Kvittens på policyer enligt ISO 27001 A.5.1
Enligt säkerhetsåtgärd 5.1 i ISO/IEC 27001:2022 ska policyerna kommuniceras till och bekräftas av berörd personal. Med Complyo blir varje bekräftelse en kvittens som visar vem, vilken version och när.
Vad säkerhetsåtgärd 5.1 säger om personalen
Säkerhetsåtgärd 5.1 i bilaga A gäller policyer för informationssäkerhet. I den engelska texten står att policyerna ska vara ”acknowledged by relevant personnel”, alltså bekräftade av berörd personal.
Bekräftelser samlas ofta in med underskrift på papper eller svar på e‑post. Det fungerar tills policyn ändras och ni behöver veta vem som har bekräftat vilken version.
Kvittens per person och version
Så svarar kvittenserna på revisorns frågor.
| Fråga vid revisionen | Underlag i Complyo |
|---|---|
| Har policyn kommunicerats till berörd personal? | Policyn har riktats till en grupp i Microsoft Entra ID, och gruppen har fått läsuppgifter och påminnelser via e‑post och, om det är påslaget, Microsoft Teams och SharePoint. |
| Har personalen bekräftat policyn? | Varje kvittens sparas i Complyo och kan inte ändras där. Med kunskapstest måste medarbetaren klara godkäntgränsen först. |
| Gäller bekräftelsen den nuvarande versionen? | Kvittensen hör till en version. En ny huvudversion startar en ny kvittensomgång för hela gruppen. |
| Vem har kvitterat och när? | Kvittensen visar vem som har kvitterat, vilken version och när. Den kan laddas ner som intyg i pdf eller exporteras till CSV. |
Inför revisionen
Exportera kvittenserna för den gällande versionen till CSV, eller ladda ner intyg i pdf. Där står vem i målgruppen som har kvitterat och när. Översikten visar vilka som saknas, och de påminns tills de har kvitterat.
Det Complyo inte täcker
Complyo hjälper till med en del av säkerhetsåtgärd 5.1: att berörd personal bekräftar policyerna. Resten av ledningssystemet för informationssäkerhet, till exempel riskbedömning och internrevision, sköter ni på annat sätt.