Certificeringer og standarder

Certificeringer
Når virksomheder ønsker at blive certificerede hænger det ofte sammen med nogle eksterne krav  fra enten myndigheder eller  samarbejdspartnere. I nogle tilfælde bruges certificeringer i forhold til branding og markedsføring  af en virksomhed, da nogle kunder foretrækker at handle med en leverandør, der har styr på sine processer. Og mange gange kan netop en certificering være tegn på dette.

De fleste certificeringer  hænger ofte sammen med at skulle agere efter en given standard eller udføre en opgave ud fra en given best practice metode. Ved at udføre en opgave efter en  best practice metode, vil man som virksomhed kunne opnå det man på engelsk kalder compliance i forhold til en kendt standard eller et gældende regulativ. Det at opretholde en certificering eller efterleve et regulativ (compliance) er en løbende proces, som ofte kræver ekstern audit eller revision.

Nationale certificeringer
DS-484 er i virkeligheden en generel dansk it-sikkerhedsstandard, som bygger på den internationale ISO27001 certificering.
I Danmark har man ikke udviklet mere specifikke certificeringer, men derimod er der lovmæssige krav i forbindelse med behandling af data. Nogle af de mest relevante er persondataloven, Retsplejeloven, Straffeloven, Offentlighedsloven, Markedsføringsloven og Ophavsretsloven.

Internationale certificeringer

• SOX er et finansielt regulativ, som bl.a. indeholder krav til kontrol af it-systemer og processor.
• EuroSOX er et nyere EU regulativ, som indeholder lignende krav til kontrol af it-systemer og processor.
• PCI er et regulativ udstedt af kreditkort leverandørerne, som indeholder krav til behandling af kreditkort data.
• HIPAA er et person data regulativ, som indeholder krav til behandling af personlige sundheds- og helbredsdata.
• GLBA er et finansielt regulativ, som indeholder krav til  behandling  af personlige økonomiske data.
• ISO 27001 er  en mere generel IT sikkerheds certificering, som stiller krav til sikker håndtering  af informationer.

Standarder

En standard inden for it-sikkerhed er overordnet set en beskrivelse af de elementer, der er nødvendige for at opnå et givent sikkerhedsniveau. Der findes forskellige standarder afhængig af, hvilken type data en virksomhed behandler og hvor i verden man befinder sig.
Hvis man som virksomhed har behov for at opnå et givent sikkerhedsniveau eller man ønsker at opnå en certificering, kan man tilknytte en specifik standard. Der findes såkaldte Frameworks, så som COBIT og ITIL, som kan understøtte diverse standarder og ved at benytte både ITIL og COBIT Frameworks kan man også opnå specifikke certificeringer.

Nationale standarder
Den væsentligste it-standard i Danmark hedder DS 484 og stiller krav til statslige organisationer. Den 12. januar 2004 blev det obligatorisk for statens institutioner at følge en fælles statslig it-sikkerhedsstandard efter en tre- årig indføringsperiode, med mindre særlige økonomiske eller juridiske forhold taler imod. De tre år er nu gået og alle statens institutioner burde nu styrer it-sikkerheden efter principperne i DS 484.

Overordnet set kan det anbefales virksomheder med interesse i generelt at højne it-sikkerheden at benytte DS484. Grundet at DS 484 bygger på den internationale ISO standard vil DS 484 altid være et skridt i den rigtige retning i forhold til efterlevelse af andre internationale standarder, som eksempelvis PCI, HIPAA eller lignende.

Internationale standarder
Der findes mange internationale standarder, men fælles for dem alle er at der opstilles nogle krav inden for bl.a. procedure og proces beskrivelser, logning, rapportering, overvågning og sikkerhedsniveau såvel fysisk, som digitalt.
Inden for IT standarder er følgende nogle af de mest anvendte: ISO 2700x, SOX, EuroSOX, PCI, HIPAA, GLBA og dertil kan både COBIT og ITIL tilføjes.