RISKFOLD
Avtal et møte
Hjem Tjenester Metode Om Avtal et møte

Sertifiseringen er vår jobb. Produktet er deres.

Riskfold tar nordiske programvareselskaper gjennom ISO 27001, slik at svaret er ja neste gang en kunde spør. Vi eier løpet fra første gap-analyse til utstedt sertifikat.

Avtal et møte Se tjenestene

Første samtale tar 30 minutter og er gratis. Dere går derfra med en vurdering av hva som står mellom dere og avtalen.

Filosofi

Ingen sertifiseres for sertifikatets skyld. De sertifiseres for kunden som sier ja, ledelsen som slutter å mase, og forspranget på konkurrenten som fortsatt fyller ut skjemaer.

Tilnærming

Vi starter i forretningen. Ikke i standarden.

ISO 27001 er et rammeverk, ikke en oppskrift. Riskfold bygger styringssystemet rundt hvordan selskapet deres tjener penger, slik at sikkerheten blir en del av driften og ikke et eget prosjekt ved siden av.

Salget først.

De fleste rådgivere leser standarden som en juridisk sjekkliste. Vi begynner med avtalene: hva kundene deres spør om, hvilke krav som stopper innkjøpet, og hvilke svar som får dem til å signere. Styringssystemet bygges for å vinne de avtalene, uten å drukne utviklerne i byråkrati.

Forankret i prosessene.

Kontrollene legges inn i rutinene dere allerede har: salg, kundeleveranser, utviklingsløpet, tilganger og leverandører. Når sikkerheten følger arbeidet, holder den gjennom revisjonen og i hverdagen etterpå.

Nordisk virkelighet.

Dokumentasjon på norsk og engelsk, slik at både ansatte og utenlandske storkunder kan bruke den. Vi hjelper dere å velge sertifiseringsorgan, enten det er DNV, Nemko, Kiwa eller BSI, og forbereder dere til trinn 1 og trinn 2. Er dere også underlagt digitalsikkerhetsloven eller sektorregler, kobler vi kravene til det samme styringssystemet.

Resultat

Vi måler oss på resultatet. Ikke på antall dokumenter.

Tre ting skal være på plass når vi er ferdige. Og ingen av dem skal ha kostet dere en eneste sprint med produktarbeid.

Sertifikatet.

Et ISO 27001-sertifikat utstedt av et akkreditert sertifiseringsorgan, og et styringssystem dere kan drive videre selv. Ikke en perm med dokumenter som blir liggende i en skuff.

Avtalen.

Når sikkerhetskravet er dekket, står ikke den store kontrakten lenger og venter på dokumentasjon. Dere kan by på avtaler dere før måtte takke nei til.

Forspranget.

Mange av konkurrentene deres svarer fortsatt på sikkerhetsskjemaer for hånd, én kunde om gangen. Et sertifikat gjør dere til det trygge valget før spørsmålet i det hele tatt er stilt.

Leveranser

Veien dit er åtte leveranser. Alle blir deres den dagen prosjektet er ferdig.

  1. Omfang og ISMS-struktur

    Før noe annet kan begynne, blir vi enige om hva sertifikatet skal dekke: hvilke systemer, kontorer, tjenester og ansatte. Styringssystemet bygges rundt denne avgrensningen, ikke omvendt.

  2. Risikovurdering og risikoregister

    Et dokumentert blikk på hva som kan gå galt, og hvor alvorlig det vil være. Registeret er deres verktøy, ikke vårt, og dere skal kunne vedlikeholde det selv.

  3. Anvendelighetserklæring (SoA)

    Standardens 93 kontroller, vurdert én for én: hvilke som gjelder, hvilke som ikke gjør det, og hvorfor. Som regel det første dokumentet revisor slår opp.

  4. Policyer og prosedyrer

    Skrevet for selskapet slik det drives, ikke en mal hentet fra nettet som noen må skrive om i etterkant. Informasjonssikkerhet, tilgangsstyring, leverandøroppfølging, hendelseshåndtering og kontinuitet.

  5. Implementering av kontroller

    Vi lukker gapene sammen med teamet deres og dokumenterer bevisene underveis, ikke i siste liten før revisjonen.

  6. Internrevisjon

    En uavhengig gjennomgang, utført av noen som ikke har bygget systemet selv. Dere får en avviksrapport og en tiltaksplan, ikke bare en bekreftelse på at alt er i orden.

  7. Ledelsens gjennomgang

    Standarden krever at ledelsen tar stilling til systemet, ikke bare signerer det. Vi forbereder underlaget og leder møtet, slik at gjennomgangen blir reell og godt dokumentert.

  8. Sertifiseringsrevisjon

    Vi er med gjennom trinn 1 og trinn 2, svarer på avvik underveis og blir i prosjektet til sertifikatet er utstedt, ikke til revisjonsdagen er over.

Sertifiseringsorganet er en egen part i dette. Nemko, DNV, Kiwa eller BSI velges og betales direkte av dere. Riskfold har ingen kommersielle bånd til noen av dem, og tar ingen provisjon på revisjonen, og det er en av grunnene til at rådene våre er til å stole på.

Tjenester

Fire måter å starte på. Begynn der avtalen krever det.

Sertifiseringen skal aldri være grunnen til at en avtale glipper.

Avtal et møte