have etableret en vedvarende og tilbagevendende proces. Når du har kigget nærmere på den, vil vi gennemgå de fire trin din virksomhed skal igennem for at få en glidende overgang fra DS 484 til ISO Plan Etablere ISMS Act Vedligeholde og forbedre ISMS Do Implemere og vedligeholde ISMS Check Overvåge og revurdere ISMS Fra DS 484 til ISO Neupart A/S 5

6 Plan Act Do Check Plan: Etablere ISMS I forbindelse med etableringen af et ledelsessystem, skal I identificere de overordnede rammer, og som en del af etableringsfasen skal I have gennemgået og implementeret følgende: I skal have fastlagt omfanget ( scope ) af for jeres ISMS. Er det hele virksomheden eller kun dele af jeres virksomhed der skal omfattes? Eksempler på dette kan være specifikke lokationer, afdelinger eller juridiske enheder. F.eks. en supportfunktion, et driftscenter, kontorerne på en adresse eller et selskab. I skal have etableret jeres organisation omkring ISMS et og fastlagt roller/ansvarsfordeling. F.eks. hvem er ansvarlig for risikovurderinger, interne/eksterne audit, it- styregrupper, ejerskab af kritiske processer (en proces er et aktiv i ISO- sammenhæng), beredskabsorganisation, hvor opmærksomme er jeres ansatte på it- sikkerhedstrusler (awareness), m.m. Strategi for den løbende awareness af brugere i jeres virksomhed. I skal beskrive jeres målsætninger for it- sikkerhed, politikker og procedurer og placere ansvar og opgaver. Formulering af fremgangsmåden for it- risikostyring og fastlæggelse af kriterier for risikovillighed. I skal identificere relevante aktiver såsom forretningsprocesser og it- services som er inden for scope og der skal være ejerskab. I systematiserer dokumentstyringen, således at I nemmere kan håndtere den løbende vedligeholdelse, understøtte den interne/eksterne audit og den periodiske revision af sikringsforanstaltningerne. I fastlægger det ønskede niveau for intern/ekstern audit. Fra DS 484 til ISO Neupart A/S 6

7 Plan Act Do Check Do: Implementere og vedligeholde Ledelsessystemet skal være implementeret og forankret i organisationen og skal fungere. De implementerede politikker, procedurer, sikringsforanstaltninger skal gennemføres som beskrevet. Jeres politikker, regler og procedurer skal være indført. Det er vigtigt at de benyttes og ikke kun er vage hensigtserklæringer. I udarbejder en Statement of Applicability, hvor I udvælger jeres sikringsforanstaltninger: Dem I har udvalgt, skal også være del af jeres kontrolmiljø. 1 I skal udpege personer der er ansvarlige for den løbende vedligeholdelse af ISMS et og de praktiske opgaver forbundet med det. I skal have fastlagt kriterier for kontrol af sikringsforanstaltninger, og rapportering af afvigelser (metrikker) skal være defineret og indarbejdet i det organisatoriske arbejde med it- sikkerhedsstyring. I forhold til intern audit eller kontrol af kontroller skal I identificere de områder hvor I foretager registreringer. Nogle typiske eksempler er vurdering af opdateringer inden udrulning, årlig opdatering af risikovurderingen, gennemgang af backup log, beredskabstest, brugergennemgange og gennemførelse af sårbarhedsscanninger. Alle de kontroller der medfører en registrering er også de kontroller hvor man ved audit forventer dokumentation som bevis for udførsel af kontrollen og dermed kan teste eller vurdere effektiviteten af kontrollen. 1 Statement Of Applicability er det dokument der beskriver krav til sikringsforanstaltninger og Fra DS 484 til ISO Neupart A/S 7

8 Plan Act Do Check Check: Overvåg og revurder ISMS Nu hvor I har fået indarbejdet processer, procedurer og sikringsforanstaltninger skal I også overvåge om jeres sikringsforanstaltninger opererer som forventet og jeres politikker bliver overholdt. I skal følge op på jeres operationelle sikkerhedskrav, og på de målsætninger I har fastlagt. De afvigelser I identificerede i forbindelse med gennemførsel af intern/ekstern audit af proceduremæssige/tekniske kontroller skal registreres, og der skal være handlingsplaner for hvordan I håndterer afvigelser eller kritiske afvigelser. Giver resultatet af jeres awareness programmer den ønskede effekt og er der anledning til at tage de eksisterende processer eller sikringsforanstaltninger op til genovervejelse? Jeres sikkerhedsorganisationen skal regelmæssigt levere input til en ledelsesrapportering. Input er det grundlag ledelsen tager udgangspunkt i når der skal tage strategiske beslutninger og give sikkerhedsorganisationen mandat til de kommende opgaver omkring it- processer og sikkerhed. Fra DS 484 til ISO Neupart A/S 8

9 Plan Act Do Check Act: Vedligehold og forbedr I skal løbende sørge for at jeres ISMS revurderes og kvaliteten af sikkerhed måles. Det gør I blandt andet ved at inddrage forskellige parametre. Her er nogle eksempler: Tekniske security baselines eller overskridelser af fastlagte kriterier for CVSS score ved sårbarhedsscanninger. Afvigelser, i forbindelse med både den interne og eksterne audit, skal prioriteres og der skal udarbejdes en handlingsplan for hvordan I vil håndtere observationerne. Vil I acceptere observationen eller udbedre den? Det gælde både de forebyggende og korrigerende handlinger. Resultaterne af jeres målte metrikker eller Key Performance Indicators i forhold til sikringsforanstaltninger skal genovervejes med henblik på at tilpasse disse. I kan eksempelvis udvælge specifikke sikkerhedshændelser som I måler på, og holde det op imod administrative udgifter forbundet med håndtering af disse (driftsforstyrrelser, brud på fortrolighed m. m.). Opsummering: Plan- do- check- act processen kort fortalt Etabler (plan): Etablering af ISMS politik, scope, mål, processer og procedurer Implementér (do): Implementering og drift af ISMS. Sikringsforanstaltninger er på plads og metrikker er defineret. Overvåg (check): Auditprogram, håndtering af afvigelser og ledelsesrapportering Vedligehold (act): Iværksættelse af korrigerende og forbyggende handlinger Fra DS 484 til ISO Neupart A/S 9

10 Kom hurtigt i gang Med ledelsens opbakning til ISO projektet, er det næste skridt at få gennemført en egentlig risikovurdering for at få afdækket det nødvendige omfang af ens sikringsforanstaltninger. Der er heldigvis overensstemmelse mellem DS 484 og ISO sikringsforanstaltningerne, så det I måske allerede har kan fint genanvendes. I de tilfælde, hvor der foreligger et krav om efterlevelse af ISO skal I sikre at den eksisterende it- sikkerhedsstrategi dækker kravene fra ISO afsnit 4-8. I bør gennemgå den eksisterende it- sikkerhedsorganisation, og i det omfang det er nødvendigt tilpasse den så den bliver gearet til proceskravene i ISO I skal identificere vigtige aktiver og disses ejerskab. Typiske er det kritiske forretningsprocesser, forretningssystemer og it- infrastruktur. I skal gennemføre en it- risikovurdering, så scopet for sikringsforanstaltninger og kontroller bliver afvejet op imod jeres reelle risici. Det er vigtigt at jeres ledelse er med i beslutningsprocessen omkring risikohåndteringen, da det er dem der skal tage stilling til om I skal acceptere, undgå, reducere eller dele risiciene. Lav en forretningskonsekvensvurdering på forretningssystemerne og gennemfør en sårbarhedsvurdering på den underliggende it- infrastruktur der tager udgangspunkt i relevante trusler. Fra DS 484 til ISO Neupart A/S 10

11 PLAN Fastlæg scope for ISMS Etabler proces Ledelsesopbakning Riskmetodik ACT Optimer processer korrigerende/udbedrende handlinger Ledelsesunderstøttede forbedringer DO Implementer ISMS Processer Politikker Procedurer Sikringsforanstaltninger CHECK Evaluer ISMS Identificer risici Mål performance af processer og sikringsforanstaltninger Intern/ekstern audit It- risikovurderingen vil danne grundlag for hvilke sikkerhedsområder hvor I bør sætte ind med skærpede sikringsforanstaltninger. Det giver samtidig input til hvilke sikringsforanstaltninger i tilvælger eller udelader fra scopet. Det er blandt andet derfor Neupart har udviklet SecureAware. Selvom I måske ikke planlægger at blive certificeret, er det alligevel værdifuld viden at indsamle. SOA en kan fint fungere som et udgangspunkt for jeres interne auditplan og bør også være del af den plan som den eksterne it- audit tager udgangspunkt i. Fra DS 484 til ISO Neupart A/S 11

12 Risikovurderingen og udvælgelsen af sikringstiltagene Afsnit 4-8 i ISO er ufravigelige og kan ikke scopes ud i en Statement of Applicability (SOA). De afsnit er forudsætningen for overhovedet at have et ISMS. Virksomheder der har benyttet sig af DS 484 strukturen, vil kunne anvende ISO da indholdet er identisk. Der vil ligge en opgave i at gennemgå alle afsnittene og tage stilling til hvor godt man ønsker at kontrollere disse processer. En hurtig måde at komme i gang med SOA en på, er at gennemgå alle ISO kontrolområderne og vurdere hvor relevante de er for jer. Out of scope (N/A) I scope i høj grad I scope I mindre grad Det øjeblikkelige resultat af denne øvelse er input til jeres vurdering af de eksisterende politikker, sikringsforanstaltninger og procedurer samt i hvilket omfang I bør tilpasse, slette eller implementere nye sikringsforanstaltninger eller procedurer. Niveauet for sikringsforanstaltningerne, hvad enten I benytter ISO eller andre sikkerhedsstandarder, er i et vist omfang frivilligt. Har i allerede vurderet hvilke områder jeres sikkerhedshåndbog eller politik skal indeholde, bør I holde jeres prioriteringer op imod ISO 27002, for at sikre at I ikke mangler at adressere et vigtigt område. Der vil ofte være kritiske processer der sjældent kan scopes helt ud såsom Change Management, backup processer og beredskabsstyring. I nogle tilfælde vil disse processer være outsourcet. Hvis vigtige processer er outsourcet skal jeres fokus ligge på leverandørstyringen, kontrakter, SLA er og aftalte metrikker, således at I sikrer at leverandørerne overholder jeres sikkerhedskrav. ISO er under revidering, hvad så? Den eksisterende ISO standard er i øjeblikket under revidering og forventes at blive officielt klar til anvendelse medio primo Der bliver lagt op til nogle strukturelle ændringer i de enkelte afsnit og Plan- Do- Check- Act får en mindre fremtrædende rolle. Der bliver ligesom ved den sidste revision en overgangsperiode på mellem 1-2 år, hvor eksisterende certificerede virksomheder får mulighed for at tilpasse deres ISMS og sikre at de overholder kravene i den nye standard. Der har i flere it- sikkerhedsmedier været snak omkring nogle af ændringerne i den nye standard bl.a. at Plan- Do- Check- Act forsvinder helt. Det er ikke helt korrekt da elementerne fortsat vil være en del af standardens nye afsnit omend mindre eksplicit end i ISO 27005:2005. Fra DS 484 til ISO Neupart A/S 12

13 Kontekst Lederskab PLAN Planlægning Support Drift Evaluering af performance Forbedringer DO Check ACT De vigtigste ændringer i det nuværende udkast omfatter følgende elementer: Der vil være en øget grad af fleksibilitet i forhold til valg af risikometode. Der lægges i højere grad op til at standarden skal tilpasse sig ISO standarden som omhandler Enterprise Risk Management. Kravene i de enkelte ISMS afsnit er præciseret så der bør være er en mindre risiko for fejltolkning af kravene. Kravene til ISMS konteksten er blevet skærpede og kravene til identifikation af succeskriterier for ISMS et er blevet præciseret. Der er nu et krav om at der i forbindelse med udvælgelsen af it- kontroller (SOA) samtidigt foretages en beskrivelse af succeskriterier og proces for måling af effektiviteten af it- kontrollerne eller KPI er (evaluering af performance). Neupart vil, i forbindelse med udgivelsen af den nye ISO standard, udarbejde en officiel vejledning til hvordan virksomheder nemmest kan overgå fra den gamle ISO standard til den nye. Så når den tid oprinder skal vi også nok hjælpe jer på vej. Fra DS 484 til ISO Neupart A/S 13

14 Opsummering Overgangen fra DS 484 til ISO behøver ikke at være en kompleks affære. Faktisk giver skiftet jer muligheden for at få ryddet op i jeres processer og sikringsforanstaltninger, og dermed også reducere kompleksiteten af jeres politikker og sikringsforanstaltninger. Opsummering af de vigtigste ting I skal overveje Jeres it- sikkerhedsstyring skal være risikobetonet og derfor er gennemførsel af it- risikovurderinger en forudsætning for det videre arbejde. Der er direkte match mellem sikringsforanstaltningerne i DS 484 og ISO Jeres it- risikovurdering giver jer grundlaget for at kunne tilvælge eller fravælge sikringsforanstaltninger. Da ledelsen skal have en aktiv rolle i forhold til risikobehandling, sætter det også krav til organisationens modenhed og ledelsens engagement i projektet. I kan med fordel tage overgangen i etaper så I får organisationen med. Start med at få identificeret kritiske processer og systemer og lav en forretningskonsekvensvurdering (BIA) og trussels/sårbarhedsvurdering af underliggende it- systemer. Der er ingen grund til at vente til den revideret udgave af ISO bliver offentliggjort, da der ikke grundlæggende bliver ændret ved standarden. ISMS kravene er de samme selvom der bliver foretaget et par ændringer til begreberne. Neupart vil - når den endelig revision af ISO er klar - udarbejde en vejledning til skiftet fra ISO 27001:2005 til ISO 27001:2013. Fra DS 484 til ISO Neupart A/S 14

15 Erfaringer fra en certificeret virksomhed Neupart A/S har været certificeret siden Først i henhold til den britiske standard BS7799-2, som var forgængeren til ISO 27001, og siden 2006 i henhold til ISO Audit blev udført af Dansk Standard Certificering, og certifikaterne udstedes for en treårig periode. Ved indgangen til hver treårig periode udføres den store certificerings audit. Efter et og to år udføres et opfølgningsaudit, der er lidt mindre omfattende. Vi har haft tre forskellige lead auditors gennem tiderne. Checklisten er selvfølgelig altid ISO 27001, men vi har oplevet lidt forskellige prioriteter. Det vigtigste er altid at sørge for at ISMS et er levende og løbende vedligeholdt. Den er vigtigt at man passer på, over tid, ikke at lade ISMS et vokse sig for stort til formålet. Det kan virke tillokkende og næsten naturligt at reagere på en hændelse eller en audit finding med at indføre en ny administrativ regel eller procedure. Med tiden giver det et mere bureaukratisk ISMS som er vanskeligere at vedligeholde. Jo flere regler og procedurer, jo mere intern audit er nødvendig, jo sværere er det for organisationen at efterleve disse regler og procedurer. Det er aldrig godt. Man skal trodsalt overholde sine egne politikker/regler/procedurer. Hos Neupart voksede ISMS et på otte år til 70 procedurer. ISMS'et trængte til en slankekur. It- sikkerhedschefen satte sig derfor ned og skar fedtet væk så det blev bragt ned på 35 procedurer. Fra DS 484 til ISO Neupart A/S 15

16 SecureConsult fra Neupart: Erfarne it- sikkerhedskonsulenter Skal I etablere et ISMS? Hvordan udarbejdes en Statement of Applicability? Skal den årlige risikovurdering gennemføres? Skal beredskabsplanerne opdateres? Hvordan følger I op på hændelser? Har I aftalt sikkerhedsansvar med jeres it- leverandører? Beskyttes persondata tilstrækkeligt? Vil I starte med en ISO gap- analyse? Der er mange ting man skal overveje i forhold til it- sikkerhed. Derfor stiller vi dygtige og erfarne konsulenter til rådighed så du kan få en problemfri it- risikovurdering. Neupart har været certificeret siden Vores viden og erfaringer bringer virksomheder, institutioner og styrelser sikkert i mål med ISO efterlevelse på kortere tid. Når I planlægger og udfører jeres ISO aktiviteter rigtigt, kan den nødvendige informationssikkerhed indføres pragmatisk og fleksibelt. Det er Neupart eksperter i. Vi kalder vores konsulentydelser for SecureConsult. Ring til Louise Bøttner, Jeppe Kodahl, Jakob Holm Hansen eller Lars Neupart på hvis du vil høre lidt mere om, hvordan vi kan hjælpe dig det er uforpligtende. Fra DS 484 til ISO Neupart A/S 16

17 Hvad er SecureAware IT- GRC Brug mindre tid på it- sikkerhedsledelse og få et mere præcist overblik over jeres sikkerhed. Skal I efterleve standarder eller god skik for informationssikkerhed, giver SecureAware jer forbedret effektivitet og mulighed for nemmere at vurdere hvor meget sikkerhed jeres forretning behøver. Med SecureAware behøver I ikke længere komplekse regneark til risikovurdering og I kan droppe lange sikkerhedshåndbøger i et utal af versioner. SecureAware giver jer en række genveje til ISO og PCI- compliance, og I får helt styr på tilbagevendende sikkerhedsopgaver. Så kan I bruge mindre tid på sikkerhedsledelse, eller I kan vælge at bruge jeres konsulentbudget til andre formål. SecureAware kan bruges som en samlet IT GRC- pakke, eller som enkeltvise moduler. Læs mere og prøv gratis i 30 dage her: Med SecureAware får I: ISO Information Security Management System (ISMS) Plan- Do- Check- Act håndtering It- sikkerhedshåndbøger - policy management Awareness- kampagner Risikovurdering og risikohåndtering jævnfør ISO Compliance analyser Styr på sikkerhedsopgaverne Beredskabsplanlægning jævnfør BS PCI DSS compliance Cloud- leverandør analyser API er til dataudveksling Leveres som SaaS eller traditionel software Smart upgrade giver nem adgang til nye funktioner og indhold Support for en række anerkendte SQL- databaser MS Active Directory support med brugere og grupper Tidsbesparende skabeloner Fra DS 484 til ISO Neupart A/S 17

18 Neupart hjælper virksomheder med it- risikostyring og med at leve op til sikkerhedskrav. Også i skyen! Neupart er forskellig fra de traditionelle konsulenthuse, fordi vores egenudviklede IT GRC- løsning, SecureAware, sparer virksomheders tid og kræver færre konsulenttimer. Neupart er specialist i ISO 27001, DS 484-, Cobit, PCI og cloud- sikkerhed. Med mere end 200 private og offentlige virksomheder som kunder er Neupart den førende IT GRC- leverandør. Neupart er ISO certificeret. Neupart A/S Hollandsvej 12 DK Lyngby T: Fra DS 484 til ISO Neupart A/S 18

Sådan kan I leve op til Finanstilsynets ledelsesbekendtgørelse om it-sikkerhed

Sådan kan I leve op til Finanstilsynets ledelsesbekendtgørelse om it-sikkerhed Sådan kan I leve op til Finanstilsynets ledelsesbekendtgørelse om it-sikkerhed Den finansielle sektor er i dag 100% afhængig af, at it-løsninger er kørende og herudover er sikret i tilfælde af, at noget

Læs mere

Sådan udvikler I en Statement of Applicability i henhold til ISO 27001:2013

Sådan udvikler I en Statement of Applicability i henhold til ISO 27001:2013 Statement of Applicability Hjørnestenen i jeres ISMS Sådan udvikler I en Statement of Applicability i henhold til ISO 27001:2013 Af Jesper E. Siig Senior Security Advisor hos Neupart 2014 Neupart 1 Introduktion

Læs mere

serien og nyheder i ISO og ISO 27002

serien og nyheder i ISO og ISO 27002 27000- serien og nyheder i ISO 27001 og ISO 27002 Dansk Industri/ITEK 3. juni 2014 Jesper E. Siig Senior Security Advisor Om Neupart ISO 27001 certificeret virksomhed. Udvikler og sælger SecureAware, en

Læs mere

Vejledning i informationssikkerhedsstyring. Februar 2015

Vejledning i informationssikkerhedsstyring. Februar 2015 Vejledning i informationssikkerhedsstyring (ISMS) Februar 2015 Udgivet februar 2015 Udgivet af Digitaliseringsstyrelsen Publikationen er kun udgivet elektronisk Henvendelse om publikationen kan i øvrigt

Læs mere

ISO/IEC 27001:2013. Ledelsessystem for informationssikkerhed (ISMS) Niels Madelung, Chefkonsulent nm@ds.dk 4121 8304

ISO/IEC 27001:2013. Ledelsessystem for informationssikkerhed (ISMS) Niels Madelung, Chefkonsulent nm@ds.dk 4121 8304 1 ISO/IEC 27001:2013 Ledelsessystem for informationssikkerhed (ISMS) Niels Madelung, Chefkonsulent nm@ds.dk 4121 8304 Deltaget i det internationale arbejde omkring revisionen af ISO/IEC 27001 og 27002,

Læs mere

Guide til SoA-dokumentet - Statement of Applicability. August 2014

Guide til SoA-dokumentet - Statement of Applicability. August 2014 Guide til SoA-dokumentet - Statement of Applicability August 2014 Guide til SoA-dokumentet - Statement of Applicability Udgivet august 2014 Udgivet af Digitaliseringsstyrelsen Publikationen er kun udgivet

Læs mere

Kontorchef Cecile Christensen, Center for sikkerhed og systemforvaltning. 5. november 2014 1

Kontorchef Cecile Christensen, Center for sikkerhed og systemforvaltning. 5. november 2014 1 Tilgængelighed, fortrolighed og integritet. Høj kvalitet i informationssikkerhed og dokumentation Hvilken betydning har principper og anbefalinger i sikkerhedsstandarden ISO 27001 for kvaliteten af dokumentationen?

Læs mere

Revideret Miljøledelsesstandard

Revideret Miljøledelsesstandard Revideret Miljøledelsesstandard ISO 14001:2015 Ændringer ift. DS/EN ISO 14001:2004 Dokumentationskrav i ny ISO 14001 GREENET- Revideret ISO 14001 1 MiljøForum Fyn - Revideret ISO 14001 2 1 Termer og definitioner

Læs mere

ISO27001 som ledelsesværktøj en pragmatisk tilgang. Lars Boye, lab@dubex.dk Søborg, den 6. november 2014

ISO27001 som ledelsesværktøj en pragmatisk tilgang. Lars Boye, lab@dubex.dk Søborg, den 6. november 2014 ISO27001 som ledelsesværktøj en pragmatisk tilgang Lars Boye, lab@dubex.dk Søborg, den 6. november 2014 DUBEX SECURITY & RISK MANAGEMENT SUMMIT 2014 Informationssikkerhed på dagsordenen Det seneste års

Læs mere

Henrik Jensen Roskilde Universitet, OCG, CISSP, CISM, CRISC. 31 års it-mæssig erfaring, startede 1982 i PFA Pension som EDB-operatør

Henrik Jensen Roskilde Universitet, OCG, CISSP, CISM, CRISC. 31 års it-mæssig erfaring, startede 1982 i PFA Pension som EDB-operatør Dagsorden 1. Præsentation 2. Roskilde Universitet 3. Risikostyring - hvorfor? 4. Ledelsesopbakning 5. ISO27001 6. Forretningsorienteret risikostyring 7. It-teknisk sikkerhedsstyring 8. Hvordan bruges risikostyring

Læs mere

God it-sikkerhed i kommuner

God it-sikkerhed i kommuner God it-sikkerhed i kommuner En vejledning til kommuner om at skabe et godt fundament for tryg og sikker behandling af kommunens og borgernes oplysninger. Vejledningen beskriver, hvordan DS484-baseret it-sikkerhedsledelse

Læs mere

ANALYSE Informationssikkerhed blandt DI s medlemmer

ANALYSE Informationssikkerhed blandt DI s medlemmer ANALYSE Informationssikkerhed blandt DI s medlemmer DI ITEK 1787 København V. 3377 3377 itek.di.dk itek@di.dk DI ITEK et branchefællesskab i Dansk Industri for virksomheder inden for it, tele, elektronik

Læs mere

ISO Ledelsesværktøj til digital risikostyring

ISO Ledelsesværktøj til digital risikostyring ISO 27001 Ledelsesværktøj til digital risikostyring John Wiingaard, GRC konsulent, Dubex Bygholm Park, Horsens, den 12. maj 2016 Agenda 1. Formål 2. IT-sikkerhedsudfordringer anno 2016 3. Hvorfor ISO27001

Læs mere

Denne publikation er udarbejdet af Digitaliseringsstyrelsen Landgreven 4 Postboks København K Telefon dk

Denne publikation er udarbejdet af Digitaliseringsstyrelsen Landgreven 4 Postboks København K Telefon dk Denne publikation er udarbejdet af Digitaliseringsstyrelsen Landgreven 4 Postboks 2193 1017 København K Telefon 33 92 52 00 digst@digst dk Design: Bgraphic Foto: Colourbox Elektronisk publikation: ISBN:

Læs mere

LinkGRC GOD SKIK FOR INFORMATIONSSIKKERHEDSPOLITIK GOD SKIK FOR INFORMATIONSSIKKERHEDSPOLITIK

LinkGRC GOD SKIK FOR INFORMATIONSSIKKERHEDSPOLITIK GOD SKIK FOR INFORMATIONSSIKKERHEDSPOLITIK GOD SKIK FOR INFORMATIONSSIKKERHEDSPOLITIK LinkGRC A Nordic leader in all aspects of Governance, Risk and Compliance Virksomhedens informationssikkerhedspolitik er i sin enkelhed et modsvar til en virksomheds

Læs mere

Vejledning i informationssikkerhedspolitik. Februar 2015

Vejledning i informationssikkerhedspolitik. Februar 2015 Vejledning i informationssikkerhedspolitik Februar 2015 Udgivet februar 2015 Udgivet af Digitaliseringsstyrelsen Publikationen er kun udgivet elektronisk Henvendelse om publikationen kan i øvrigt ske til:

Læs mere

Evaluering af forløbet og analyserne v/virksomhederne Konklusioner på forløbet til Miljøstyrelsen v/greenet

Evaluering af forløbet og analyserne v/virksomhederne Konklusioner på forløbet til Miljøstyrelsen v/greenet 2 VELKOMMEN Opsamling på resultaterne v/greenet Evaluering af forløbet og analyserne v/virksomhederne Konklusioner på forløbet til Miljøstyrelsen v/greenet Hvordan kommer vi videre? Matchmaking: Parring

Læs mere

Hos Lasse Ahm Consult vurderer vi at følgende krav i de enkelte kravelementer er væsentlige at bemærke:

Hos Lasse Ahm Consult vurderer vi at følgende krav i de enkelte kravelementer er væsentlige at bemærke: ISO 9001:2015 Side 1 af 8 Så ligger det færdige udkast klar til den kommende version af ISO 9001:2015. Standarden er planlagt til at blive implementeret medio september 2015. Herefter har virksomhederne

Læs mere

DUBEX SECURITY & RISK MANAGEMENT SUMMIT Søren Kromann, Forvaltningsdirektør, KOMBIT

DUBEX SECURITY & RISK MANAGEMENT SUMMIT Søren Kromann, Forvaltningsdirektør, KOMBIT DUBEX SECURITY & RISK MANAGEMENT SUMMIT 2016 Søren Kromann, Forvaltningsdirektør, KOMBIT Om KOMBIT KOMBIT er et aktieselskab, som er 100% ejet af KL (kommunerne) Finansielt skal KOMBIT hvile i sig selv

Læs mere

Hos Lasse Ahm Consult vurderer vi at følgende supplerende krav i de enkelte kravelementer er væsentlige at bemærke:

Hos Lasse Ahm Consult vurderer vi at følgende supplerende krav i de enkelte kravelementer er væsentlige at bemærke: ISO 9001:2015 (Draft) Side 1 af 9 Så ligger udkastet klar til den kommende version af ISO 9001. Der er sket en række strukturelle ændringer i form af standardens opbygning ligesom kravene er blevet yderligere

Læs mere

Risikostyring ifølge ISO27005 v. Klaus Kongsted

Risikostyring ifølge ISO27005 v. Klaus Kongsted Risikostyring ifølge ISO27005 v. Klaus Kongsted Agenda Dubex A/S Formålet med risikovurderinger Komponenterne Risikovurderinger Dubex A/S fakta og værdier Den førende sikkerhedspartner De bedste specialister

Læs mere

Informationssikkerhedspolitik for Horsens Kommune

Informationssikkerhedspolitik for Horsens Kommune Informationssikkerhedspolitik for Horsens Kommune Senest opdateret januar 2016 Indholdsfortegnelse 1. FORMÅL... 3 2. OMFANG OG SIKKERHEDSNIVEAU... 3 3. HOVEDMÅLSÆTNINGER... 4 4. ORGANISERING OG ANSVAR...

Læs mere

Organisering og styring af informationssikkerhed. I Odder Kommune

Organisering og styring af informationssikkerhed. I Odder Kommune Organisering og styring af informationssikkerhed I Odder Kommune Indhold Indledning...3 Organisationens kontekst (ISO kap. 4)...3 Roller, ansvar og beføjelser i organisationen (ISO kap. 5)...4 Risikovurdering

Læs mere

Velkommen Grupperne SJ-1 & SJ-2

Velkommen Grupperne SJ-1 & SJ-2 Velkommen Grupperne SJ-1 & SJ-2 Lasse Ahm Consult Tirsdag, den 1. december 2015 20:33 1 Program Kl. 10.00 Velkomst ved Lasse Michael Ahm - Info om ændringer blandt medlemmerne og nye grupper Kl. 10.05

Læs mere

Sikkerhed og Revision 2015

Sikkerhed og Revision 2015 Sikkerhed og Revision 2015 Erfaringer fra It-tilsynet med virksomhedernes brug af risikovurderinger REAL kontoret 3. sep. 2015 Velkommen til Århusgade! Fra Finanstilsynets hjemmeside Agenda Hjemmel It-tilsynets

Læs mere

Arbejdsmiljøcertificering Selvevaluering i forhold til DS/OHSAS og bek. 87

Arbejdsmiljøcertificering Selvevaluering i forhold til DS/OHSAS og bek. 87 Arbejdsmiljøcertificering Selvevaluering i forhold til DS/OHSAS 18001 og bek. 87 Punkt Emne Bemærkninger Handlingsplan 4.1 Generelle krav Organisationen skal etablere og vedligeholde et arbejdsmiljøledelses-system

Læs mere

Guide til implementering af ISO27001

Guide til implementering af ISO27001 Guide til implementering af ISO27001 Professionel styring af informationssikkerhed September 2015 Indhold 10 punkter til implementering af ISO27001 3 Hvad er informations sikkerhed? 5 Overblik over forretningen

Læs mere

Stilling+Brixen. Kvalitetsledelse. Opbygning og implementering af ledelsessystemer på vej mod certificering

Stilling+Brixen. Kvalitetsledelse. Opbygning og implementering af ledelsessystemer på vej mod certificering ` Stilling+Brixen Kvalitetsledelse Opbygning og implementering af ledelsessystemer på vej mod certificering ` Intro Vækst forudsætter dokumentation for kvalitet De fleste danske virksomheder har mødt kravet

Læs mere

HVORDAN KAN CONTROLMANAGER UNDERSTØTTE LEDELSESRAPPORTERING

HVORDAN KAN CONTROLMANAGER UNDERSTØTTE LEDELSESRAPPORTERING HVORDAN KAN CONTROLMANAGER UNDERSTØTTE LEDELSESRAPPORTERING - OPSAMLING PÅ SISCON S EFTERÅRSKONFERENCE ControlManager by Siscon 1 DAGEN I DAG Informationssikkerhed på agendaen i bestyrelsen EU-forordningen

Læs mere

Systemforvaltning for SDN Temadag om SDN og VDX den 9. november Peder Illum, konsulent,

Systemforvaltning for SDN Temadag om SDN og VDX den 9. november Peder Illum, konsulent, Systemforvaltning for SDN Temadag om SDN og VDX den 9. november 2016 Peder Illum, konsulent, pi@medcom.dk Agenda Vi fik besøg af Rigsrevisionen.. Hvordan forløb det, hvordan var det, og hvad blev resultatet?

Læs mere

Seminar d. 19.9.2013. Klik for at redigere forfatter

Seminar d. 19.9.2013. Klik for at redigere forfatter Seminar d. 19.9.2013 Klik for at redigere forfatter M_o_R En risiko er en usikker begivenhed, der, hvis den indtræffer, påvirker en målsætning Risici kan dele op i to typer Trusler: Der påvirker målsætningen

Læs mere

Hos Lasse Ahm Consult vurderer vi at følgende krav i de enkelte kravelementer er væsentlige at bemærke:

Hos Lasse Ahm Consult vurderer vi at følgende krav i de enkelte kravelementer er væsentlige at bemærke: ISO 9001:2015 Side 1 af 8 Så blev den nye version af ISO 9001 implementeret. Det skete den 23. september 2015 og herefter har virksomhederne 36 måneder til at implementere de nye krav i standarden. At

Læs mere

Indholdsfortegnelse. Generelt 3. Formål 3. Omfang 4. Sammenhæng med IT- og forretningsstrategier 4

Indholdsfortegnelse. Generelt 3. Formål 3. Omfang 4. Sammenhæng med IT- og forretningsstrategier 4 Indholdsfortegnelse Generelt 3 Formål 3 Omfang 4 Sammenhæng med IT- og forretningsstrategier 4 Risikostyring og sikring af informationsaktiver og systemer 5 Overvågning af risici og regionens IT-sikkerhedsniveau

Læs mere

Velkommen Gruppe SJ-1

Velkommen Gruppe SJ-1 Velkommen Gruppe SJ-1 Lasse Ahm Consult Torsdag, den 25. september 2014 15:35 1 Program Programmet ser således ud: Kl. 10.00 Velkomst ved Lasse Michael Ahm - Info om ændringer blandt medlemmerne Kl. 10.05

Læs mere

Krav til sikkerhed og sikring af kontanthåndteringscentre, transitstationer og transport af kontanter

Krav til sikkerhed og sikring af kontanthåndteringscentre, transitstationer og transport af kontanter Dansk standard DS 3999 1. udgave 2010-10-12 Krav til sikkerhed og sikring af kontanthåndteringscentre, transitstationer og transport af kontanter Requirements for security of cash centers, transit stations

Læs mere

It-beredskabsstrategi for Horsens Kommune

It-beredskabsstrategi for Horsens Kommune It-beredskabsstrategi for Horsens Kommune Senest opdateret oktober 2016 1 Indholdsfortegnelse 1. FORMÅL MED IT-BEREDSKABSSTRATEGIEN... 3 2. STRATEGIENS SAMMENHÆNG TIL DET RESTERENDE BEREDSKAB... 3 3. OMFANG,

Læs mere

ITA-konferencen 2009. Projektchef: Martin Pedersen. Sikkerhed fra vugge til grav

ITA-konferencen 2009. Projektchef: Martin Pedersen. Sikkerhed fra vugge til grav ITA-konferencen 2009 Projektchef: Martin Pedersen Sikkerhed fra vugge til grav Hvorfor sikkerhed initielt Sund fornuft Bidrager til at etablere overblik Bidrager til en stringent styring af informationssikkerheden

Læs mere

Procesoptimering og Ledelsessystemer

Procesoptimering og Ledelsessystemer Procesoptimering og Ledelsessystemer Den lette forståelse til ledelsessystemer og standardernes anvendelse. Optimer jeres processer og dokumenter det. Reducer drifts- omkostningerne. Styrk din konkurrenceevne.

Læs mere

ISO 9001:2015 OG ISO 14001:2015 NYE VERSIONER AF STANDARDERNE ER PÅ VEJ ER DU KLAR? Move Forward with Confidence

ISO 9001:2015 OG ISO 14001:2015 NYE VERSIONER AF STANDARDERNE ER PÅ VEJ ER DU KLAR? Move Forward with Confidence ISO 9001:2015 OG ISO 14001:2015 NYE VERSIONER AF STANDARDERNE ER PÅ VEJ ER DU KLAR? Move Forward with Confidence HVORFOR 2015 REVISIONEN? I en verden hvor de økonomiske, teknologiske og miljømæssige udfordringer

Læs mere

Ledelsesforankret informationssikkerhed. med ISO/IEC 27001

Ledelsesforankret informationssikkerhed. med ISO/IEC 27001 Ledelsesforankret informationssikkerhed med ISO/IEC 27001 02 Indhold > Forord... 03 INTRODUKTION ISO/IEC 27001... 05 Ansvar og opgaver... 07 Standardens indhold... 09 PROCESSEN Procesmodellen... 13 Afstem

Læs mere

Hvis I vil vide mere. Kom godt i gang med standarder. Hvordan arbejder I med et fælles ledelsessystem og skaber synergi?

Hvis I vil vide mere. Kom godt i gang med standarder. Hvordan arbejder I med et fælles ledelsessystem og skaber synergi? Tryksag 541-643 Hvis I vil vide mere Kom godt i gang med standarder I er velkomne til at kontakte vores erfarne konsulenter inden for integreret ledelse på telefon 39 96 61 01 eller consulting@ds.dk. Helhedsorienteret

Læs mere

POLITIK FOR INFORMATIONSSIKKERHED

POLITIK FOR INFORMATIONSSIKKERHED POLITIK FOR INFORMATIONSSIKKERHED Indledning Dette er Statsbibliotekets politik for informationssikkerhed, som skal beskrive: Formål og baggrund om Statsbibliotekets hovedopgaver Mål og afgrænsning af

Læs mere

Fællesregional Informationssikkerhedspolitik

Fællesregional Informationssikkerhedspolitik Udbud nr. 2016/S 199-358626 EU-udbud af Cisco UCC i Region Syddanmark Underbilag 13.1 - Fællesregional Informationssikkerhedspolitik Underbilag 13.1 Fællesregional Informationssikkerhedspolitik Side 1/6

Læs mere

Overordnet it-sikkerhedspolitik for Rødovre Kommune

Overordnet it-sikkerhedspolitik for Rødovre Kommune Overordnet it-sikkerhedspolitik for Rødovre Kommune Denne politik er godkendt af kommunalbestyrelsen januar 2016. Og træder i kraft januar 2016. Ved udskrivning af politikken skal du være opmærksom på,

Læs mere

Velkommen Gruppe SJ-2

Velkommen Gruppe SJ-2 Velkommen Gruppe SJ-2 Lasse Ahm Consult Torsdag, den 19. marts 2015 23:23 1 Program Programmet ser således ud: Kl. 10.00 Velkomst ved Lasse Michael Ahm - Info om ændringer blandt medlemmerne Kl. 10.05

Læs mere

It-revision af selvejende institutioner Seminar i Rigsrevisionen den 5. maj 2015

It-revision af selvejende institutioner Seminar i Rigsrevisionen den 5. maj 2015 It-revision af selvejende institutioner Seminar i Rigsrevisionen den 5. maj 2015 Hvem er vi? It-revisor Claus. B. Jensen, CISA, CIA Lang erfaring med it-revision i bl.a. pengeinstitutter og forsvaret Ansat

Læs mere

Vejledning om evaluering af beredskab. April 2015

Vejledning om evaluering af beredskab. April 2015 Vejledning om evaluering af beredskab April 2015 Vejledning om evaluering af beredskab Udgivet april 2015 Udgivet af Digitaliseringsstyrelsen Publikationen er kun udgivet elektronisk Henvendelse om publikationen

Læs mere

Virksomheden bør udvikle, implementere og konstant forbedre de rammer, der sikrer integration af processen til at håndtere risici i virksomhedens:

Virksomheden bør udvikle, implementere og konstant forbedre de rammer, der sikrer integration af processen til at håndtere risici i virksomhedens: DS/ISO 31000 Risikoledelse ISO 31000 - Risikoledelse Virksomheden bør udvikle, implementere og konstant forbedre de rammer, der sikrer integration af processen til at håndtere risici i virksomhedens: overordnede

Læs mere

Færre fejl, hændelser og mangler Større interessenttilfredshed. Bedre image Større indtjening Forbedret dokumentation. Lektion 1 2

Færre fejl, hændelser og mangler Større interessenttilfredshed. Bedre image Større indtjening Forbedret dokumentation. Lektion 1 2 Lektion 1 1 Grundlæggende begreber for ledelse Færre fejl, hændelser og mangler Større interessenttilfredshed Bedre image Større indtjening Forbedret dokumentation Lektion 1 2 De 8 grundprincipper Interessent

Læs mere

Informationssikkerhedspolitik for

Informationssikkerhedspolitik for <organisation> 1 Informationssikkerhedspolitik for 1. Formål informationssikkerhedspolitik beskriver vigtigheden af arbejdet med informationssikkerhed i og fastlægger

Læs mere

Nyt om ISO-standarder ISO 14001:2015 ISO 9001:2015 ISO 45001:2016. Jan Støttrup Andersen. Lidt om mig:

Nyt om ISO-standarder ISO 14001:2015 ISO 9001:2015 ISO 45001:2016. Jan Støttrup Andersen. Lidt om mig: Velkommen til Nyt om ISO-standarder ISO 14001:2015 ISO 9001:2015 ISO 45001:2016 1 Lidt om mig: Jan Støttrup Andersen Force Technology; Audit og Forretningsudvikling Konsulent indenfor ledelsessystemer

Læs mere

Jammerbugt Kommune. Periodisk audit, P2. Ledelsessystemcertificering. Kvalitetsstyring - iht. Lov 506 af 07.06.2006 og Bek. 1258 af 15.12.

Jammerbugt Kommune. Periodisk audit, P2. Ledelsessystemcertificering. Kvalitetsstyring - iht. Lov 506 af 07.06.2006 og Bek. 1258 af 15.12. Ledelsessystemcertificering Kvalitetsstyring - iht. Lov 506 af 07.06.2006 og Bek. 1258 af 15.12.2011 Audit 22. oktober 2014 Certificeringens dækningsområde DNV teamleader: Auditteam: Sagsbehandling på

Læs mere

SecureAware Compliance Analysis Manual

SecureAware Compliance Analysis Manual SecureAware Compliance Analysis Manual Manualen beskriver brugen af SecureAware version 3 Dokument opdateret: november 2009 Om dette dokument Dette dokument er en vejledning i, hvordan du opretter compliance-checks.

Læs mere

CHECKLISTE FOR ARBEJDSMILJØCERTIFICERING

CHECKLISTE FOR ARBEJDSMILJØCERTIFICERING CHECKLISTE FOR ARBEJDSMILJØCERTIFICERING DS/OHSAS 18001:2008 og Arbejdstilsynets bekendtgørelse nr. 87 af 31. januar 2005 Nr. Emne Bemærkninger Handlingsplan 4.1 Generelle krav Organisationen skal have

Læs mere

NORDISK SAMARBEJDE OM INFORMATIONSSIKKERHED I KOMMUNER OG REGIONER

NORDISK SAMARBEJDE OM INFORMATIONSSIKKERHED I KOMMUNER OG REGIONER NORDISK SAMARBEJDE OM INFORMATIONSSIKKERHED I KOMMUNER OG REGIONER NOTAT OM INFORMATIONSSIKKERHED OG DIGITALISERING 2014 2008 2014 Notatet er udarbejdet for: Oktober 2014 INDLEDNING Digitaliseringen i

Læs mere

IMPLEMENTERING AF MILJØLEDELSE

IMPLEMENTERING AF MILJØLEDELSE IMPLEMENTERING AF MILJØLEDELSE MODUL 1 MODUL 2 MODUL 3 MODUL 4 TRIN 1 Indledende kortlægning TRIN 2 Ledelsens involvering i projektet TRIN 3 Projektplan TRIN 4 Projektopstart og organisering TRIN 5 Detailkortlægning

Læs mere

Infoblad. ISO/TS 16949 - Automotive

Infoblad. ISO/TS 16949 - Automotive Side 1 af 5 ISO/TS 16949 - Automotive Standarden ISO/TS 16949 indeholder særlige krav gældende for bilindustrien og for relevante reservedelsvirksomheder. Standardens struktur er opbygget som strukturen

Læs mere

Region Hovedstadens Ramme for Informationssikkerhed

Region Hovedstadens Ramme for Informationssikkerhed Region Hovedstadens Ramme for Informationssikkerhed Indhold Region Hovedstadens ramme for Informationssikkerhed... 3 1 Formål... 3 2 Gyldighedsområde/omfang... 4 3 Målsætninger... 4 4 Informationssikkerhedsniveau...

Læs mere

START UP GUIDE: VEJEN TIL CERTIFICERING AF DIT LEDELSESSYSTEM. Vejledning

START UP GUIDE: VEJEN TIL CERTIFICERING AF DIT LEDELSESSYSTEM. Vejledning START UP GUIDE: VEJEN TIL CERTIFICERING AF DIT LEDELSESSYSTEM Vejledning Sikker vej til certificering Denne vejledning sigter på at give et grundlæggende indblik i, og forståelse af certificering af ledelsessystemer.

Læs mere

Assens Kommune Sikkerhedspolitik for it, data og information

Assens Kommune Sikkerhedspolitik for it, data og information Assens Kommune Sikkerhedspolitik for it, data og information Indholdsfortegnelse Indholdsfortegnelse... 2 1. Indledning... 3 2. Formål... 3 3. Holdninger og principper... 4 4. Omfang... 4 5. Sikkerhedsbevidsthed,

Læs mere

Hvordan kommer vi videre og får alle med?

Hvordan kommer vi videre og får alle med? Hvordan kommer vi videre og får alle med? 1. Gennemfør handlingsplanerne 2. Sikre at miljøarbejdet fortsætter 3. Information og dialog 4. Nye input til den næste handlingsplan Gennemførelse af handlingsplanen

Læs mere

ISO/IEC Certificering i praksis Vibeke Bertelsen, tidligere Post Danmark Informationsteknologi Kirsten Skjerbek, DS Certificering Oktober 2008

ISO/IEC Certificering i praksis Vibeke Bertelsen, tidligere Post Danmark Informationsteknologi Kirsten Skjerbek, DS Certificering Oktober 2008 ISO/IEC 20000 Certificering i praksis Vibeke Bertelsen, tidligere Post Danmark Informationsteknologi Kirsten Skjerbek, DS Certificering Oktober 2008 Agenda Før, under og efter certificering Vibeke: Implementering

Læs mere

Modenhedsvurderinger. Mål hvad kan I tage med hjem?

Modenhedsvurderinger. Mål hvad kan I tage med hjem? Modenhedsvurderinger Mål hvad kan I tage med hjem? Hvorfor skal man overveje at lave en modenhedsvurdering? Hvordan kan man gribe processen an? Hvad skal man være opmærksom på? 1 Hvem er jeg? Ole Boulund

Læs mere

Denne publika ion er udarbejdet af Digitaliseringsstyrelsen Landgreven 4 Postboks 2193 1017 København K Telefon 33 92 52 00 digst@digst dk

Denne publika ion er udarbejdet af Digitaliseringsstyrelsen Landgreven 4 Postboks 2193 1017 København K Telefon 33 92 52 00 digst@digst dk Denne publika ion er udarbejdet af Digitaliseringsstyrelsen Landgreven 4 Postboks 2193 1017 København K Telefon 33 92 52 00 digst@digst dk Design: Bgraphic Foto: Colourbox Elektronisk publikation: ISBN:

Læs mere

Informationssikkerhedspolitik. Frederiksberg Kommune

Informationssikkerhedspolitik. Frederiksberg Kommune Informationssikkerhedspolitik Frederiksberg Kommune Indledning Informationssikkerhedspolitikken er den overordnede ramme for beskyttelse af information i Frederiksberg Kommune. Kommunen behandler oplysninger

Læs mere

Forordningens sikkerhedskrav

Forordningens sikkerhedskrav Forordningens sikkerhedskrav Klaus Kongsted, Dubex DI, 12. oktober 2016 Agenda Hvordan håndteres Risikovurdering Passende tekniske og organisatoriske foranstaltninger Godkendte adfærdskodekser og certificering

Læs mere

Kvalitetsstyringssystemet for natur- og miljøområdet

Kvalitetsstyringssystemet for natur- og miljøområdet BORNHOLMS REGIONSKOMMUNE TEKNIK & MILJØ Skovløkken 4 3770 Allinge Analyserapport nr. 2 Kvalitetsstyringssystemet for natur- og miljøområdet Ledelsens evaluering 2009-2011. Telefon: 56 92 00 00 E-mail:

Læs mere

Velkommen Gruppe SJ-1

Velkommen Gruppe SJ-1 Velkommen Gruppe SJ-1 Lasse Ahm Consult Onsdag, den 25. september 2013 15:26 1 Kl. 10.05 11.00 Bordet rundt Kl. 11.00 12.00 Den gode audit DS/EN ISO 19 011 Kl. 12.00 12.45 Frokost & networking Kl. 12.45

Læs mere

Guide til awareness om informationssikkerhed. Marts 2013

Guide til awareness om informationssikkerhed. Marts 2013 Guide til awareness om informationssikkerhed Marts 2013 Udgivet marts 2013 Udgivet af Digitaliseringsstyrelsen Publikationen er kun udgivet elektronisk Henvendelse om publikationen kan i øvrigt ske til:

Læs mere

Politik

Politik <dato> <J.nr.> Side 1 af 5 Politik Informationssikkerhedspolitik for 1. Indledning Denne informationssikkerhedspolitik er den overordnede ramme for informationssikkerheden hos .

Læs mere

IT-sikkerhedspolitik for

IT-sikkerhedspolitik for Norddjurs Kommune IT-sikkerhedspolitik for Norddjurs Kommune Overordnet IT-sikkerhedspolitik 1.0 Politik 14-11-2006 Side 2 af 7 Overordnet IT-sikkerhedspolitik Indledning Dette dokument beskriver Norddjurs

Læs mere

Friske Forsyninger - med sikkerhed Seminar om ledelsessystemer for vand- og spildevandsselskaber

Friske Forsyninger - med sikkerhed Seminar om ledelsessystemer for vand- og spildevandsselskaber Friske Forsyninger - med sikkerhed Seminar om ledelsessystemer for vand- og spildevandsselskaber Torsdag den 8. september 2011 Processen og vejen til certificeret ledelsessystem v./sektorchef Lars Vestergaard

Læs mere

Audit beskrivelser for PL

Audit beskrivelser for PL 3-4-1 V01 3-4-1 V02 3-4-1 V03 3-4-1 V04 3-4-1 V05 Er der etableret et system til regelmæssig kontrol af processerne? Punktet er opfyldt, hvis der er en synlig regelmæssig måling for processen med acceptgrænser.

Læs mere

CSR nyheder og erfaringer

CSR nyheder og erfaringer CSR nyheder og erfaringer Kundeseminar, Aarhus og København Helena Barton Eftermiddagens program Nye ledelsessystemer for samfundsmæssigt ansvar - DS 49001 og CSR Performance Ladder Ny standard for involvering

Læs mere

Koncessionskontrakt vedr. ekspeditionen af pas, kørekort og øvrige borgerserviceopgaver. Københavns Kommune Kultur- og Fritidsforvaltningen.

Koncessionskontrakt vedr. ekspeditionen af pas, kørekort og øvrige borgerserviceopgaver. Københavns Kommune Kultur- og Fritidsforvaltningen. vedr. ekspeditionen af pas, kørekort og øvrige borgerserviceopgaver. Københavns Kommune Bilag 9b IT-sikkerhedsdokumenter Bilag 9b 1 1 INDHOLDSFORTEGNELSE 1. IT-sikkerhedspolitik for Københavns Kommune

Læs mere

Overordnet It-sikkerhedspolitik

Overordnet It-sikkerhedspolitik Overordnet It-sikkerhedspolitik Denne politik er godkendt af byrådet d. x. måned 2014 Ved udskrivning af politikken skal du være opmærksom på, at du anvender senest godkendte version. Acadre sags nr. 14-8285

Læs mere

Stream B: Governance, Risk & Compliance Dokumentation af kontroller. September 2012, Arne Joensen

Stream B: Governance, Risk & Compliance Dokumentation af kontroller. September 2012, Arne Joensen Stream B: Governance, Risk & Compliance Dokumentation af kontroller September 2012, Arne Joensen Overvejelser omkring kontroller og compliance GRCsystemer Udgangspunkt Dokumentation og overblik Hvilke

Læs mere

Egedal Kommune. Re-certificeringsaudit. Ledelsessystemcertificering ISO 9001: apr-28 til 2015-apr-29. Certificeringens dækningsområde

Egedal Kommune. Re-certificeringsaudit. Ledelsessystemcertificering ISO 9001: apr-28 til 2015-apr-29. Certificeringens dækningsområde Ledelsessystemcertificering 2015-apr-28 til 2015-apr-29 Certificeringens dækningsområde Hidtidigt gyldighedsområde: Sagsbehandling på natur- og miljøområdet Nyt gyldighedsområde: Administration og sagsbehandling

Læs mere

Resume Københavns Universitet efterlever nu ISO 27001, om end der udestår en del konsekvensrettelser i IS-håndbog, sikkerhedspolitik mv.

Resume Københavns Universitet efterlever nu ISO 27001, om end der udestår en del konsekvensrettelser i IS-håndbog, sikkerhedspolitik mv. K Ø B E N H A V N S U N I V E R S I T E T Ledelsesteamet S A G S N O T A T 1. JUNI 2012 Vedr.: Statusrapport vedr. informationssikkerhed på KU for 2011 fra ISU til LT Sagsbehandler: Henrik Larsen Bilag:

Læs mere

KORT OM PROJEKTPORTEFØLJESTYRING. Af Jacob Kragh-Hansen, Execution Consulting Group

KORT OM PROJEKTPORTEFØLJESTYRING. Af Jacob Kragh-Hansen, Execution Consulting Group KORT OM PROJEKTPORTEFØLJESTYRING Af Jacob Kragh-Hansen, Execution Consulting Group KORT OM PROJEKTPORTEFØLJESTYRING INDHOLD 1 PROJEKTPORTEFØLJESTYRING 2 TYPISKE UDFORDRINGER 3 RATIONALE & GEVINSTER 4 ANBEFALET

Læs mere

Faxe Kommune. informationssikkerhedspolitik

Faxe Kommune. informationssikkerhedspolitik Faxe Kommune informationssikkerhedspolitik 10-10-2013 1 Overordnet informationssikkerhedspolitik Dette dokument beskriver Faxe Kommunes overordnede informationssikkerhedspolitik og skaber, sammen med en

Læs mere

Databeskyttelse: Afrunding. Jacob Herbst, CTO, Dubex A/S Dubex A/S, den 11. juni 2015

Databeskyttelse: Afrunding. Jacob Herbst, CTO, Dubex A/S Dubex A/S, den 11. juni 2015 Databeskyttelse: Afrunding Jacob Herbst, CTO, Dubex A/S Dubex A/S, den 11. juni 2015 Der er to typer virksomheder Der er to typer virksomheder: Dem, der ved at de er blevet hacket og dem der ikke ved at

Læs mere

Vejledning om den praktiske tilrettelæggelse af tilsynet med informationssikkerheden

Vejledning om den praktiske tilrettelæggelse af tilsynet med informationssikkerheden Vejledning om den praktiske tilrettelæggelse af tilsynet med informationssikkerheden Vejledningen og tilhørende bilag skal betragtes som inspiration og støtte til den overordnede vejledning Departementets

Læs mere

Whitepaper. Det virtuelle projektkontor PMO as a service. Damian Arguimbau & Mette Dal Pedersen

Whitepaper. Det virtuelle projektkontor PMO as a service. Damian Arguimbau & Mette Dal Pedersen Det virtuelle projektkontor PMO as a service AF Damian Arguimbau & 1 Introduktion PMO kontorer i virksomhederne i dag har fået en anden værdi, og der er ved at komme en anden tilgang til brugen af PMO

Læs mere

Security & Risk Management Summit

Security & Risk Management Summit Security & Risk Management Summit Hvor og hvornår skaber Managed Security Services værdi? Business Development Manager Martin Jæger Søborg, 6. november 2014 DUBEX SECURITY & RISK MANAGEMENT SUMMIT 2014

Læs mere

Fælles fundament. Den nordiske arbejdsmiljølovgivning

Fælles fundament. Den nordiske arbejdsmiljølovgivning Arbejdsmiljøcertificering som tilsynsredskab og -strategi Kåre Hendriksen Master of Environmental Management Har siden midten af 1980 erne periodisk været beskæftiget med: Arbejdsmiljøforskning Arbejdsmiljø-

Læs mere

OBLIGATORISKE ENERGISYN, ENERGILEDELSE OG TILSKUD

OBLIGATORISKE ENERGISYN, ENERGILEDELSE OG TILSKUD OBLIGATORISKE ENERGISYN, ENERGILEDELSE OG TILSKUD Pia Clausen Seniorprojektleder Reg. Energisynskonsulent Tlf. 31 75 17 05 Nr. Farimagsgade 37-1364 København K Danmark Storegade 1-8382 Hinnerup Danmark

Læs mere

Titel Nr. Udgave dato. Udarb. af Godkendt af Gyldighed Erstatter nr. Udgave dato. Gældende

Titel Nr. Udgave dato. Udarb. af Godkendt af Gyldighed Erstatter nr. Udgave dato. Gældende Formål Formålet med kvalitetsstyring er overordnet, at der skabes en forbedringskultur, der kan beskrives som en systematisk, fortløbende proces i 4 dele: Planlægning af opgaveløsning (procedurer) Opgaveløsning

Læs mere

Spillemyndighedens certificeringsprogram. Generelle krav SCP DK.1.1

Spillemyndighedens certificeringsprogram. Generelle krav SCP DK.1.1 SCP.00.00.DK.1.1 Indhold Indhold... 2 1 Indledning... 3 1.1 Spillemyndighedens certificeringsprogram... 3 1.2 Definitioner... 3 1.3 Lovmæssigt grundlag for certificeringsprogrammet... 4 1.4 Version...

Læs mere

Netplan A/S. Periodisk audit, P1. Ledelsessystemcertificering ISO 9001:2008. 2013-aug-30 til 2013-aug-30. Certificeringens dækningsområde

Netplan A/S. Periodisk audit, P1. Ledelsessystemcertificering ISO 9001:2008. 2013-aug-30 til 2013-aug-30. Certificeringens dækningsområde Ledelsessystemcertificering 2013-aug-30 til 2013-aug-30 Certificeringens dækningsområde DNV teamleader: Auditteam: Rådgivning indenfor IT- og telenetværk Jesper Halmind Jesper Halmind Projektnr.:PRJC-300259-2011-MSC-DNK

Læs mere

Friske Forsyninger - med sikkerhed Seminar om ledelsessystemer for vand- og spildevandsselskaber

Friske Forsyninger - med sikkerhed Seminar om ledelsessystemer for vand- og spildevandsselskaber Friske Forsyninger - med sikkerhed Seminar om ledelsessystemer for vand- og spildevandsselskaber Onsdag den 23. maj 2012 Processen og vejen til certificeret ledelsessystem v./business developer Lars Vestergaard

Læs mere

Virksomhedernes cybertilstand

Virksomhedernes cybertilstand ATV-konference Virksomhedernes cybertilstand Klaus Kongsted, CEO, Dubex A/S København, den 15. januar 2015 Moderne virksomheder bygger på information Zynga behandler over 1 petabyte data om dagen 2 mia.

Læs mere

Velkommen Gruppe SJ-1

Velkommen Gruppe SJ-1 Velkommen Gruppe SJ-1 Lasse Ahm Consult Onsdag, den 9. marts 2016 17.38 1 Program Programmet ser således ud: Kl. 10.00 10.05 Kl. 10.05 11.15 Kl. 11.15 12.00 Kl. 12.00 13.00 Kl. 13.00 13.45 Kl. 13.45 14.15

Læs mere

Sikkerhedsvurderinger

Sikkerhedsvurderinger Sikkerhedsvurderinger CERTA har specialiseret sig i at yde uafhængig og sagkyndig bistand til virksomheder i forbindelse med håndteringen af sikkerhedsmæssige trusler og risici. Et væsentlig element i

Læs mere

Workshop 1. Hvad er Arbejdsmiljøledelse og hvorfor fokus på ulykkesforebyggelse?

Workshop 1. Hvad er Arbejdsmiljøledelse og hvorfor fokus på ulykkesforebyggelse? Workshop 1 9.30 15 Velkommen, præsentation af program og deltagere 30 Forventninger og indsats Hvad er Arbejdsmiljøledelse og hvorfor fokus på ulykkesforebyggelse? Runde om forventninger. Introduktion

Læs mere

Vejledning til. Sikkerhedskvalitetsstyringssystem for driftsledelse

Vejledning til. Sikkerhedskvalitetsstyringssystem for driftsledelse Vejledning til Sikkerhedskvalitetsstyringssystem for driftsledelse 1 Forord Sikkerhedskvalitetsstyringssystem for drift af elforsyningsanlæg (SKS-driftsledelse) indeholder anvisninger på kvalitetsstyringsaktiviteter

Læs mere

GDPR Leverandørstyring og revisionserklæringer EU-persondatakonferencen 2017

GDPR Leverandørstyring og revisionserklæringer EU-persondatakonferencen 2017 www.pwc.dk GDPR Leverandørstyring og revisionserklæringer GDPR Leverandørstyring og revisionserklæringer v. Jess Kjær Mogensen og Charlotte Pedersen, Agenda Leverandørstyring Erklæringer Spørgsmål 3 Leverandørstyring

Læs mere

Hvad kommer ITIL V3 og Cobit til at betyde for IT-supporten? Ole Westergaard Westergaard CSM

Hvad kommer ITIL V3 og Cobit til at betyde for IT-supporten? Ole Westergaard Westergaard CSM Hvad kommer ITIL V3 og Cobit til at betyde for IT-supporten? Ole Westergaard Westergaard CSM V3 Westergaard CSM Westergaard CSM 2 Gode konsulenter hænger ikke på træerne! [Indsæt billede af Jakob/Lars/Gitte/Ulla

Læs mere

Ringkøbing-Skjern Kommune. Informationssikkerhedspolitik

Ringkøbing-Skjern Kommune. Informationssikkerhedspolitik Ringkøbing-Skjern Kommune Informationssikkerhedspolitik Indholdsfortegnelse Indholdsfortegnelse... 1 1. Indledning... 2 2. Formål... 2 3. Holdninger og principper... 3 4. Omfang... 3 5. Sikkerhedsniveau...

Læs mere

UDKAST. Bekendtgørelse om beredskabsarbejde på jernbane- og luftfartsområdet

UDKAST. Bekendtgørelse om beredskabsarbejde på jernbane- og luftfartsområdet UDKAST Bekendtgørelse om beredskabsarbejde på jernbane- og luftfartsområdet I medfør af 147 a, 149, stk. 10 og 152 a, i lov om luftfart, jf. lovbekendtgørelse nr. 1036 af 29. august 2013, og 8 d, stk.

Læs mere