Hvordan Paymenttools oppnådde ISO 27001-sertifiseringssuksess og enhetlig samsvarsstyring

Paymenttools er teknologer og betalingseksperter med dyp bakgrunn innen detaljhandel. Virksomhetens oppgave er å designe betalinger som gjør livet enklere for alle involverte, fra kassepersonale til sluttkunder, og å forbedre handleopplevelsen på lang sikt.

Med Paymenttools sine røtter i handel, forstår teamet at betalingstransaksjoner ikke er en ettertanke, men et strategisk verktøy for moderne forretningsmodeller. De har en helhetlig tilnærming, og vurderer alt fra betalingsprosesser og lojalitetsprogrammer til vår visjon om et uavhengig europeisk betalingssystem.

De drives av et felles mål: å fremtidssikre betalinger med løsninger som fungerer pålitelig i dag og skaper reell uavhengighet i morgen.

Med begrensede ressurser for sikkerhet og risikostyring trengte Paymenttools-teamet en effektiv og pragmatisk løsning som kunne drives av et lite, fokusert team for å oppnå ISO 27001-sertifisering.

Som et skybasert selskap med stort fokus på ingeniørfag, var mange tradisjonelle, byråkratiske sikkerhetskontroller ikke gjeldende for virksomheten, så det å enkelt kunne identifisere og implementere relevante kontroller var en kjerneprioritet.

Jan og teamet brukte verktøy som Google Workspace for å definere retningslinjer og håndtere risiko, men innså at dette ikke var en effektiv tilnærming. De trengte en dedikert plattform for å administrere og vedlikeholde informasjonssikkerhetsstyringssystemet sitt (ISMS), i stedet for ulike verktøy og dokumentasjon.

De trengte også ekspertstøtte og veiledning for å jobbe seg gjennom ISO 27001-samsvars- og sertifiseringsprosessen. Teamet trengte noen som kunne innrette seg etter deres kjernefilosofi om sikkerhet som «co-pilot»: noen som kunne fungere som en partner, ikke en blokkering, som muliggjorde suksess og fant sikre veier til «ja».

Paymenttools benyttet seg av SGGs ekspertise til å implementere et ISO 27001-kompatibelt ISMS og gjennomføre revisjoner før sertifisering, både før trinn 1 og før trinn 2.

Virksomheten utnyttet også IO-plattformen, ved å bruke plattformens forhåndsbygde ISO 27001-maler og arbeidsflyter for å sikre rask implementering og tilpasning.

Ved å bruke IO-plattformen kunne Paymenttools effektivisere samsvar med ISO 27001 og effektivt implementere og administrere tilhørende kontroller og prosesser. Chris Gill, leder for cybersikkerhet, GRC og revisjon hos SGG, sa: «De forhåndsbygde malene og arbeidsflytene som var tilpasset ISO 27001, sparte virksomheten betydelig tid og reduserte kompleksiteten.»

Med støtte fra SGG utnyttet Paymenttools den intuitive og brukervennlige IO-plattformen og IO 11-trinns Assured Results Method (ARM) for å jobbe strategisk gjennom sertifiseringskrav.

Plattformens forhåndsbygde elementer ga et grunnlag som Paymenttools kunne bygge og utvikle et skreddersydd, svært tilpasset ISMS på. Kjerneområder virksomheten brukte inkluderte risikoregister, aktivabeholdning, kart over interessenter, sikkerhetsstyring og korrigerende tiltak og forbedringer.

Samarbeid var også et viktig element i partnerskapet. For å sikre fortsatt suksess, samarbeidet SGG og Paymenttools konsekvent om virksomhetens samsvarsarbeid, og sørget for at ISO 27001-samsvaret gikk som forventet.

Paymenttools oppnådde ISO 27001-sertifisering på ni måneder.

Jan anslår at bedriften sparte rundt 100 arbeidsdager i det første oppsettet ved å samarbeide med IO og SGG, sammenlignet med en manuell tilnærming, i tillegg til tiden som ble spart på løpende vedlikeholdsarbeid.

For Paymenttools var de mest verdifulle elementene i IO-plattformen den moderne policydokumentasjonen og aktivabeholdningen som følger med i ISO 27001-prosjektstrukturen: «Det viktigste elementet i IO-plattformen var de forhåndsdefinerte policyene, spesielt fordi de er optimalisert for et moderne selskap som vårt.»

Paymenttools-teamet dro også nytte av plattformens sentraliserte tilnærming til informasjonssikkerhet på tvers av risikostyring, kapitalforvaltning, korrigerende tiltak og hendelsesrespons. Dette gjorde det mulig for virksomheten å konsolidere compliance-arbeidsmengden og utsette bruken av spesialiserte verktøy til de var absolutt nødvendige.

SGGs strategiske råd og ekspertveiledning var avgjørende for Paymenttools' ISO 27001-oppnåelse, og styrte virksomhetens sikkerhetsstyring i riktig retning for å sikre suksess med sertifiseringen.

Selv om virksomheten oppnådde ISO 27001-sertifisering, er kontinuerlig forbedring et krav for kontinuerlig samsvar.

Derfor fokuserer Paymenttools og SGG fortsatt på å modne virksomhetens ISMS og utbedre eventuelle funn.

Siden de oppnådde ISO 27001-sertifiseringen, har Jan og teamet utvidet omfanget av samsvarsprosessen til å omfatte PCI DSS og den tyske KRITIS-forskriften, alt innenfor IO-plattformen. Paymenttools begynner nå å utnytte IO-plattformen som et generelt policy- og risikostyringsverktøy for organisasjonen, og utvider bruken utover bare sikkerhet.

Teamet integrerer for tiden NIS 2 for å sikre samsvar med forskriften, NIST Cybersecurity Framework (CSF) for å måle modenhet, og CoBit som et generelt kontrollrammeverk.