ISO 27001 -sertifiointi vastaa pohjimmiltaan yhteen kysymykseen:

‍Onko tietoturvaa hallittu hyvin ja standardin mukaisesti?

Tarkemmin sanottuna:

Voiko ulkopuolinen auditoija luottaa siihen, että tietoturvaa hallitaan asianmukaisesti?
Hallitaanko sitä johdonmukaisesti koko organisaatiossa?
Perustuvatko päätökset riskeihin ja toteutetaanko ne käytännössä?
Toimiiko tietoturvan hallintajärjestelmä (ISMS) oikeasti käytännössä?

Sertifioinnissa ei ole kyse täydellisyydestä. Kyse on tietoturvariskien järjestelmällisestä ja luotettavasta hallinnasta.

Käydään seuraavaksi läpi, mistä auditoinnissa oikeasti on kyse (ja mistä ei), sekä millainen ajattelutapa auditoijilla on. Tavoitteemme on helpottaa mieltäsi tulevien auditointien lähestyessä.

Mitä ISO 27001 -sertifiointi on — ja mitä se ei ole

Monet organisaatiot ymmärtävät ISO 27001 -auditoinnin väärin ennen kuin käyvät sen läpi. Oikaistaan muutama yleinen harhaluulo.

ISO 27001 -sertifiointi ei ole:

❌ Virheiden metsästysoperaatio
❌ Dokumentaatioiden kauneuskilpailu
❌ Tekninen penetraatiotestaus
❌ Kertaluonteinen tietoturvatarkastus

Auditoijat eivät ole eettisiä hakkereita, jotka yrittävät murtautua järjestelmiisi. He eivät myöskään ole konsultteja, jotka improvisoivat parhaita käytäntöjä tai suunnittelevat tietoturvajärjestelysi uudelleen.

He toimivat ISO-ohjeistuksen mukaisesti, joka määrittelee tarkasti, miten sertifiointiauditoinnit tulee toteuttaa. Tämä tarkoittaa, että poikkeamia voidaan nostaa esiin vain silloin, kun jokin ISO 27001 -vaatimus ei täyty, eikä tähän voi vaikutttaa auditoijan henkilökohtainen mielipide.

Mitä ISO 27001 -sertifiointi sitten on?

Se on varmennusprosessi.

Se on jäsennelty, riskiperusteinen arvio siitä, toimiiko tietoturvan hallintajärjestelmäsi (ISMS) suunnitellulla tavalla.

Käytännössä auditoija arvioi esimerkiksi:

✅ Tunnistetaanko ja arvioidaanko riskit järjestelmällisesti
✅ Valitaanko asianmukaiset suojaustoimenpiteet riskien perusteella
✅ Onko vastuut määritelty selkeästi
✅ Seurataanko tietoturvan suorituskykyä
✅ Korjataanko ongelmat ja toteutetaanko parannuksia

Tavoitteena ei ole virheetön tietoturva.

Tavoitteena on osoittaa, että tietoturvaa hallitaan, ohjataan ja parannetaan jatkuvasti standardin mukaisesti.

Mitä auditoija oikeastaan tekee?

ISO 27001 -auditointia voidaan tarkastella kolmen keskeisen varmennusvaiheen kautta.

1. Onko ISMS olemassa?

Ensimmäiseksi auditoija varmistaa, että tietoturvan hallintajärjestelmä on aidosti käytössä.

Hän tarkastelee esimerkiksi:

Määriteltyä ISMS:n soveltamisalaa
Riskien arvioinnin ja käsittelyn tuloksia
Soveltuvuuslausumaa (Statement of Applicability)
Vaadittuja politiikkoja ja dokumentoitua tietoa
Sisäisiä auditointeja ja johdon katselmuksia
Keskeisiä asset- ja kontrollirekistereitä

Tarkoitus on yksinkertainen: varmistaa, että organisaatiolla on rakenteellinen ja toimiva hallintajärjestelmä.

2. Täyttääkö se ISO 27001 -vaatimukset?

Seuraavaksi auditoija vertaa ISMS-järjestelmääsi suoraan standardiin. Hän arvioi, onko vaaditut kohdat otettu huomioon, toteutetaanko riskienhallinta määritellyllä tavalla ja onko hallintakeinot valittu ja perusteltu asianmukaisesti.

Hän keskittyy erityisesti objektiiviseen näyttöön. Jos selkeä vaatimus puuttuu tai se on täytetty vain osittain, voidaan esittää poikkeama. Auditoinnin tulos on siis selkeä: dokumentoidut poikkeamat, jotka on korjattava.

3. Vastaako todellisuus ISMS:ää?

Lopuksi auditoija varmistaa, että käytännön toiminta vastaa dokumentaatiota.

Tähän kuuluu esimerkiksi:

Keskustelut työntekijöiden kanssa
Tietojen ja lokien tarkastelu
Tarkentavien kysymysten esittäminen
Prosessien havainnointi käytännössä

Auditoija testaa johdonmukaisuutta. Jos käyttöoikeuksien tarkastukset on tarkoitus tehdä neljännesvuosittain, lokien pitäisi osoittaa, että näin todella tapahtuu.
Jos koulutus on pakollista, työntekijöiden pitäisi tietää siitä.

Lopulta auditoija vastaa yhteen keskeiseen kysymykseen: Vastaako todellinen toiminta sitä, mitä ISMS kuvaa?

Lue lisää ISO 27001 -sertifiointiauditoinnista blogissamme: ISO 27001 sertifiointi: Mitä tapahtuu sertifiointiauditissa?

Auditoijan ajattelutapa – ja miten sen kanssa kannattaa toimia

Auditoijien ajattelutavan ymmärtäminen helpottaa prosessia huomattavasti. Auditoijat ovat todisteisiin perustuvia, järjestelmällisiä, puolueettomia ja tiukkojen akkreditointisääntöjen alaisia. Heidän tehtävänään ei ole konsultoida, suunnitella järjestelmääsi uudelleen tai tehdä subjektiivisia arvioita. He eivät voi esittää havaintoja ilman selkeää täyttämätöntä vaatimusta, eivätkä he hyväksy epämääräisiä selityksiä ilman objektiivisia todisteita.

He esittävät jäsenneltyjä kysymyksiä, pyytävät todisteita ja tarkistavat dokumentaation ja käytännön toiminnan yhdenmukaisuuden. Jos vaatimus on selvästi täyttämättä, he nostavat esiin vaatimustenvastaisuuden. Heidän tehtävänään ei ole päättää, läpäisevätkö organisaatiot tarkastuksen vai eivät, vaan selvittää, täyttyvätkö standardin vaatimukset.

Organisaatioiden lähestymistavan tulisi olla yksinkertainen: olla selkeä, tosiasioihin perustuva ja läpinäkyvä. Anna vastaukset ajoissa, tue väitteitä todisteilla, myönnä ongelmat avoimesti ja näytä, miten ongelmat korjataan. Auditoijat eivät odota täydellisyyttä, mutta he odottavat rehellisyyttä ja järjestelmällisyyttä.

Auditointien vaikeudet ovat yleensä vältettävissä: kysymysten välttely, tietojen piilottelu, oman dokumentaation kanssa ristiriidassa olevat tiedot tai liiallinen selittäminen ilman todisteita. Läpinäkyvyys luo luottamusta, ja luottamus on viime kädessä se, mitä ISO 27001 -sertifiointi on tarkoitettu osoittamaan.

Lopulta kyse on luottamuksesta

ISO 27001 -sertifioinnissa ei ole kyse siitä, että mitään ei voisi koskaan mennä pieleen. Yksikään organisaatio ei ole riskitön.

Kyse on siitä, että pystyt osoittamaan:

🔎 Ymmärrät tietoturvariskisi
🎯 Hallitset niitä järjestelmällisesti
🗺️ Noudatat määriteltyjä prosessejasi
🏆 Korjaat ongelmat ja parannat toimintaa jatkuvasti

Jos riippumaton auditoija voi luottaa siihen, että tietoturvaasi hallitaan asianmukaisesti ja johdonmukaisesti, voivat myös asiakkaasi, kumppanisi ja viranomaiset luottaa siihen.