Minipaket: ISMS-startpaket – SME

Minipaketet: ISMS-startpaket – SME erbjuder en praktisk, heltäckande uppsättning cybersäkerhetspolicyer framtagna för små och medelstora företag som söker anpassning till ISO/IEC 27001:2022. Eftersom SME ofta saknar dedikerade interna team för IT, säkerhet eller regelefterlevnad, tilldelar varje policy i detta paket uttryckligen ansvar och ansvarsskyldighet till verksamhetsroller såsom verkställande direktör, avdelningschefer och, där det finns, utsedd personal eller outsourcade IT-leverantörer. Alla policyer hänvisar till förenklad funktionsåtskillnad; delegering av verkställande direktör stöds, men revisionsbarhet och tillsyn upprätthålls alltid för att uppfylla klausul 5.3 i ISO/IEC 27001. I detta SME-fokuserade startpaket ingår: informationssäkerhetspolicy, policy för styrning av roller och ansvar, åtkomstkontrollpolicy, ändringshanteringspolicy, riskhanteringspolicy samt policy för säkerhetskopiering och återställning. Varje dokument täcker väsentliga operativa och tekniska kontroller över informationslivscykeln, från åtkomsttilldelning och riskbedömning till ändringsgodkännande och verksamhetskontinuitet. Vanliga krav omfattar att upprätthålla centrala register (för åtkomst och risker), dokumentera alla ändringar och delegeringar, säkerställa periodiska policyöversyner samt genomdriva policyefterlevnad med tydliga konsekvenser vid överträdelser eller utelämnanden. Särskilt viktigt är den konsekventa ansatsen: varje policy kräver obligatorisk periodisk översyn (årligen eller efter större ändringar), dokumenterat godkännande av undantag eller incidenter av verkställande direktör samt enkel tillämpning för både intern personal och externa tredjepartstjänsteleverantörer, vilket gör dem genomdrivbara oavsett företagsstorlek. Aktiviteter såsom säkerhetskopiering av system, riskövervakning, policyefterlevnad och användaråtkomsthantering föreskrivs på ett sätt som är kompatibelt med begränsad intern kapacitet. Exempelvis styrs säkerhetskopieringsrutiner och återställningstestning av en enda ansvarig person (VD eller utsedd), och riskidentifiering kan genomföras med enkla checklistor i stället för avancerade verktyg. Alla policyer i detta paket är mappade till stora globala ramverk och regelverk, inklusive ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, COBIT 2019 och EU GDPR. Mappningen omfattar klausuler såsom 5.1–5.3, 6.1, 8.1 för ISO/IEC 27001, relevanta kontroller för ISO/IEC 27002 (t.ex. kontroller 5.2, 5.15, 8.13) samt specifika artiklar enligt GDPR och DORA. Dessa mappningar, tillsammans med kontroller i klarspråk och rollspecifika processer, säkerställer att SME-efterlevnad inte bara är möjlig, utan också kan påvisas för kunder, revisorer och tillsynsmyndigheter. Policyerna är korsrefererade; varje policy länkar till relaterade dokument i paketet för ett sammanhållet införande av ledningssystem för informationssäkerhet i mindre organisationer.