Uge 43 - ISO 27002 Øvelser

Forfatter: Mathias Greisen

Dato: 2026-10-21

Fag/modul: IT-Governance

Status: Færdig

Organisatoriske foranstaltninger

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Organisatorisk	Ingen samlet informationssikkerhedspolitik. Ingen gennemgående sikkerhedsregler i firmaet	5.1 Politikker	Udarbejdelse og godkendelse af sikkerhedspolitikker	Ledelsen	30 dage	Informationssikkerhedspolitikker med emnespecifikke politikker
Organisatorisk	Ingen enighed om ansvar. Kan gøre rappotering og håndtering langsommere eller ikke eksisterende	5.2 Roller og ansvar	Opret struktur og uddel ansvar for sikkerhedspolitikker	Ledelsen	30 dage	Dokumenterede roller i henhold til informationspolitikkerne
Organisatorisk	Manglende procedure for rappotering og håndtering af incidents. Brud på sikkerhed stoppes ikke effektivt	5.24 Planlægning og forberedelse af incidenthåndtering	Planlægning og forberedelse (øve) for incidents	Ledelsen (evt. ansvarlig for enkelte emnespecifikke områder)	60 dage	Dokumenterede processer med roller og ansvar. Dokumenteret kommunikation til relevante interessenter (intern og ekstern)
Organisatorisk	Medarbejdere kender ikke til informationssikkerhedspolitikker og sikkerhed generelt	5.4 Ledelsens ansvar	Informere relevante interresenter om ledelsens ansvar og vedtagede informationssikkerhedspolitikker	Ledelsen	60 dage	Dokumenterede møder (information om politkker og ansvarsfordeling). Hvor mange der deltog. Opfølgning (fx. spørgeskema)

Spørgsmål til opsamling

Kan en virksomhed have gode tekniske sikkerhedsløsninger, men stadig være usikker, fordi ansvar og procedurer mangler?
- Ja for hvis der ikke er styr på hvem der har ansvaret for disse løsninger og eventuelle procedurer ved incidents, så ved man ikke om de virker og om eventuelle incidents bliver stoppet.

Personalemæssige foranstaltninger

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Personalemæssig	Manglende awareness. Større ririsko for at angreb lykkes	6.3 Awareness, uddannelse og træning	Sørge for awareness, uddannelse og træning for relevante interessenter	CISO	30 dage	Dokumenterede møder, workshops osv. Deltagerlister og Opfølgning (fx. spørgeskema)
Personalemæssig	Manglende viden om indrapportering. Incidents stoppes måske ikke	6.8 Indrapportering	Sørge for at alle ved hvor, hvornår og til hvem de skal rapportere hændelser	Ansvarlige for hvert området	90 dage	Dokumenterede procedurer for indrapportering. Dokumenteret oplysning af interresenter
Personalemæssig	Tidligere medarbejdere med adgang. Trussel for fortrolighed og integritet	6.5 Ansvar ved ændring af ansættelsesforhold	Definere ansvar (håndhæve og kommunikere) og forpligtelser ved ændring eller ophør af ansættelse	Ledelsen, CISO og områdeansvarlige	60 dage	Dokumentation for procedurer, kommunikation af disse og ved håndhævelser (underskrevne dokumenter hver gang procedurer er gennemført)

Ekstra: | Personalemæssig | Manglende aftaler om hemmeligholdelse og fortrolighed. Trussel mod fortroligheden af aktiver og forretningshemmeligheder | 6.6 Hemmeligholdelses- og fortrolighedsaftaler | | | | |

Spørgsmål til opsamling

Er det primært medarbejderen, der har begået en fejl, eller har virksomheden også et ansvar for at forebygge og håndtere hændelsen?
- Det er primært virksomheden der står med ansvaret, da medarbejderen tydeligvis ikke havde den nødvendige awareness, træning og viden omkring håndtering af situationen.

Fysiske foranstaltninger

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Fysisk	Områdesikring mangler. Uvedkommende kan få adgang til virksomhedens bygninger hvilket er en stor sikkerhedsrisiko (fortrolighed, integritet og tilgængelighed)	7.1 Fysisk områdesikring	Sikre at uautoriserede personer ikke kan opnå adgang til, beskadige eller forstyrre informationer og aktiver. F.eks. med alarmer, overvågning og låste døre	Ledelse og CISO	60 dage	Dokumenterede foranstaltninger. Dokumenteret afprøvning af valgte foranstaltninger
Fysisk	Manglende adgangskontrol. Dør til serverrum som ikke er låst er en meget stor sikkerhedsrisiko (fortrolighed, integritet og tilgængelighed)	7.2 Fysisk adgangskontrol	Sikrede områder skal beskyttes med passende adgangsforanstaltninger og adgangspunkter	CISO og områdeansvarlige	60 dage	Dokumentation for valgte politikker/foranstaltninger. Dokumentation for test af foranstaltninger og at politikker dermed håndhæves
Fysisk	Manglende procedurer for brand, vandskade og tyveri. Kan gøre udbedring ved tilfælde langsommere og dermed øge risikoen	7.8 Placering og beskyttelse af udstyr	Enheder skal placeres på sikre og beskyttede steder. Samt udarbejde politikker og procedurer for tilfælde af fysiske eller miljømæssige trussler	CISO og områdeansvarlige	60 dage	Dokumenterede politikker og procedurer. Dokumenteret kommunikation om disse. Dokumenteret øvelse af procedurer
Fysisk	Kundeoplysninger ligger fremme på på skriveborde. Større risiko for brud på fortrolighed (læses / deles), integritet (ændres / ombyttes) og tilgængelighed (stjæles)	7.7 Ryddeligt skrivebord og låst skærm	Opsættes regler for hvornår skærme/computere skal være låst og om/hvornår/hvor der må ligge papirer fremme	CISO og områdeansvarlige	30 dage	Dokumentation for politkker omkring ryddeligt skrivebord og låst skærm. Dokumenteret kommunikation af politikker. Tjek på og dokumentation for overholdelse

Spørgsmål til opsamling

Hvorfor er adgangskontrol til serverrummet ikke tilstrækkeligt, hvis virksomhedens øvrige fysiske sikkerhed stadig er mangelfuld?
- Fordi at udvedkommende så stadigvæk kan komme ind på området og derefter forsøge at opnå videre adgang til fx. serverummet. De kunne fx. opnå adgang ved at finde og stjæle credentials. Der er altså ingen defense in depth som kan stoppe dette.

Teknologiske foranstaltninger

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Teknologisk	Manglende sikkerhedsopdateringer. Større risiko for sårbarheder og dermed fortrolighed, integritet og tilgængelighed	8.9 Konfigurationsstyring	Oprette poilitikker for sikkerhedskonfiguration og sikre at alle enheder lever op til poilitikker for sikkerhedskonfiguration.	CISO / IT-afdeling	60 dage	Dokumentation over politikker. Dokumentation over enheder og hvilke der lever op til politikkerne
Teknologisk	Admin rettigheder til flere end nøvendigt. Større risiko for uautoriceret adgang og dermed trussel mod fortrolighed, integritet og tilgængelighed	8.2 Priviligerede adgangsrettigheder	Tildeling og anvendelse af priviligerede adgangsrettigheder bør begrænses og styres	CISO / IT-afdeling / områdeansvarlige	60 dage	Dokumentation med politikker for hvem/hvad der skal og har priviligeret adgang til hvilke systemer og oplysninger. Dokumentation over tests for om politikker er implementeret korrekt
Teknologisk	Manglende test af backup. Man ved altså ikke om backup virker og derfor er den teknisk set ubrugelig	8.13 Backup af information	Backup af informationer bør cedligeholdes og testes regelmæssigt	IT-afdeling / områdeansvarlige	30 dage	Emnespecifikke politikker for backup skal oprettes samt planer for genoprettelse. Tests af genoprettelse skal foretages og dokumenteres sammen med tjek for om politikker var overholdt
Teknologisk	Manglende styring af logs og overvågning. Mindsker muligheden for at hindre, opdage, stoppe og udbedre angreb	8.15 Logning	Logge med aktivitete, undtagelser, fejl og andre relevante hændelser bør udarbejdes, opbevares, beskyttes og analyseres	IT-afdeling	60 dage	Dokumentere politikker for logning samt ansvarsfordeling for udarbejdelse/indhentning, opbevaring, beskyttelse og analyse af logs. Dokumenterede tests af om politikker og ansvar er implementeret korrekt
Teknologisk	Samme konti bruges til forskellige systemer. Hvis et system kompromitteres kan det muligvis give adgang til alle systemer.	8.5 Sikker autentifikation	Der bør implementeres sikre autentifikationstenologier og proceduerer på baggrund af begrænsinger i informationsadgang og den emnespecifikke politik for adminstration af adgang	CISO / IT-afdeling / områdeansvarlige	90 dage	Oprette politikker for autentifikation (fx. krav om MFA) for bruger konti, her især for kontier som bruges i flere systemer. Dokumentere politikker samt hvordan de skal implementeres. Test og dokumentere at politikker er implementeret som planlagt

Spørgsmål til opsamling

Hvorfor er det ikke tilstrækkeligt blot at have backup, hvis virksomheden ikke kan dokumentere, at data kan gendannes?
- Hvis data ikke kan gendannes, så er backup ikke brugbar og man kunne derfor ligeså godt ikke have den. Der er altså tale om en falsk tryghed.

Den samlede sikkerhedsløsning de første 90 dage

Fase 1: Få stoppet aktuelle problemer

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Personalemæssig	Tidligere medarbejdere med adgang. Trussel for fortrolighed og integritet	6.5 Ansvar ved ændring af ansættelsesforhold	Definere ansvar (håndhæve og kommunikere) og forpligtelser ved ændring eller ophør af ansættelse	Ledelsen, CISO og områdeansvarlige	60 dage	Dokumentation for procedurer, kommunikation af disse og ved håndhævelser (underskrevne dokumenter hver gang procedurer er gennemført)
Teknologisk	Samme konti bruges til forskellige systemer. Hvis et system kompromitteres kan det muligvis give adgang til alle systemer.	8.5 Sikker autentifikation	Der bør implementeres sikre autentifikationstenologier og proceduerer på baggrund af begrænsinger i informationsadgang og den emnespecifikke politik for adminstration af adgang	CISO / IT-afdeling / områdeansvarlige	90 dage	Oprette politikker for autentifikation (fx. krav om MFA) for bruger konti, her især for kontier som bruges i flere systemer. Dokumentere politikker samt hvordan de skal implementeres. Test og dokumentere at politikker er implementeret som planlagt
Teknologisk	Manglende sikkerhedsopdateringer. Større risiko for sårbarheder og dermed fortrolighed, integritet og tilgængelighed	8.9 Konfigurationsstyring	Oprette poilitikker for sikkerhedskonfiguration og sikre at alle enheder lever op til poilitikker for sikkerhedskonfiguration.	CISO / IT-afdeling	60 dage	Dokumentation over politikker. Dokumentation over enheder og hvilke der lever op til politikkerne
Teknologisk	Admin rettigheder til flere end nøvendigt. Større risiko for uautoriceret adgang og dermed trussel mod fortrolighed, integritet og tilgængelighed	8.2 Priviligerede adgangsrettigheder	Tildeling og anvendelse af priviligerede adgangsrettigheder bør begrænses og styres	CISO / IT-afdeling / områdeansvarlige	60 dage	Dokumentation med politikker for hvem/hvad der skal og har priviligeret adgang til hvilke systemer og oplysninger. Dokumentation over tests for om politikker er implementeret korrekt
Fysisk	Manglende adgangskontrol. Dør til serverrum som ikke er låst er en meget stor sikkerhedsrisiko (fortrolighed, integritet og tilgængelighed)	7.2 Fysisk adgangskontrol	Sikrede områder skal beskyttes med passende adgangsforanstaltninger og adgangspunkter	CISO og områdeansvarlige	60 dage	Dokumentation for valgte politikker/foranstaltninger. Dokumentation for test af foranstaltninger og at politikker dermed håndhæves
Fysisk	Områdesikring mangler. Uvedkommende kan få adgang til virksomhedens bygninger hvilket er en stor sikkerhedsrisiko (fortrolighed, integritet og tilgængelighed)	7.1 Fysisk områdesikring	Sikre at uautoriserede personer ikke kan opnå adgang til, beskadige eller forstyrre informationer og aktiver. F.eks. med alarmer, overvågning og låste døre	Ledelse og CISO	60 dage	Dokumenterede foranstaltninger. Dokumenteret afprøvning af valgte foranstaltninger

Fase 2: Få oprette politikker og procedurer samt fordel ansvar

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Organisatorisk	Ingen samlet informationssikkerhedspolitik. Ingen gennemgående sikkerhedsregler i firmaet	5.1 Politikker	Udarbejdelse og godkendelse af sikkerhedspolitikker	Ledelsen	30 dage	Informationssikkerhedspolitikker med emnespecifikke politikker
Organisatorisk	Ingen enighed om ansvar. Kan gøre rappotering og håndtering langsommere eller ikke eksisterende	5.2 Roller og ansvar	Opret struktur og uddel ansvar for sikkerhedspolitikker	Ledelsen	30 dage	Dokumenterede roller i henhold til informationspolitikkerne
Organisatorisk	Manglende procedure for rappotering og håndtering af incidents. Brud på sikkerhed stoppes ikke effektivt	5.24 Planlægning og forberedelse af incidenthåndtering	Planlægning og forberedelse (øve) for incidents	Ledelsen (evt. ansvarlig for enkelte emnespecifikke områder)	60 dage	Dokumenterede processer med roller og ansvar. Dokumenteret kommunikation til relevante interessenter (intern og ekstern)
Teknologisk	Manglende styring af logs og overvågning. Mindsker muligheden for at hindre, opdage, stoppe og udbedre angreb	8.15 Logning	Logge med aktivitete, undtagelser, fejl og andre relevante hændelser bør udarbejdes, opbevares, beskyttes og analyseres	IT-afdeling	60 dage	Dokumentere politikker for logning samt ansvarsfordeling for udarbejdelse/indhentning, opbevaring, beskyttelse og analyse af logs. Dokumenterede tests af om politikker og ansvar er implementeret korrekt

Fase 3: Test procedurer og træn personale

Tema	Risiko	Kontol nr. og titel	Foranstaltning	Ansvarlig	Deadline	Dokumentation for effekt
Teknologisk	Manglende test af backup. Man ved altså ikke om backup virker og derfor er den teknisk set ubrugelig	8.13 Backup af information	Backup af informationer bør cedligeholdes og testes regelmæssigt	IT-afdeling / områdeansvarlige	30 dage	Emnespecifikke politikker for backup skal oprettes samt planer for genoprettelse. Tests af genoprettelse skal foretages og dokumenteres sammen med tjek for om politikker var overholdt
Personalemæssig	Manglende awareness. Større ririsko for at angreb lykkes	6.3 Awareness, uddannelse og træning	Sørge for awareness, uddannelse og træning for relevante interessenter	CISO	30 dage	Dokumenterede møder, workshops osv. Deltagerlister og Opfølgning (fx. spørgeskema)