Reell sikkerhet først, ISO 27001 etterpå

Sertifiseringspanikk – en vanlig felle

Det skjer stadig i unge B2B-selskaper. En stor kunde stiller et sikkerhetsspørsmål, og plutselig kaster hele teamet seg inn i en ISO-sertifisering som aldri var med i planen.

Det er lett å forstå hvorfor. Når man jakter på sin første store avtale, føles alt presserende. Spørsmålet dukker opp: Er dere ISO 27001-sertifisert? Det er dere ikke. Dere svarer at dere «jobber med det» – og så er jakten i gang.

Men vent litt.

De fleste kunder vil først og fremst ha trygghet

Det er lett å blande sammen to ting: reell sikkerhet og formell sertifisering.

Sertifiseringer som ISO, SOC 2 eller NIST kan absolutt være en måte å bygge tillit på – men er sjelden den eneste. Ofte dukker de opp i sjekklister fremfor som absolutte krav.

«Har dere X?» betyr ikke alltid «Vi kan ikke gå videre uten X».

I praksis sier ikke en ISO-sertifisering mer enn tydelige, etterprøvbare bevis på at dere er sikre der det betyr mest. For eksempel at dere kan vise:

• At multifaktorautentisering er slått på
• At tilgangsrettigheter er tydelig styrt og begrenset
• At trusler overvåkes og håndteres fortløpende
• At dere har gode prosesser når medarbeidere begynner og slutter

Hvis dere kan vise dette konkret, vil mange kunder føle seg tryggere enn med bare en logo i bunnteksten.

Reell sikkerhet begynner med mennesker og prosesser

Sikkerhet begynner ikke med dokumentasjon, revisjoner eller rammeverk. Den begynner med hvordan dere faktisk:

• Håndterer tilgang til systemer og data
• Beskytter kontoer og innloggingsopplysninger
• Sikrer tofaktorautentisering
• Oppdager og håndterer trusler i hverdagen

Dette er grunnleggende ting dere kan bygge opp allerede fra dag én, lenge før noen sertifisering – og de gjør langt mer for å beskytte dere enn å krysse av i bokser for å få et symbol på nettstedet.

Et sikkerhetsprogram som bare finnes på papiret, hjelper ikke når noe først skjer. Det er hverdagens rutiner, atferd og ansvar som gjør forskjellen.

Vær ærlig – og trygg på svaret ditt

Det er helt rimelig å si noe slikt som:

«Vår prioritet er å beskytte dataene deres. Vi har allerede effektiv beskyttelse på plass og viser gjerne hvordan vi jobber. Sertifisering er noe vi vil ta når tidspunktet er riktig for virksomheten, ikke som et første steg.»

Et slikt svar kan være sterkere enn å love noe dere ikke har begynt på – særlig hvis det viser at dere er fokuserte, gjennomtenkte og ikke prøver å komme dere gjennom et sikkerhetsskjema med tomme løfter.

Kunder vil vite at dere tar dataene deres på alvor. Åpenhet, konkrete eksempler og en tydelig plan veier ofte tyngre enn en forkortelse.

Sertifiseringer er viktige – men ikke steg én

Vi sier ikke at ISO 27001 og lignende rammeverk ikke spiller noen rolle. Det gjør de, særlig senere når dere:

• Går inn i mer regulerte markeder
• Møter innkjøpsavdelinger
• Samarbeider med større bedrifter eller offentlig sektor

Men de beste sertifiseringene hviler på et solid grunnlag. De skal gjenspeile det dere allerede gjør – ikke erstatte det. Og de skal definitivt ikke ta oppmerksomheten bort fra å få reell beskyttelse på plass.

Beskytt først. Sertifiser etterpå.