Tietoturvariskien hallinta selitettynä – ISO 27001

Mitä on tietoturvariskien hallinta?

Ei ole yllättävää, että se tarkoittaa eri asioita eri ihmisille. Ennen kuin jaan ajatuksiani, kannattaa nopeasti palata riskienhallinnan perusteisiin ja rakentaa siitä eteenpäin.

ISO 31000:2018 on äskettäin päivitetty versio Kansainvälisen standardisoimisjärjestön (ISO) riskienhallintastandardista, joka määrittelee riskin "epävarmuuden vaikutukseksi tavoitteisiin".

Riskienhallinnassa on siis kyse päätöksenteosta ja toimenpiteistä epävarmoihin tuloksiin puuttumiseksi sekä sen hallitsemiseksi, miten riskit voivat vaikuttaa liiketoimintatavoitteiden saavuttamiseen.

Miksi riskienhallinta on tärkeää tietoturvassa?

Tietoturvariskien hallinta (ISRM) on prosessi, jossa tunnistetaan, arvioidaan ja käsitellään organisaation arvokkaaseen tietoon liittyviä riskejä. Se korjaa näihin omaisuuseriin liittyviä epävarmuustekijöitä varmistaakseen, että halutut liiketoimintatulokset saavutetaan.

On olemassa erilaisia ​​tapoja hallita riskejä, ja käsittelemme joitakin niistä myöhemmin artikkelissa. Yksi koko ei sovi kaikille ja kaikki riskit eivät ole huonoja… riskit luovat myös mahdollisuuksia, mutta useimmiten se on uhkapainotteista.

Miksi "yhteinen" riskienhallinta on tärkeää

Jos pyytäisin sinua lyömään vetoa (sijoittamaan) johonkin tapahtumaan, esim. Liverpool voittaa Manchester Unitedin jalkapallossa, harkitsisit todennäköisesti monia asioita. Mennyt historia, nykyinen muoto, loukkaantumiset, pelipaikka ja niin edelleen. Sinulla on myös oma ennakkoluulosi (esim. olla Liverpool-fani ja ikuinen optimisti) ja halu ottaa riskejä (esim. kuinka paljon voit panostaa palkastasi). Minun näkemykseni tarvittavasta investoinnista ja odotetuista tuloksista voi olla hyvin erilainen kuin sinun, vaikka voisimme molemmat tarkastella samoja tietoja.

Haaste ei ole organisaatioissa kovin erilainen, mutta yleensä sitä mutkistaa se, että työhankkeisiin osallistuu paljon enemmän ihmisiä , joilla jokaisella on oma historiansa, ennakkoluulonsa, riskinottohalukkuutensa jne. Itse asiassa monilla ihmisillä on oma kokemus riskienhallinnasta, ja he ovat epäsuorasti ottaneet käyttöön omat menetelmänsä ja luultavasti myös luoneet omat työkalunsa. Käsi ylös, jos olet joskus luonut riskirekisterin osana työprojektia; teitkö sen asiakirjassa tai laskentataulukossa ja lisäsitkö oman prosessisi arviointiin ja toimiin? Me olemme olleet siellä!

Se on hyvä alku laskelmoidulle riskinhallinnalle. Mitä tulee säädösten, kuten GDPR:n ja standardien, kuten ISO 27001, täyttämiseen tietoturvallisuuden hallinnassa, on kuvattava ja esitettävä erityisiä asioita. Nämä sisältävät:

• Riskienhallintatoimenpiteiden yhdenmukaistaminen liiketoiminnan tavoitteiden kanssa
• Johdonmukainen ja toistettava menetelmä, jolla voit näyttää työsi ja varmistaa, että sitä voidaan soveltaa standardeja ja määräyksiä (josta kerromme lisää lähiaikoina)

Näin toimimalla voit pyörittää liiketoimintaasi paremmin. Se auttaa käsittelemään epävarmuustekijöitä, koska olet paremmin perillä tarvittavista toimista. Hyvin tehtynä se toimii myös vakuutusmekanismina siltä varalta, että jokin menee pahasti pieleen ja henkilötietoihisi kohdistuu tietoturvaloukkaus. Tietosuojavaltuutettu (Yhdistyneen kuningaskunnan valvontaviranomaisena GDPR-sakkojen soveltamisessa) ottaisi kyseisen tietoturvariskienhallintaprosessin huomioon harkitessaan rangaistuksia tai täytäntöönpanotoimia.

Joten riskienhallinta ei ole ainoastaan ​​tärkeää, vaan myös kokonaisvaltainen riskienhallinta, jossa liiketoimintatavoitteet otetaan huomioon kaikissa investoinneissa tai toimissa, on ratkaisevan tärkeää. Ja tämä pätee kaikentyyppisiin riskeihin, olipa kyseessä sitten laatu-, ympäristö-, terveys- tai kyber- ja tietoturvariskit.

Keskitytään siis kyberturvallisuuden ja tietoturvallisuuden jälkimmäisiin aiheisiin ja tarkastellaan sitten tarkemmin ISO 27001 -standardin ja Euroopan yleisen tietosuoja-asetuksen (GDPR) riskienhallintamenetelmiä ja -lähestymistapoja .

Eroavatko kyberturvallisuus ja tietoturva?

Kyllä. Kyber on uusi lisäys johtamisen sanastoon. Itse asiassa vasta hieman yli 30 vuotta sitten Morris-matoa pidettiin yhtenä varhaisimmista kyberuhista.

Huonon kyberturvallisuuden hype ja seuraukset kasvavat kuitenkin räjähdysmäisesti nyt, kun maailma on yhä digitaalisempi ja sähköisempi. Serious Organised Crime Group (OCG) etsii perinteistä rikollisuutta pidemmälle hyödyntääkseen näitä kyberhaavoittuvuuksia.

Myös henkilötietomurroista määrättyjen massiivisten sakkojen myötä GDPR on nostanut rimaa koko infrastruktuurin tiukentamisen syille.

Kyberturvallisuutta ja tietoturvaa pidetään yleisesti samana asiana, mutta ne eivät ole. Ilman syvällistä teoreettista tai akateemista keskustelua kyberturvallisuudessa on tyypillisemmin kyse sähköisesti säilytettävien tietojen suojaamisesta. Tämä tarkoittaa, että se on osa laajempaa tietoturvanäkökulmaa, jossa tarkastellaan tietojen suojaamista kaikista näkökulmista.

Tietoturva tarkoittaa myös fyysistä turvallisuutta (esim. ovien lukot) sekä ihmiskeskeistä turvallisuutta (esim. kun organisaation avainhenkilö lähtee – tai sairastuu – kaikki tieto hallussaan. Mitä toimenpiteitä tehdään, jotta kyseinen omaisuus pysyy suojattuna käytöltä, jos hän lähtee – tai että se on käytettävissä, jos hän on sairauslomalla).

ISO 27000 -standardissa tietoturva määritellään seuraavasti: ” Tiedon luottamuksellisuuden, eheyden ja saatavuuden säilyttäminen. ” Tämä sisältää epäsuorasti myös kyberturvallisuuden. Kansainväliset standardit, kuten ISO 27001 ja GDPR, edellyttävät myös, että otat tietoturvan huomioon kokonaisvaltaisemmassa mielessä.

Cyber ​​Essentials tarkastelee tarkemmin joitakin korkean riskin valvonta-alueita, jotka auttaisivat estämään kyberuhkiin liittyviä tappioita. Cyber ​​Essentials täydentää ISO 27001 -standardia ja GDPR:ää. Se on hyvä perusta pienille yrityksille, jotka ovat riippuvaisia ​​digitaalisista palveluista.

Kyberturvallisuuden oletetaan myös yleisesti liittyvän ulkoisten uhkien pääsyyn sisään, mutta kyberongelmia voi esiintyä myös sisäisesti. Kulunvalvonnan ja fyysisen suojauksen tulisi olla olemassa sekä sisäisten että ulkoisten uhkien hallintaa varten.

Jotkut ihmiset näkevät myös IT-turvallisuuden synonyyminä tietoturvan kanssa, mutta mielestäni se on epätodennäköistä, ilman että selvennetään alla olevaa suurempaa kuvaa ja IT:n strategisempaa, kokonaisvaltaisempaa roolia (tai mikä tahansa muu 2- tai 3-kirjaiminen lyhenne).

Yksi "vain" kyberturvallisuusriskien hallinnan ajattelemisen vaaroista on se, että se jää IT-osaajien vastuulle. Sama pätee fyysisen turvallisuuden jättämiseen kiinteistönhallintaosaston vastuulle tai muiden ihmisten asioiden (kuten yllä olevassa esimerkissä lähtöön tai sairastumiseen liittyen) jättämiseen yksinomaan henkilöstöhallinnon ( HR) vastuulle.

Älkää ymmärtäkö minua väärin, he ovat keskeisiä sidosryhmiä. Ilman liiketoimintalähtöistä ja yhtenäistä lähestymistapaa tietoturvariskien hallintaan on kuitenkin mahdollista, että käyttöön otetaan vääriä ratkaisuja. Se voi puolestaan ​​aiheuttaa lisää riskejä ja kustannuksia, varsinkin jos henkilöstö ja toimitusketju eivät omaksu käytäntöjä ja valvontaa tai jos niiden noudattaminen on heille liian hankalaa, ja jos edessä on useita ja joskus ristiriitaisia ​​esteitä.

Tärkeämpää on selventää (IT) tiimisi roolia ja laajuutta ja tehdä selväksi, kuinka integroitunut liiketoimintatavoitteisiin he ovat (tai eivät) ja miten he vaikuttavat päätöksentekoon.

Sama pätee muihinkin osastoihin oven yläpuolella olevasta kyltistä riippumatta. Sanomme usein, ettei kyse ole tietoturvasta, vaan turvallisesta liiketoiminnan harjoittamisesta; ja se tekee siitä kaikkien vastuulla. Tarvitset kuitenkin selkeää johtajuutta ja vastuuvelvollisuutta, jotta sinulla on mahdollisuus saavuttaa ISO 27001 -sertifiointi.

ISO 27001 on itse asiassa erinomainen auttamaan organisaatiota käyttämään jäsenneltyä lähestymistapaa, jossa työskennellään tarkoituksen, ongelmien, sidosryhmien , laajuuden, riskialttiiden tietojen jne. pohjalta. Tässä prosessissa tunnistetaan, ketkä tulisi ottaa mukaan. Huomautuksena – kyseessä on enemmän kuin vain IT-tiimi ja se kattaa muutakin kuin kyberturvallisuuden!

Riskienhallinnan metodologia

EU:n yleisen tietosuoja-asetuksen 32 artikla toteaa nimenomaisesti, että organisaation on tehtävä riskinarviointi luottamuksellisuuden, eheyden ja saatavuuden (CIA) avulla. Tämä sopii myös saumattomasti yhteen ISO 27001 -standardin kanssa, koska kyseistä CIA-lähestymistapaa odotetaan myös siellä. Siten voit käyttää yhtä lähestymistapaa tietoturvariskien hallintaan kaikille tietovaroillesi , ei vain henkilötiedoille.

• Luottamuksellisuus: tietoja ei anneta tai luovuteta luvattomille henkilöille, yhteisöille tai prosesseille

• Eheys: tietoresurssien tarkkuuden ja täydellisyyden turvaaminen

• Saatavuus: on valtuutetun tahon saatavilla ja käytettävissä pyynnöstä

Tietoturvallisuuden CIA on kaiken muun riskinarviointitoimintasi perusta ja auttaa sen jälkeen toteutettavien toimenpiteiden suunnittelussa. Tietoturvariskien hallinnan menetelmien kehittämisen aloittamisen yhteydessä yksi usein sivuutettu kysymys on ristiriidat ja prioriteetit CIA-pohjaisten riskien käsittelyssä.

Mitä esimerkiksi tapahtuu, jos tapahtuu tietomurto (luottamuksellisuus)? Poistatteko silloin palvelunne käytöstä vai pidättekö ne toiminnassa (saatavuusongelma)? Jos pyritte saamaan UKAS ISO 27001 -sertifioinnin, ulkoinen tilintarkastaja odottaa näkevänsä dokumentaatiossanne, miten käsittelette konflikteja ja prioriteettiriskejä. Tämä on yksityiskohta, joka vaatii harkintaa, mutta tiivistetään ensin kaikki keskeiset osa-alueet, jotka haluatte (lyhyesti mutta selkeästi) dokumentoida riskienhallinnan metodologiassanne.

Mitkä ovat riskinhallintaprosessin 5 vaihetta?

Oletetaan, että tavoitteenasi on ISO 27001 -sertifiointi ja samalla GDPR:n noudattaminen. Laadimme tietoturvariskimenetelmämme tämä mielessä pitäen.

1. Riskien tunnistaminen

Riskienhallintaprosessin ensimmäinen vaihe on riskin tunnistaminen. Riskin lähde voi olla tietovarasto , joka liittyy sisäiseen/ulkoiseen ongelmaan (esim. prosessiin tai liiketoimintasuunnitelmaan) tai intressiryhmään/sidosryhmään liittyvään riskiin.

2. Riskianalyysi

Kun tiedät riskit, sinun on harkittava todennäköisyyttä ja vaikutusta (LI), jotta voit erottaa (eli) alhaisen todennäköisyyden ja alhaisen vaikutuksen suuremmista.

3. Riskien arviointi

Riskianalyysin jälkeen voit priorisoida investointeja sinne, missä niitä eniten tarvitaan, ja suorittaa tarkasteluja LI-positionoinnin perusteella. Sinun on dokumentoitava, mitä kukin positio tarkoittaa, jotta kuka tahansa menetelmää noudattava voi soveltaa sitä. Käytämme 5 x 5 -ruudukkojärjestelmää helppokäyttöisessä tietoturvariskienhallintatyökalussamme ISMS.online-sivustolla . (Vinkki: Se sisältää myös riskipankin, joka sisältää suosittuja riskejä ja hoitoja, mikä säästää valtavasti aikaa).

Kriteerit sisältävät vaihteluvälin erittäin alhaisesta erittäin korkeaan todennäköisyydelle. Siinä on selitys siitä, mitä tämä tarkoittaa, esim. erittäin alhaisella tasolla ei ole esiintymishistoriaa ja se vaatisi erityistaitoja ja suuria investointeja esiintyäkseen. Vaikutuskriteerit vaihtelevat erittäin alhaisista merkityksettömillä seurauksilla ja kustannuksilla aina erittäin korkeaan, joka on lähes varma yrityksen kuolema. Saat kuvan. Se ei ole vaikeaa, vaatii vain selkeyttä ja dokumentointia; muuten minun 3×4 saattaa olla erilainen kuin sinun, ja päädymme takaisin siitä, mistä aloitimme sivun yläreunassa.

4. Riskihoito

Riskien käsittelyyn, joka tunnetaan myös nimellä "riskivastaussuunnittelu", on sisällytettävä riskinhoidon taustalla oleva näyttö.

Yksinkertaisesti sanottuna ' riskienhallinta ' voi olla sisäistä työtä riskin hallitsemiseksi ja sietämiseksi, tai se voi tarkoittaa toimia, joita teet riskin siirtämiseksi (esim. toimittajalle), tai se voi olla riskin täydellinen poistaminen.

ISO 27001 on tässä myös erinomainen, koska standardi antaa sinulle myös liitteessä A joukon valvontatavoitteita , joita voit ottaa huomioon kyseisessä käsittelyssä . Nämä tavoitteet muodostavat sovellettavuuslausuntosi selkärangan . Liitteen A valvonta antaa sinulle myös mahdollisuuden tarkastella "alhaalta ylöspäin" -periaatetta ja nähdä, laukaiseeko se riskejä, joita et ole ehkä aiemmin ajatellut.

5. Tarkkaile ja arvioi riskiä

Riskienhallintaprosessin seuranta- ja tarkistusvaiheen ensimmäinen osa on kuvailla seuranta- ja arviointiprosessit. Tämä voidaan jakaa seuraaviin alueisiin:

– Henkilöstön sitoutuminen ja tietoisuus

Ota asianmukainen henkilökunta mukaan prosessiin säännöllisesti ja järjestä foorumi palautteen antamista ja vastaanottamista varten.

Sinulla on oltava omistaja jokaiselle riskille, jotta voit siirtää sen etulinjalle (ensimmäiselle) laajasti tunnustetun "3 puolustuslinjan" mallin mukaisesti.

- Johdon arvostelut

Riskiarvioinnit ovat vakiona 9.3:n asialistalla, ja saatat päättää omistaa riskinomistajat tällä tasolla ja delegoida operatiivisen työn riville 1, mutta säilyttää omistajuus.

Johdon arviointien on oltava vähintään kerran vuodessa (suosittelemme paljon säännöllisempiä), mutta ne eivät välttämättä ole riittävän pitkiä, jotta niihin voitaisiin perehtyä syvällisesti jokaiseen riskiin ja kattaa kaikki muutkin asialistalla olevat asiat. Siksi suosittelemme myös prosessia, jossa riskin omistajalle annetaan tehtäväksi tarkastella arviointia sen ruudukkosijoituksen perusteella, esimerkiksi kuukausittainen arviointi erittäin todennäköisen ja erittäin suuren vaikutuksen riskin osalta, kun taas vuosittainen arviointi on riittävä erittäin epätodennäköisen ja erittäin vähäisen vaikutuksen riskin osalta. Sitten osoitat tilintarkastajalle, että kyseiset riskiarvioinnit ovat pragmaattisia ja perustuvat vaikutukseen ja todennäköisyyteen, mistä he pitävät.

- parannus

Sisäiset tarkastukset ja muiden 10 kohdassa mainittujen parannusmekanismien käyttö voidaan myös hyvin yhdistää strategisempaan riskienarviointiprosessiin.

ISO 27001:2013/17:n riskienhallintavaatimukset

Riskienhallintaa on käsitelty kahdessa päävaatimuksessa: 6 § Suunnittelu ja 8 § Toiminta.

Lauseke 8 koskee yksinkertaisesti kohdassa 6.1 kuvailemasi toteuttamista ja käyttämistä, joten keskitytään 6.1:een tietäen, että sinun on elettävä ja hengitettävä sitä käytännössä (8), jotta sinulla on mahdollisuus johtaa liiketoimintaa hyvin ja saada sertifikaatti.

Lauseke 6.1: Toimet riskien ja mahdollisuuksien käsittelemiseksi

Muistetaan myös, että tämän prosessin on johdettava liiketoimintatavoitteisiin (eli luotava konteksti yllä), joten sinun on osoitettava, että tietoturvan hallintajärjestelmä voi:

• saavuttaa aiotut tulokset
• estää tai vähentää ei-toivottuja vaikutuksia
• saavuttaa jatkuva parantaminen

Jos käytät ylhäältä alas -lähestymistapaa, olet aiemmin ISO-vaatimuksissa ottanut huomioon organisaatiosi kontekstin ja tarkoituksen sekä siihen liittyvät haasteet (4.1), sidosryhmät (4.2), laajuuden (4.3), tietovarannot jne., kuten alla olevassa kuvassa näkyy (tämä on ote ISO 27001 Virtual Coach -ohjelmastamme ISMS.online- sivustolla . Tämä on loogisin lähestymistapa.)

Organisaation on suunniteltava, miten riskien uhkiin ja mahdollisuuksiin puututaan. ISO 27001 on myös erittäin kiinnostunut:

1. Miten riskit integroituvat laajempaan tietoturvan hallintajärjestelmä
2. Miten toimiin ryhdytään, ja arvioida matkalla tehtyjen toimien tehokkuutta

Kuten yllä olevassa esimerkissä riskien priorisoinnista ja konflikteista, on myös hieman yksityiskohtia. 6.1 sisältää myös tarpeen dokumentoida riskien hyväksymiskriteerit riskinarviointien suorittamista varten ja se, kuinka ne kaikki tuottavat johdonmukaisia, päteviä ja vertailukelpoisia tuloksia CIA:n tietoresursseista.

Ulkopuolinen tarkastaja odottaa näkevänsä metodologian, joka selittää kaikki nämä asiat hyvin, ja lisää luottamusta nähdäkseen, kuinka helposti ISMS toimii yhdessä. On hienoa, kun tietoresurssit liittyvät hienosti riskeihin ja ne puolestaan ​​liittyvät niihin käytäntöihin ja valvontaan, joita käytetään niiden käsittelemiseen!

Jos pidät tämän alueen tutkimisesta (ja sinulla on paljon aikaa ja rahaa), voit myös ostaa standardeja ISO 27005- ja ISO 31000 -standardeille, jotta voit todella syventyä näihin aiheisiin……ja sitten…….

Mitä tahansa teetkin, varmista, että se on käytännöllistä ja toimivaa liiketoimintatavoitteidesi mukaisesti.

Älä ylikuormita sitä hoitavia resursseja (varsinkin jos heillä on toinen päivätyö), koska se ei valmistu ja joudut vaikeuksiin.

Ei ole hyvä keksiä erittäin hienostunut Monte Carlo -simulaatiomenetelmä ja monimutkaiset algoritmit riskien laskemiseen ja kokopäiväiseen rooliin, jos et tarvitse sitä. Samoin pelkkä riskien pudottaminen dokumenttiin ilman analyysi-, toiminta- ja seurantamenetelmää ei todennäköisesti tyydytä liiketoimintasi päätöksentekotarpeitasi, eikä sitä voida pestä ulkopuolisen tarkastajan kanssa sertifioinnin aikana.

Kun herätät tämän eloon, selität menetelmän yksinkertaisella tekstillä ja kuvilla. Sitten tarvitset myös työkalun, jotta voit hallita tietoturvariskiä toiminnallisesti.

Pitäisikö sinun rakentaa oma tietoturvariskinhallintatyökalu?

Jokainen laskentataulukoiden käyttöön perehtynyt voi luoda oman riskirekisterinsä ja se on suosittu valinta erityisesti organisaatioille, jotka ovat uusia ISO 27001 -standardin käyttöön tai joilla ei ole varaa (tai ei todellakaan tarvitse) joitain raskaan sarjan itsenäisiä riskityökaluja. markkinoida.

Haasteita molemmilla lähestymistavoilla

Laskentataulukot ja asiakirjat sisältävät:

• Koetaan ilmaisena ja vaikka työkalun rakentamiseen kuluu aika nopeasti, sen hallinta ajan myötä on yhä kivuliaampaa ISMS:n kypsyessä.
• Linkittäminen käytössä oleviin tietovaroihin ja ohjaimiin/käytäntöihin on kömpelöä, parhaimmillaan viittaa muihin järjestelmiin, pahimmillaan ei todista ollenkaan
• Riskin ympärillä tehdyn työn dokumentointi ja sen liikkuminen ajan mittaan ei ole helppoa nähdäksesi sijoitusten toimivuuden (etenkään yhdessä Excel-kentässä)
• Tehtävien ja arvostelujen/muistutusten asettaminen ei ole mahdollista, joten se tarkoittaa toista työtä, joka ajoitetaan jonnekin muualle
• Versionhallinta on kovaa työtä, eikä aikaisempaa historiaa ole helppo nähdä nopeasti. Se on painajainen, jos eri sidosryhmillä on myös paikallisesti useita versioita
• Menee monimutkaiseksi ja siihen liittyy paljon riskejä, eikä visualisointia ole aina helppo saada kohinan signaaliin
• Hyvä henkilölle, joka rakensi sen, mutta ei aina helppo muiden rakentaa tai käyttää

Asiantuntevia riskinhallintaratkaisuja, jotka ovat itsenäisiä:

• Voi olla kallista hankkia ja vaatii paljon mukauttamista tai konsultointia ennen käyttöä
• Voi kestää paljon koulutusta – pedon ruokkiminen ja joskus riskienhallinnan pisteen puuttuminen kiireisille ammattilaisille, jotka eivät ole kokopäiväisiä riskinhallintajohtajia
• Älä aina yhdistä laajempaan ISMS:ään, mikä tarkoittaa useiden järjestelmien uudelleenkäsittelyä tai käyttöä – pahimmassa tapauksessa itsenäinen työkalu on ristiriidassa muiden ostamiesi järjestelmien kanssa – ei välttämättä ostohetkellä, vaan sovellusten tarjoajien lisääessä tai muuttaessa ominaisuudet

Nämä ajatukset perustuvat omiin kokemuksiimme ja asiakkaisiimme, joiden kanssa työskentelimme ISMS.onlinen rakentamisen alkuaikoina kokonaisvaltaiseksi tietoturvan hallintajärjestelmäksi. Käsittelemme myös tietoturvan hallintajärjestelmän 10 ominaisuutta osana liiketoimintasuunnitelmaamme, joten jos haluat oppia lisää työkaluun sijoittamisesta, lataa se täältä.

Jos tietoturvaohjelmistojen kehittäminen ei ole ydinosaamistasi ja olet tosissasi tietoturvariskien hallinnasta ilman, että sen saavuttamiseksi tarvitset paljon rahaa, varaa ISMS.online -demo nyt. Se on loistava valinta, jos haluat jotain yhdestä paikasta heti käyttöön otettavaa, käyttöönottovalmista ja nopeaa ISO 27001 -standardin sekä GDPR-riskienhallinnan vaatimustenmukaisuuden saavuttamista.