ISO 27001 gap-analys: så gör ni den steg för steg

En gap-analys mot ISO 27001 jämför hur ert informationssäkerhetsarbete faktiskt fungerar i dag med vad standarden kräver. Den ger er en prioriterad lista över vad som saknas innan ni kan certifiera er eller med gott samvete säga att ni följer standarden. Analysen täcker både ledningssystemets krav i avsnitt 4–10 och säkerhetsåtgärderna i bilaga A. Den bygger på bevis och intervjuer snarare än bara dokument, och slutar i en åtgärdsplan med ägare, prioritet och tidplan. Nedan går vi igenom vilken version ni ska mäta mot, hur analysen skiljer sig från riskbedömning och internrevision, vilka bevis som ska granskas och hur ni gör rapporten användbar för ledningen.

Kort sagt

• En gap-analys visar vilka säkerhetsåtgärder som finns, om de fungerar och vilka brister som måste åtgärdas för att nå den nivå ni behöver.
• Mät mot SS-EN ISO/IEC 27001:2023 (motsvarar ISO/IEC 27001:2022) inklusive tillägget A1:2024. Kraven i avsnitt 4–10 går inte att välja bort.
• Räkna med två till fem arbetsdagar för själva analysen enligt MSB:s metodstöd, plus tid för att samla in underlag och skriva rapporten.
• Granska bevis, inte bara policyer: loggar, behörighetslistor, utbildningsregister, leverantörsavtal och protokoll visar om en åtgärd faktiskt lever.
• Resultatet är en åtgärdsplan som balanserar kritiska brister mot vad organisationen orkar genomföra.

Innehållsförteckning

• Vad en gap-analys enligt ISO 27001 visar
• Vilken version av standarden ni ska mäta mot
• Gap-analys, riskbedömning och internrevision: skillnaden
• Så genomför ni gap-analysen i sju steg
• Vilka bevis ni ska granska
• Så graderar och prioriterar ni bristerna
• Rapporten och åtgärdsplanen
• Vanliga misstag i gap-analysen
• Vår syn på gap-analysen
• Gap-analys och stöd från Evertrust
• Vanliga frågor
• Källor

Vad en gap-analys enligt ISO 27001 visar

Ordet “gap” är bokstavligt: avståndet mellan var ni står och var ni behöver vara. Enligt MSB:s metodstöd för gapanalys jämför analysen organisationens faktiska informationssäkerhetsnivå med den önskade nivån. Den visar åtgärdernas status, hur allvarliga bristerna är och vad som behövs för att överbrygga skillnaden.

I praktiken svarar en bra gap-analys på fyra frågor:

1. Finns åtgärden? Har ni till exempel en process för behörighetstilldelning, eller sker det ad hoc?
2. Fungerar den? Följs processen, och kan ni visa det med spår i systemen?
3. Hur stort är gapet? Är det en formalitet som saknas, eller en verklig säkerhetsrisk?
4. Vad krävs för att stänga det? Vem äger åtgärden, vad kostar den i tid och pengar, och hur bråttom är det?

För en CISO eller CIO är det svaret på fråga fyra som gör analysen värd pengarna. En lista med 60 brister utan prioritet hjälper ingen. En lista där de tio viktigaste är kopplade till verksamhetsrisker och har en ägare blir underlaget för budget, rekrytering och tidplan mot certifiering.

Vilken version av standarden ni ska mäta mot

En svensk organisation ska i dag bedöma sig mot SS-EN ISO/IEC 27001:2023, som är den svenska utgåvan av ISO/IEC 27001:2022. SIS fastställde den 14 augusti 2023, och den ersätter både SS-EN ISO/IEC 27001:2017 och SS-ISO/IEC 27001:2022. Standarden anger krav för att upprätta, införa, upprätthålla och ständigt förbättra ett ledningssystem för informationssäkerhet (LIS, på engelska ISMS). Kraven i avsnitt 4–10 får inte exkluderas om ni vill hävda efterlevnad.

Glöm inte tillägget SS-EN ISO/IEC 27001:2023/A1:2024, fastställt 11 september 2024, som lägger till krav på att beakta klimatförändringar. Det är litet till omfånget, men räkna med att revisorn frågar om ni har tagit ställning till om klimatfrågan är relevant för er kontext och era intressenter.

Bilaga A i 2022-utgåvan omfattar 93 säkerhetsåtgärder i fyra teman: organisatoriska, personrelaterade, fysiska och tekniska. Vi har beskrivit förändringarna jämfört med den gamla versionen i artikeln om att ISO 27002 och ISO 27001 har uppdaterats. Har ni ett äldre ledningssystem byggt på 2013-strukturen är det ofta just mappningen mot den nya bilaga A som ger flest träffar i gap-analysen.

För statliga myndigheter finns en extra dimension. Enligt MSB:s föreskrifter om informationssäkerhet (MSBFS 2020:6) ska myndigheter bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ISO/IEC 27001 eller motsvarande, och i arbetet ingår att genomföra en gapanalys. För dem är analysen alltså inte frivillig.

Gap-analys, riskbedömning och internrevision: skillnaden

De tre begreppen blandas ofta ihop, men de svarar på olika frågor och används vid olika tidpunkter.

Gap-analysen är alltså en nulägesbild som ger er en färdplan. Riskbedömningen är motorn i själva ledningssystemet: det är den som avgör vilka åtgärder i bilaga A som är relevanta och hur långt de ska drivas. Internrevisionen kommer senare och kontrollerar att det ni infört fungerar som avsett. Vill ni förbereda den delen har vi en checklista för internrevision enligt ISO 27001.

En viktig koppling: MSB:s metodstöd beskriver att gapanalysen kan utgå antingen från samtliga åtgärder i bilaga A eller från resultaten av en verksamhetsanalys, omvärldsanalys och övergripande riskanalys, om de redan är gjorda. Att genomföra de andra analyserna är ett krav om ni vill följa standarden, så förr eller senare behöver ni dem ändå.

Så genomför ni gap-analysen i sju steg

MSB placerar gapanalysen i metodsteget “Identifiera och analysera” tillsammans med verksamhets-, omvärlds- och riskanalys. I sin översikt av metodstödet rekommenderar MSB att ni utgår från analyser som redan är gjorda. Så här ser ett arbetssätt ut som fungerar för en organisation med 50 anställda eller fler.

1. Bestäm omfattning och syfte

Ska analysen gälla hela organisationen eller en del av den, till exempel en SaaS-tjänst som kunderna kräver certifikat för? MSB anger att analysen bör göras övergripande för hela verksamheten men kan göras för en utvald del vid behov. Skriv ner omfattningen: den blir också utkastet till ert framtida scope för ledningssystemet.

2. Välj kravbild

Lista avsnitt 4–10 och de 93 åtgärderna i bilaga A. Om ni samtidigt omfattas av NIS2, DORA eller GDPR lönar det sig att bygga en gemensam kravmatris redan nu, så att samma bevis kan återanvändas mot flera regelverk.

3. Samla befintligt underlag

Policyer, rutiner, tidigare riskanalyser, revisionsrapporter, leverantörsförteckningar och incidentloggar. Ju mer ni samlar i förväg, desto mer av analystiden går till bedömning i stället för letande.

4. Intervjua rätt personer

Informationssäkerhet är inte bara en IT-fråga. Bilaga A innehåller till exempel personrelaterade åtgärder som bakgrundskontroller och anställningsvillkor. Därför behöver HR, inköp, fastighet och juridik vara med, inte bara säkerhets- och IT-funktionen.

5. Verifiera med stickprov

Be att få se det som rutinen säger ska finnas: en avslutad användares borttagna behörigheter, senaste återläsningstestet av backup, ett signerat personuppgiftsbiträdesavtal.

6. Bedöm och gradera varje krav

Sätt en mognadsnivå per krav (se tabellen längre ned) och notera vilket bevis bedömningen bygger på.

7. Skriv rapport och åtgärdsplan

Sammanfatta för ledningen på en sida, och lägg detaljerna i en bilaga som ägarna av åtgärderna kan arbeta direkt i.

Själva analysen tar enligt MSB normalt två till fem arbetsdagar. Det stämmer väl när underlaget är förberett och nyckelpersonerna har avsatt tid. Hur lång tid ett helt införande sedan tar beskriver vi i guiden införa ISO 27001 steg för steg.

Vilka bevis ni ska granska

Det vanligaste misstaget är att behandla gap-analysen som en dokumentgranskning. En policy som säger att alla behörigheter ses över kvartalsvis är inget bevis för att det sker. En certifieringsrevision sker dessutom i två steg, där steg 1 granskar dokumentationen och steg 2 utvärderar införandet och hur väl åtgärderna fungerar. En gap-analys som bara motsvarar steg 1 ger falsk trygghet inför steg 2.

Tre dokument väger extra tungt eftersom revisorn alltid börjar med dem: policyn, riskbedömningen och uttalandet om tillämplighet. Vi går igenom dem i ISO 27001-kraven för beslutsfattare. Vad policyn ska innehålla finns i vår mall och checklista för informationssäkerhetspolicy.

Den fysiska delen förtjänar en extra tanke när personalen sitter i delade lokaler. Om delar av verksamheten arbetar från kontorshotell eller coworking behöver gap-analysen täcka skärmskydd, utskrifter, gästnätverk och hur personuppgifter hanteras i miljöer ni inte själva kontrollerar. En genomgång av GDPR-krav i delade kontorsmiljöer visar vilka frågor som brukar dyka upp där.

Så graderar och prioriterar ni bristerna

En gemensam skala gör bedömningarna jämförbara mellan områden och mellan år. Vi rekommenderar en enkel mognadsskala som går att förklara för ledningen på en minut.

För certifiering behöver ni i regel nå nivå 3 på alla krav i avsnitt 4–10 och på de åtgärder i bilaga A som ni har valt att tillämpa. Nivå 4 är målet för de områden där riskerna är högst.

Prioriteringen gör ni sedan i två dimensioner: hur allvarligt gapet är för verksamheten och hur stor insats som krävs. MSB betonar att handlingsplanen bör balansera aktiviteter som eliminerar kritiska brister mot vad som är resursmässigt genomförbart. Ett praktiskt sätt:

• Gör först: allvarliga gap som går snabbt att stänga, som saknad MFA för administratörer eller en avslutsrutin som inte tar bort behörigheter.
• Planera in: allvarliga gap som kräver projekt, som ett nytt system för logghantering eller en omförhandling av leverantörsavtal.
• Samla ihop: mindre gap som kan lösas i samma arbetspaket, ofta dokumentation och rollbeskrivningar.
• Ta ställning: gap som rör åtgärder ni kanske inte behöver. Här avgör riskbedömningen, och beslutet dokumenteras i uttalandet om tillämplighet.

Rapporten och åtgärdsplanen

En rapport som ledningen läser har en tydlig sammanfattning först: hur nära certifiering ni är, vilka de största riskerna är och vad det kräver i resurser. Därefter kommer detaljerna.

En bra struktur är:

1. Sammanfattning för ledningen med en övergripande mognadsbild per avsnitt och tema.
2. Omfattning och metod: vad som granskades, vem som intervjuades och vilken version av standarden som användes.
3. Resultat per krav med nivå, bevis och kommentar.
4. Prioriterad åtgärdsplan med ägare, tidplan och beroenden.
5. Bilagor med kravmatris och förteckning över granskat underlag.

MSB rekommenderar att resultatet dokumenteras så att det stödjer det fortsatta arbetet med styrdokument och andra aktiviteter. I praktiken betyder det att åtgärdsplanen ska leva i ett verktyg där ägarna uppdaterar status, inte i en PDF som arkiveras. Då blir nästa gap-analys en uppföljning snarare än ett nytt projekt. Vad ett sådant system behöver klara beskriver vi i krav på GRC-system.

Vanliga misstag i gap-analysen

• Bara policyer granskas. Dokument utan bevis ger en för positiv bild.
• Säkerhetsteamet gör allt själva. Utan HR, inköp och verksamheten missas hela kravområden.
• Bilaga A blir en checklista. Åtgärderna ska väljas utifrån riskbedömningen, inte bockas av en och en.
• Avsnitt 4–10 får för lite tid. Det är ofta här de största avvikelserna finns, till exempel att ledningens genomgång aldrig har hållits.
• Ingen ägare per åtgärd. En brist utan ägare blir kvar till nästa analys.
• Fel version. Att mäta mot 2013-strukturen eller glömma tillägget från 2024 gör att analysen måste göras om.

Vår syn på gap-analysen

Vi ser gap-analysen som den viktigaste investeringen i ett ISO 27001-projekt, eftersom den avgör var alla andra timmar läggs. När den görs väl blir införandet kortare och billigare, och ledningen får ett beslutsunderlag den förstår.

Vår erfarenhet är att de verkliga gapen sällan syns i dokumenten. De syns när man frågar HR hur en avslutad anställds konton stängs, eller ber inköp visa säkerhetskraven i det senaste leverantörsavtalet. Därför kombinerar vi juridisk kompetens inom dataskydd och informationssäkerhet med ett praktiskt arbetssätt: vi intervjuar, tar stickprov och skriver åtgärdsplaner som går att genomföra.

Vi ser också att många organisationer i Sverige har krav från flera håll samtidigt: GDPR, NIS2, DORA och kundernas krav på ISO 27001. En gap-analys som bara tittar på ett regelverk lämnar pengar på bordet. Därför bygger vi en gemensam kravbild och låter samma bevis räknas flera gånger. Därför har vi också utvecklat Trustview, så att åtgärdsplanen lever vidare i ett verktyg skapat av jurister och experter i stället för i en rapport som glöms bort.

Jesper

Gap-analys och stöd från Evertrust

Vi genomför GAP-analyser, säkerhetsgranskningar och GDPR-granskningar för organisationer som vill veta exakt var de står och vad som krävs för att nå efterlevnad. Ni får en prioriterad åtgärdsplan som går att lägga fram för ledningen. Läs mer om våra GAP-analyser och säkerhetsgranskningar.

Behöver ni sedan hjälp att stänga gapen kan vi gå in med rådgivning och konsulttjänster eller som interim compliance officer. Uppföljningen kan ni hantera i GRC-verktyget Trustview, som stödjer regelefterlevnad enligt ISO 27000, GDPR, NIS2 och DORA. Mer om vårt arbete med standardfamiljen finns under informationssäkerhet enligt ISO 2700X.

Vanliga frågor

Hur lång tid tar en gap-analys mot ISO 27001?

Enligt MSB:s metodstöd tar själva analysen normalt två till fem arbetsdagar. Lägg till tid för att samla in underlag i förväg och för att skriva rapporten. Omfattningen påverkar mest: en enskild tjänst går fortare än hela organisationen.

Är en gap-analys samma sak som en internrevision?

Nej. Gap-analysen mäter avståndet till standarden innan ledningssystemet är på plats. Internrevisionen enligt avsnitt 9.2 kontrollerar att ett infört ledningssystem fungerar. Metoderna liknar varandra, men syfte och tidpunkt skiljer sig.

Är ISO 27001 likvärdigt med SOC 2?

Nej. ISO 27001 kräver ett ledningssystem som styr informationssäkerheten löpande och leder till ett certifikat, medan SOC 2 är en attesteringsrapport som främst rör säkerhetskontroller för kunddata. Ramverken överlappar till stor del, vilket forskning om säkerhetsstandarder har kartlagt, så en gemensam kravmatris sparar arbete om ni behöver båda.

Ska gap-analysen omfatta hela organisationen?

MSB rekommenderar en övergripande analys av hela verksamheten, men den kan göras för en utvald del vid behov. Om ni bara ska certifiera en tjänst eller en enhet är det rimligt att börja där, så länge gränssnitten mot resten av organisationen beskrivs.

Hur ofta bör vi göra om gap-analysen?

Gör om den när standarden ändras väsentligt, när omfattningen förändras eller när nya regelverk som NIS2 tillkommer. När ledningssystemet väl är i drift tar internrevisionen och ledningens genomgång över den löpande uppföljningen.

Källor

• MSB: Gapanalys, metodstöd för informationssäkerhet
• MSB: Metodstöd för systematiskt informationssäkerhetsarbete, en översikt
• MSBFS 2020:6, föreskrifter om informationssäkerhet för statliga myndigheter
• SIS: SS-EN ISO/IEC 27001:2023
• SIS: SS-EN ISO/IEC 27001:2023/A1:2024
• TÜV Nord: ISO 27001-certifiering
• PageProof: SOC 2 eller ISO 27001
• IT Security and Privacy Standards in Comparison

Rekommendationer

• Införa ISO 27001: steg för steg till ett ledningssystem som fungerar
• De tre dokumenten revisorn kräver: ISO 27001 krav för beslutsfattare
• ISO/IEC 27001 – Krav för informationssäkerhetshantering
• Internrevision ISO 27001: checklista för internrevisorer