Reel sikkerhed først, ISO 27001 bagefter

Certificeringspanik: en velkendt fælde

Det sker ofte i unge B2B-virksomheder. En stor kunde spørger til sikkerheden, og pludselig kaster hele teamet sig over en ISO-certificering, som aldrig var en del af planen.

Det er forståeligt. Når den første store aftale er inden for rækkevidde, føles alt presserende. Så kommer spørgsmålet: Er I ISO 27001-certificerede? Det er I ikke. I svarer, at I "arbejder på det", og så er jagten gået ind.

Men tag lige et skridt tilbage.

De fleste kunder vil først og fremmest føle sig trygge

Det er nemt at blande reel sikkerhed og formel certificering sammen.

Certificeringer og rammeværk som ISO, SOC 2 og NIST kan bestemt være med til at skabe tillid, men de er sjældent den eneste vej. Ofte står de på en tjekliste uden at være ufravigelige krav.

"Har I X?" betyder ikke altid: "Vi kan ikke gå videre uden X."

I praksis kan tydelig og efterprøvbar dokumentation for sikkerheden på de vigtigste områder være mindst lige så overbevisende. Fx at I kan vise:

• At multifaktorgodkendelse er slået til
• At adgangsrettigheder er klart styret og begrænset
• At trusler overvåges og håndteres løbende
• At I har fornuftige procedurer, når medarbejdere starter og stopper

Kan I vise det konkret, vil mange kunder føle sig mere trygge end ved et logo i bunden af hjemmesiden alene.

Reel sikkerhed begynder med mennesker og arbejdsgange

Sikkerhed begynder ikke med dokumentation, revisioner eller rammeværk. Den begynder med, hvordan I faktisk:

• styrer adgang til systemer og data
• beskytter konti og loginoplysninger
• sikrer brugen af tofaktorgodkendelse
• opdager og håndterer trusler i hverdagen

Det kan I bygge op fra dag ét, længe før en certificering. Og det beskytter jer langt bedre end at sætte krydser alene for at få et mærke på hjemmesiden.

Et sikkerhedsprogram, der kun findes på papir, hjælper ikke, når noget sker. Det er hverdagens rutiner, vaner og ansvar, der gør forskellen.

Svar ærligt og med ro i maven

Det er helt rimeligt at sige noget i retning af:

"Vores prioritet er at beskytte jeres data. Vi har allerede effektive sikkerhedstiltag på plads og viser gerne, hvordan vi arbejder. Vi går efter en certificering, når det giver mening for forretningen, frem for som det første skridt."

Det kan være et stærkere svar end at love noget, I ikke er begyndt på. Især hvis det viser, at I arbejder fokuseret og velovervejet frem for at besvare et sikkerhedsskema med tomme løfter.

Kunderne vil vide, at I tager deres data alvorligt. Åbenhed, konkrete eksempler og en klar plan vejer ofte tungere end en forkortelse.

Certificeringer er vigtige, men grundlaget skal være på plads

ISO 27001 og lignende rammeværk har stor betydning, særligt senere, når I:

• Bevæger jer ind på mere regulerede markeder
• Møder indkøbsafdelinger
• Samarbejder med større virksomheder eller den offentlige sektor

De bedste certificeringer bygger på et solidt fundament. De skal afspejle det, I allerede gør, ikke erstatte det. Og de må bestemt ikke tage fokus fra at få reel beskyttelse på plads.

Beskyt først. Bliv certificeret bagefter.