ISO 27002.
Riktlinjerna för informationssäkerhetsåtgärder: vad ISO 27002 strukturerar, hur ni tillämpar dem och vilka underlag som uppstår.
- ISO/IEC 27002:2022
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
ISO 27002 är den internationella genomförandevägledningen för informationssäkerhetsåtgärder. ISO/IEC 27002:2022 ordnar kontrollerna i organisatoriska, personrelaterade, fysiska och tekniska teman och förklarar tillämpningen. Organisationer använder riktlinjerna utifrån sina risker och sin verksamhet. Någon fristående ISO 27002-certifiering finns inte. ISO 27001 innehåller certifierbara krav på ett ledningssystem för informationssäkerhet.
ISO 27002:2022 som genomförandevägledning.
ISO 27002 förklarar säkerhetsåtgärder, medan ISO 27001 beskriver krav på ett ledningssystem för informationssäkerhet, ISMS. Det engelska begreppet Controls avser åtgärder som påverkar säkerhetsrisker. Där ingår såväl organisatoriska rutiner som tekniska eller fysiska skydd. En åtgärdskatalog beskriver därför varken en ren produktlista eller enbart IT-avdelningens arbete.
Utgivarens offentliga sida anger ISO/IEC 27002:2022 som tredje utgåvan från februari 2022 och nämner en korrigerad engelsk version från mars 2022. Redaktörsartikeln i SC-27 Journal, decemberutgåvan 2022, förklarar på sidorna 13–15 strukturen med 93 åtgärder i fyra teman och de kompletterande attributen. Denna orientering ersätter inte arbetet med den lagligen införskaffade standarden.
Riktlinjerna tillämpas i den egna organisationens sammanhang. IEC:s produktbeskrivning nämner både användning inom ett ISMS och utveckling av organisationsanpassade säkerhetsriktlinjer. En övertagen katalog fastställer inte ensam vilken miljö som skyddas, vem som driver en åtgärd eller om den faktiskt fungerar.
Vem ISO 27002 passar för.
Enligt ISO:s offentliga beskrivning riktar sig ISO 27002 till organisationer av olika storlek och i olika branscher. Den kan stödja åtgärdsarbetet i ett befintligt ISMS eller vägleda säkerhetsarbetet. Planerad certifiering är ingen förutsättning. Före införandet bör det vara klart om behovet gäller ett gemensamt fackspråk, bättre genomförande eller underlag till en viss mottagare.
Flera funktioner medverkar normalt i tillämpningen. Som praktisk arbetsfördelning kan säkerhetsansvariga samordna urvalet, tjänsteansvariga förklara den berörda miljön och verksamhetsområden genomföra åtgärderna. Inköp, personal, fastighetsdrift och utveckling involveras när den konkreta åtgärden berör deras processer. Fördelningen är en rekommendation för arbetets organisering, ingen allmängiltig rolltillsättning från standarden.
ISO 27002-kontroller som arbetsgrund.
Fyra teman strukturerar åtgärderna. Urval och attribut hjälper vid tillämpningen. Följande sex arbetsområden kopplar strukturen till praktiska beslut utan att utgöra sex officiella standardkapitel eller en fullständig åtgärdslista.
Organisatoriskt ansvar.
Organisatoriska åtgärder utgör ett eget tema. Klargör vid det praktiska genomförandet var ett beslut fattas, godkänns och granskas. En begriplig regel kopplar den skyddade tjänsten till ansvarig funktion. Att ett riktlinjedokument finns förklarar inte ensamt sambandet.
Människor och arbetsflöden.
Personrelaterade åtgärder gäller säkerhet i samband med människor och deras arbete. Pröva vid tillämpningen vilka vardagshändelser som utlöser en handling och vem som utför den. Utbildning och rollbyte behöver olika genomföranden även om samma verksamhetsområde stöder båda.
Fysisk miljö.
Fysiska åtgärder gäller miljön där information och stödjande resurser används. Skilj vid den praktiska avgränsningen egna anläggningar från leverantörers tjänster. Ett underlag om datacentret besvarar exempelvis inte automatiskt frågor om hantering av enheter på det egna kontoret.
Tekniskt genomförande.
Tekniska åtgärder utgör det fjärde temat. Beskriv vid tillämpningen först vilka system och vilken information en teknisk åtgärd ska täcka. Därefter kan ni pröva om konfiguration, driftsrutiner och övervakning hänger ihop. En aktiverad funktion är en utgångspunkt för granskning, inget fullständigt effektivitetsuttalande.
Koppla urvalet till risken.
Tillämpningen bör utgå från skyddsbehov och risker i den aktuella verksamheten. Som praktisk rekommendation bör ni dokumentera vilket beslut som motiverar en åtgärd och vilka beroenden som beaktats. Därmed förblir det spårbart varför två tjänster kan behöva olika genomföranden trots samma vägledande riktlinje.
Använd attribut för begripliga vyer.
Enligt redaktörsartikeln möjliggör attribut olika vyer över åtgärdsbeståndet. Använd sådana vyer exempelvis för samordning mellan säkerhetsorganisation och driftsansvariga. Sorteringen underlättar navigering men ersätter varken tillämpningsbeslutet eller underlag för att en åtgärd genomförts eller är effektiv.
Tillämpa ISO 27002 i driften.
Välj en hanterbar omfattning.
Börja praktiskt med att avgränsa en tjänst med dess information, system och medverkande så att det senare genomförandet får en verifierbar gräns.
Dokumentera beslutsgrunden.
Beskriv relevanta risker och verksamhetskrav, lagkrav eller avtalskrav innan ni använder lämpliga riktlinjer för åtgärdsarbetet.
Läs riktlinjerna i sitt sammanhang.
Pröva med hjälp av den lagligen införskaffade standarden vilka råd som passar er miljö och behandla inte en kortbeskrivning som en fullständig genomföranderegel.
Fastställ genomförande och ansvar.
Kom överens om vad som ska ske i den aktuella driften, vem som ansvarar och vilken befintlig process arbetet knyter an till.
Pröva påståendet mot underlag.
Välj dokumentation eller tester som faktiskt täcker den beskrivna omfattningen och dokumentera resultat, granskningsdatum och nödvändiga följdåtgärder.
Bedöm förändringar på nytt.
Fastställ lämpliga granskningsanledningar, exempelvis en ändrad tjänst eller en incident, och uppdatera genomförandebeslutet med berörda ansvariga.
Underlag utan ISO 27002-certifikat.
En fristående certifiering enligt ISO 27002 är enligt ISO:s produktfrågor inte avsedd. Den som behöver ett certifierat ISMS-underlag ska se till ISO 27001 och den konkreta certifieringsomfattningen. ISO genomför inte själv sådana certifieringar. Enligt ISO:s certifieringssida gör externa organ det. Genomförandevägledningen har därför heller ingen allmän certifikatstid.
För det egna underlagsarbetet rekommenderas ett tydligt påstående: vilket genomförande ska styrkas i vilken miljö? Ett förfarande kan beskriva det planerade arbetssättet medan en registrering visar utförandet. Ett test undersöker i sin tur en konkret förväntan. Dessa underlagstyper kan komplettera varandra men besvarar olika frågor.
Kontrollera ett underlags ursprung, period och omfattning innan det lämnas vidare. En aktuell inställning styrker inte historisk drift. Ett stickprov förklarar inte automatiskt varje undantag. Dokumentera begränsad täckning och följande arbete i stället för att härleda ett fullständigt säkerhets- eller efterlevnadsåtagande ur en enda handling.
Förhållandet till andra ramverk.
ISO 27001 beskriver kraven på ISMS, medan ISO 27002 stöder åtgärdsarbetet inom det. IT-Grundschutz erbjuder en egen BSI-metod med standarder och kompendium. Lagstadgade skyldigheter för berörda verksamhetsutövare enligt BSIG ska prövas separat. Användning av en genomförandevägledning bekräftar ingen NIS2-efterlevnad.
I Secani.
Secani innehåller en redaktionell arbetskatalog för ISO/IEC 27002:2022 med profiluppgifter om bland annat molntjänster, programvaruutveckling och mobilt arbete. Katalogen stöder strukturerat arbete och är ingen officiell standardtext. Tillämplighetsbeslut behöver en motivering. Det redaktionella hjälpmedlet ersätter ingen självständig sakkunnig prövning.
Börja med ett spårbart genomförande.
Välj en tjänst vars ansvariga och beroenden är kända. Dokumentera ett konkret säkerhetsbeslut med anledning, avsett genomförande och lämplig granskningsväg. Klargör sedan med medverkande om beskrivningen motsvarar det faktiska arbetet. Först därefter kan arbetssättet meningsfullt överföras till fler tjänster.
Vanliga frågor.
Nej. ISO 27002 är en genomförandevägledning. För certifierade underlag om ledningssystemet för informationssäkerhet är ISO 27001 den relevanta kravstandarden.
Nej. Det konkreta genomförandet beror på den aktuella miljöns sammanhang och risker. En gemensam referens innebär ingen identisk driftsmodell för alla organisationer.
Nej. Attribut möjliggör olika vyer över åtgärder och hjälper till att ordna dem. De ersätter inget tillämplighetsbeslut eller genomförandeunderlag.
Nej. En begriplig riktlinje eller operativ rutin kan stödja flera åtgärder om respektive genomförande och ansvar förblir spårbara.
Arbeta med åtgärder på ett spårbart sätt.
Ordna risker, ansvar och underlag i Secani.
Denna sida beskriver genomförandevägledningen. De lagligen införskaffade standarderna och det konkreta tillämpningssammanhanget är avgörande.