Skip to content

Uge 41 - ISO:27001 Øvelser

Forfatter: Mathias Greisen

Dato: 2026-10-07

Fag/modul: IT-Governance

Status: Færdig

Afsnit 4 Organisationens rammer og vilkår

Med udgangspunkt i ISO 27001:2023 kapitel 4 skal I finde frem til:

  1. Interne forhold (De ting ledelsen selv kan styre/ændre)

    • Nævn 3 interne forhold, som kan påvirke TechSolutions' informationssikkerhed.
      • Ledelse der endnu ikke har arbejdet systematisk med virksomheden kontekst (Uden styr på ricici, kan man ikke vide om man er dækket eller udsat, dermed kan det påvirke ens sikkerhed).
      • Flere medarbejdere, der arbejder hjemmefra.
      • Kritiske kundedata og personoplysninger.
      • Servere placeret hos eksterne cloud-leverandør.
      • En række leverandører, som har adgang til virksomhedens systemer.

  2. Eksterne forhold (Uden for deres direkte kontrol)

    • Nævn 3 eksterne forhold, som virksomheden bør tage højde for.
      • Lovgivning: GDPR og NIS2.
      • Krav fra kunderne om høj informationssikkerhed.
      • Konkurrenter, der allerede er ISO 27001-certificerede.

  3. Interessenter

    • Find 4 relevante interessenter og skriv kort, hvad de forventer af virksomhedens informationssikkerhed.
      • Kunder i Danmark og Tyskland:
        • Forventer høj informationssikkerhed.
      • Staten/EU:
        • Kræver at lovgivning som GDPR og NIS2 er overholdt.
      • Leverandører:
        • Kan have forskellige forventinger, men de har nok alle en samlet forventning om at der er en form for informationssikkerhed når de også tilgår systemerne.
      • Ekstern cloud leverandør:
        • Har nok en stor forventning om høj informationssikkerhed, hvis data og systemer kører på deres infrastruktur/maskiner, da dette dermed også kan påvirke deres virksomhed.

  4. ISMS'ets scope

    • Kom med et forslag til, hvad virksomhedens ISMS bør omfatte.
      • Da virksomheden lever at at sælge IT-drift og cloud-løsninger bør deres ISMS dække hele virksomheden da man må antyde at kritiske eller følsomme oplysninger indgår eller kan indgå alle processer. Virksomheden har kundedata og infrastruktur som skal beskyttes, samtidigt med at de ikke altid selv ved hvilke oplysninger, deres kunder evt. gemmer i de løsninger, de har solgt til dem. Derfor er der krav til informationssikkerhed i alle dele af virksomheden, også for interne oplysninger som kan være både forretningshemmeligheder eller medarbejderoplysninger. Der kan endda også være krav til fysisk sikkerhed omkring virksomheden og eventuelt også behov for krav til deres egne leverandører.

  5. Ekstra spørgsmål

    • Hvis I var ledelsen i TechSolutions:
      • Hvilket af de forhold, I har fundet, mener I er vigtigst at få styr på først – og hvorfor?
        1. Lovgivning (GDPR, NIS2) da det kan får store økonomiske konsekvenser, samtidigt med at overholdelse vil styrke sikkerheden generelt.
        2. Styr på deres supply chain, da eksterne leverandører har adgang til deres systemer, samtidigt med at de selv er afhængige af en ekstern cloud-løsning (servere).

Afsnit 5 Lederskab

Med udgangspunkt i ISO 27001:2023 kapitel 5 skal I diskutere følgende:

  1. Ledelsens ansvar

    • Hvad bør ledelsen i TechSolutions gøre for at vise, at de tager informationssikkerhed alvorligt? Find 3 konkrete handlinger.
      • Sikre at informationssikkerhedspolitikken samt målsætninger bliver oprettet, samt informere om de nye tiltag. (Plan)
      • Sikre at de nye tiltag implementeres af dem selv eller andre. (Do)
      • Sikre at de nye tiltag er implementeret og virker. Samt at korrigere/forbedre hvis det ikke er som planlagt. (Check/Act)

  2. Informationssikkerhedspolitik

    • Hvilke 3-5 ting mener I, der bør stå i TechSolutions' informationssikkerhedspolitik?
      1. Målsætninger og eller rammerne for fastlæggelse af målsætninger for informationssikkerheden.
      2. Ansvar og roller. Især ledelsens ansvar og commitment til informationssikkerhedspolitikken og ISMS'en.
      3. Forpligtelse til at opfylde relevante krav (f.eks. overholde GDPR og NIS2).
      4. Forpligtelse til løbende forbedring af systemet.
      5. Kerneprincipper for sikkerheden (CIA og Risiskobaseret tilgang).

  3. Roller og ansvar

    • Hvem bør have ansvar for:
      • Den overordnede informationssikkerhed?
        • Ledelsen, og da der er tale om en ren IT-virksomhed bør de selv tage hele ansvaret.
      • Risikostyring?
        • Fælles ansvar. Ledelsen skal bestemme retning og risikovillighed. En enkelt person med viden om sikkerhed (f.eks. CISO) kan sammen med risici ejere (ejere/ledere af enkelte processer) udarbejde risikovurdering og samle dem så ledelsen derefter kan risikohåndtere.
      • Håndtering af cyberangreb?
        • Kan være en gruppe bestående af risici ejere, CISO og dele af ledelsen. Giver god bredde samt dybde med mulighed for kommunikation til enkelte afdelinger gennem risici ejerne.
      • At medarbejderne følger sikkerhedsprocedurer?
        • Det ansvar bør ledelsen have i fællesskab med f.eks. CISO, da dette ansvar ikke helt bør fralægges til en enkelt person. Ledelsen skal også vise interesse her.

  4. Ledelsens engagement

    • Forestil jer, at I er ledelsen. Forslå enkonkret beslutning, som I ville tage for at vise medarbejderne, at informationssikkerhed er en prioritet.
      • Afholde faste møder (1-2 gange om året) hvor alle medarbejder informeres om virksomhedens nye målsætninger for informationssikkerheden, hvilke målsætninger der er nået i mål siden sidst, samt et kort awareness oplæg (opfriskning og evt. nye angrebsmetoder man skal være opmærksom på).

Afsnit 6 Planlægning

Med udgangspunkt i ISO 27001:2023 kapitel 6 skal I arbejde med følgende:

  1. Identificér risici

    • Find 3 informationssikkerhedsrisici i casen. For hver risiko skal I beskrive: Risiko → Sandsynlighed → Konsekvens
      1. Phising angreb.
        • Sandsynlighed: Stor (4) da medarbejderne ikke har fåer awareness træning og der sker mange tilfælde af phising via email.
        • Konsekvens: Meget Stor (5) da man f.eks. kan rammes af ransomware eller giver adgang til aktiver (CIA).
        • Risiko: Stor (20) hvilket betyder at virksomheden skal tage dette alvorligt og modificere eller dele risikoen.
      2. Mistede/stjålne enheder.
        • Sandsynlighed: Lille (2) da det antydes at der sjældent mistes enheder.
        • Konsekvens: Stor (4) da selv hvis enheden er aflåst og evt. findes igen, kan nogen sagtens have haft adgang til data/aktiver i mellemtiden (CI).
        • Risiko: Lige under Mellem (8) så virksomheden bør se på om man let kan modificere.
      3. Angreb på ekstern leverandør.
        • Sandsynlighed: Mellem (3) hvis vi antager at den eksterne leverandør har noget sikkerhed opsat.
        • Konsekvens: Meget stor (5) hvis det er her viksomheden servere er hostet, så er egne servere/aktiver/data måske også kompromitteret eller er utilgængelige (CIA).
        • Risiko: Mellem-Stor (15) så skal overveje om man skal undgå, modificere eller dele risikoen.

  2. Hvordan skal risikoen håndteres?

    • Vælg én af de tre risici og foreslå, hvordan TechSolutions kan håndtere den.
      • Mistede/stjålne enheder.
        • Bør let kunne reduceres/modificeres med nye foranstalninger/muligheder for dermed senere at blive accepteret.
        • Er valgt for at bruge den samme som eksempel i næste opgave og altså ikke baseret på risikoevaluering.

  3. Muligheder

    • Kapitel 6 handler ikke kun om risici, men også om muligheder. Find én mulighed, som TechSolutions kan udnytte til at forbedre informationssikkerheden.
      • ISO:27001 Anneks A Afsnit 8.1 (Brugerenheder): Informationer, der lagres på, behandles af eller er tilgængelig via brugerenheder, skal beskyttes.
        • ISO:27002 Afsnit 8.1 (g): Adgangsforanstaltninger.
        • ISO:27002 Afsnit 8.1 (h): Kryptering af lagringsenheden.
        • ISO:27002 Afsnit 8.1 (j): Fjernstyret deaktivering, sletning eller spærring.

Afsnit 7 Support

Med udgangspunkt i ISO 27001:2023 kapitel 7 skal I arbejde med følgende:

  1. Ressourcer

    • Nævn 3 ressourcer, som TechSolutions har brug for for at kunne arbejde effektivt med informationssikkerhed.
      • Kompetencer
      • Medarbejdere
      • Budget og tid (går lidt hånd i hånd)

  2. Kompetencer

    • TechSolutions opdager, at medarbejderne mangler viden om cybersikkerhed. Hvilke 3 kompetencer mener I, at medarbejderne bør have?
      • Awareness. Basis viden om relevante angrebsmetoder inden for deres område og hvordan de kan undgås/mitigeres.
      • Kende til CIA-modellen.
        • For dem som indgår i ISMS stryring og risikovurdering.
      • Kendeskab til ISO27001, ISO27002 samt ISO27005 og hvordan de kan bruge dem som opslagsværker.
        • For dem som indgår i ISMS stryring og risikovurdering.

  3. Awareness / bevidsthed

    • Lav 3 konkrete initiativer, som TechSolutions kan bruge til at gøre medarbejderne mere opmærksomme på informationssikkerhed.
      • Onboarding af nye medarbejdere (alle første gang) med kort oplæg om informationssikkerhedspolitikken, generel cybersikkerhed og hvorfor det er vigtigt.
      • Afholde awareness workshop/kursus.
      • Phising-test samt opfølgning på / information om resultaterne.

  4. Kommunikation

    • TechSolutions skal blive bedre til at kommunikere om informationssikkerhed. Lav et konkret eksempel.
      • Hvad skal virksomheden kommunikere?
        • Oplyse om incident.
      • Hvem skal kommunikere det?
        • CISO eller en udvalgt fra ledelsen.
      • Hvem skal modtage informationen?
        • Ansatte, Kunder og leverandører.
      • Hvordan skal det kommunikeres?
        • Til ansatte: Face to face og gennem interne kommunikationssystemer.
        • Til kunder: Via email, men evt. også via telefonopkald da der højst sandsynligt er tale om større kunder.
        • Til leverandører: Telefonopkald hvis man antyder tætte relationer til leverandører. En email kan sendes afsted som ekstra sikring for at informationen leveres og er dokumenteret.

Afsnit 8 Driftsplanlægning og -styring

Med udgangspunkt i ISO 27001:2023 kapitel 8 skal I arbejde med følgende:

  1. Planlægning og kontrol

    • Nævn 3 konkrete processer, som TechSolutions bør have kontrol over i den daglige drift.
      • Brugerstyring
      • Enhedsstyring
      • Backup

  2. Risikobehandling

    • TechSolutions har identificeret følgende risiko: En medarbejder får adgang til kundedata, som medarbejderen ikke har behov for at se. Find 3 konkrete sikkerhedsforanstaltninger, som kan reducere risikoen.
      • Inføre princippet om at begrænse privilegier (least privilege). (ISO 27002, 8.15)
      • Priviligerede rettigheder skal begrænses og styres. (ISO 27002, 8.2)
      • Begrænse adgang til information. (ISO 27002, 8.3)

  3. Styring af ændringer

    • TechSolutions skal implementere et nyt IT-system. Hvilke 4 ting bør virksomheden overveje, før systemet tages i brug?
      • Er systemet udviklet med sikkerhed indtænkt fra starten og lever det op til egne sikkerhedspolitikeker?
      • Hvilke informationer skal systemet bruge/tilgå?
      • Er der mulighed for at overvåge systemet, f.eks. via logning?
      • Hvilke tests er der udført på systemet og er det dokumenteret?

Afsnit 9 Evaluering af performance

Med udgangspunkt i ISO 27001:2023 kapitel 9 skal I arbejde med følgende:

  1. Analyse af resultater

    • TechSolutions har reduceret antallet af phishing-klik med 30 %. Er det nødvendigvis et tegn på, at informationssikkerheden er blevet bedre?
      • Ikke som sådan da der blot kan have været færre phising forsøg dette år (ikke reproducerbar eller sammenlignelig). En anden måde at teste forbedringer kunne også være interne phising-test eller test af andre angrebsmåder hvor man så kunne måle på hvor successfulde disse er fra år til år. (Reproducerbar og dermed valid)
      • Antallet af hændelser hvert år kan også sammenlignes. Altså også hvor mange gange man internt finder et problem, sårbarhed eller politik som ikke er opfyldt. (Sammenlignelig og reproducerbar og dermed valid)

  2. Intern audit

    • TechSolutions' seneste interne audit blev gennemført for 14 måneder siden. Hvad er problemet med dette?
      • At det blev udført før de tog ISO27001 i brug da det kun har kørt i et år? Og at det ikke gentages med planlagte mellemrum.
    • Lav derefter en liste over 3 ting, som en intern audit kan undersøge.
      • Om dokumentation er tilgængelig, up to date og lever op til kravene for ISO27001.
      • Om nye foranstaltninger er taget i brug og virker.
      • Om awareness træning har haft en indvirkning på virksomhedens modtsandsdygtighed mod f.eks. phisingangreb.

  3. Ledelsens evaluering

    • Ledelsen skal gennemgå virksomhedens ISMS. Nævn 4 ting, som ledelsen bør se på under deres review.
      • Status på handlinger fra forrige ledelsesevaluering.
      • Se om informationssikkerhedspolitikker og ledelsen deraf skal opdateres efter nye forventninger internt, eksternt eller fra interresenter.
      • Se på og vurdere resultater af risikovurderinger, risikohåndteringsplanen, overvågning, måling og audits.
      • Kigge på muligheder for forbedringer.

Afsnit 10 Forbedring

Med udgangspunkt i ISO 27001:2023 kapitel 10 skal I arbejde med følgende:

  1. Afvigelser

    • Vælg 2 af problemerne i casen, som I mener kan betragtes som en afvigelse. Forklar kort: Hvad er problemet, og hvilket ISO 27001-krav eller internt krav er ikke blevet opfyldt?
      • Samme type fejl med brugeradgange som tidligere er fundet ved audit.
        • Dette lever ikke op til kravet om at korigere, forbedre sig og sikre at det ikke sker igen (afsnit 10.2).
      • En leverandør havde ikke leveret den aftalte sikkerhedsdokumentation.
        • Dette lever ikke op til kravet om evaluering af performance (kapitel 9) og især omkring kravene til at der skal udføre tjeks/audit på at krav opfyldes (kaptiel 9.1 og 9.2)

  2. Korrigerende handling

    • TechSolutions opdager, at en tidligere medarbejder stadig har adgang til et IT-system. Hvad skal virksomheden gøre her og nu? Find mindst 2 konkrete handlinger.
      • Blokere adgangen for personen først.
      • Tjekke hvad deres politikker kræver ved offboarding af medarbejdere. Skal der laves nye krav eller blev de eksisterende krav ikke overholdt?

  3. Forebyg at problemet sker igen

    • Lav 3 konkrete forbedringer, som kan forhindre, at problemet med tidligere medarbejderes brugeradgange opstår igen.
      • Planlæg, dokumenter og implementer eventuelle nye politikker hvis nødvendigt (act, plan, do) og informer om eksisterende og evt. nye politikker til relevante personer (act).
        • Kunne være at der skal udfyldes og underskrives dokumentation om off-boarding af personen som udfører off-boarding.
          • Hvis dette ikke sker, skal en alarm sættes op. Kunne kobles sammen med HR system som skal kræve dokumentationen.
      • Planlæg og dokumenter at nogen skal lave audit på at politkkerne (nye og/eller gamle) overholdes (check).
        • Udpeg en eller flere personer som løbene tjekker op og dokumenterer om den/de nye implementering(er) virker.
      • Til næste evaluering skal resultater præsenteres og man skal igen tjekke om korigering/forbedringer og eventuelle nye politikker har virket (act).
        • Sørg for at dette skrives ind som et punkt i næste evaluering med det samme.

Case: TechSolutions A/S

  1. Medarbejdere kan blive udsat for phishing.
  2. Tidligere medarbejdere kan stadig have adgang til systemerne.
  3. Kundedata kan blive stjålet.
  4. En cloud-leverandør kan blive ramt af et cyberangreb.
  5. Medarbejdere kan komme til at dele fortrolige oplysninger.
  6. Virksomheden mangler overblik over, hvem der har adgang til hvilke systemer.

Vælg 3 af risiciene fra casen. For hvert risiko skal I finde:

  1. Hvilket ISO 27001-kapitel er relevant?
  2. Hvilken eller hvilke Annex A-kontroller kan hjælpe med at håndtere risikoen?
  3. Hvordan hænger kapitlet og Annex A-kontrollen sammen?
Risiko ISO 27001 Annex A Hvordan hænger de sammen?
Phising Kaptiel 6 A.6.3 Kapitel 6 handler om at finde, vurdere og håndtere risikoen. Annex A giver en ide til hvordan man kan reducere risikoen
Cloud leverandør kan blive ramt Kaptiel 6 A.5.20 og A.5.22 Under risikovurderingen vurderes risikoen for at leverandøren bliver ramt. Her vil man også kigge på den aftale med har med dem og om man har modtaget dokumentation på det det overholdes. Hvis man har brug for reducere risikoen kan A.5.20 (Leverandøraftale) og A.5.22 (Leverandør overvågning og vurdering) hjælpe.
Deling af fortrolige oplysninger Kapitel 6 A.6.3 og A.5.15 Under risikovurdering finder man frem til risikoen for dette imens A.6.3 (Awareness) og A.5.15 (Access control) kan hjælpe med at reducere risikoen.

Afrundende sprøgsmål

  1. Skal en virksomhed implementere alle kontroller i Annex A?

    • Nej, men der skal være dokumentation for hvorfor man har fravalgt kontrollerne.