ISO/IEC 27035: hændelseshåndtering og bevis

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ISO/IEC 27035 er den internationale standardserie for håndtering af informationssikkerhedshændelser. Den beskriver, hvordan en organisation forbereder sig, opdager og vurderer hændelser, reagerer på dem og lærer af dem. Standarden er ikke en forensisk standard, men den bestemmer, hvornår og hvordan bevis bliver indsamlet i en SOC, der arbejder efter ISO 27001. Det gør den relevant, når en hændelse senere bliver til en tvist.

Artiklen er til SOC’er og sikkerhedsansvarlige, der vil have bevishensynet ind i en proces, der allerede følger 27035. Det amerikanske modstykke er gennemgået i NIST SP 800-61 og bevis.

Seriens dele

På tidspunktet for gennemgangen (oktober 2026) består serien af fire dele:

27035-1:2023 · Principper og proces: begreber og den samlede model
27035-2:2023 · Vejledning i at planlægge og forberede hændelseshåndtering
27035-3:2020 · Vejledning i den operationelle reaktion på IKT-hændelser
27035-4:2024 · Koordinering mellem flere organisationer

Del 1 er grundlaget, og de øvrige dele udfolder bestemte faser. Del 4 er ny og handler om hændelser, der berører flere parter, fx en kunde, en driftsleverandør og en cloudleverandør. Det er netop den type hændelser, der ofte ender i en tvist om ansvar.

De fem faser

Del 1 opdeler hændelseshåndtering i fem faser:

Planlæg og forbered: politik, plan, team, værktøjer og aftaler.
Opdag og rapportér: hændelser og svagheder opdages og meldes.
Vurdér og beslut: er det en sikkerhedshændelse, og hvor alvorlig er den?
Reagér: inddæmning, udbedring, genopretning og indsamling af bevis.
Lær: evaluering og forbedring af kontroller og proces.

Standarden skelner mellem en hændelse i bred forstand (event), en sikkerhedshændelse (incident) og en svaghed (vulnerability). Den skelnen har betydning for beviset: hvis vurderingen i fase 3 konkluderer, at der ikke var tale om en sikkerhedshændelse, bliver der sjældent sikret noget. Viser det sig senere at være forkert, er de flygtige data væk.

Hvor beviset hører hjemme

I 27035 er indsamling af bevis en del af reaktionsfasen, men beslutningerne, der afgør bevisets kvalitet, træffes i forberedelsesfasen. Det gælder fx:

hvilke logs der findes, og hvor længe de gemmes
om urene på systemerne er synkroniseret
hvem der må beslutte at sikre, og hvem der udfører det
hvilke værktøjer og lagermedier der står klar
hvordan handlinger under reaktionen registreres

Selve håndteringen af digitalt bevis beskrives ikke i detaljer i 27035. Den hører hjemme i ISO/IEC 27037 og de beslægtede standarder om analyse og undersøgelsesproces, som er udviklet i samme standardiseringsudvalg. Et typisk eksempel på grænsefladen er en kompromitteret server: 27035 siger, at reaktionen skal omfatte indsamling af bevis, mens 27037 beskriver, hvordan kopien tages, verificeres og dokumenteres. I praksis betyder det, at en SOC, der følger 27035, også skal have en procedure, der lever op til 27037. Se ISO/IEC 27037 og NIST SP 800-86.

Sammenhængen med ISO 27001 er direkte. Kontrollerne i bilag A om hændelseshåndtering i 2022-udgaven dækker planlægning, vurdering, reaktion, læring og som en selvstændig kontrol indsamling af bevis. En organisation, der er certificeret, har altså forpligtet sig til at have en metode for bevisindsamling. Spørgsmålet i en tvist er, om metoden blev fulgt.

Teamet og rollerne

Del 1 og 2 beskriver et team for hændelseshåndtering og et team, der udfører reaktionen. I mindre organisationer er det de samme personer, og ofte er en ekstern leverandør involveret. For beviset er det afgørende, at det er klart:

hvem der har mandat til at beslutte, at noget skal sikres, også når det forsinker genopretningen
hvem der udfører sikringen, og om personen har kompetencen
hvordan en ekstern IR-leverandørs arbejde dokumenteres, så det kan bruges bagefter

Det sidste punkt er ofte det svage. IR-leverandøren arbejder for at stoppe angrebet, og dokumentationen er skrevet til det formål. Hvordan en uvildig sikring kan køre ved siden af, er beskrevet i samarbejde med IR-leverandøren.

Fra standard til playbook

En SOC, der vil omsætte 27035 til noget, der også holder i en civil sag, kan bygge bevistrin ind i hver fase:

Forbered: en liste over logkilder med opbevaringstid, en plan for central opsamling og en skabelon til en handlingslog.
Opdag: tidspunkt og kilde for den første alarm registreres, inden nogen griber ind.
Vurdér: beslutningen og begrundelsen skrives ned, også når konklusionen er, at det ikke er en hændelse.
Reagér: sikring af flygtige data før inddæmning, hvor det er muligt, og registrering af hvert indgreb med tidspunkt og udførende.
Lær: evalueringen gennemgår også, om beviset var tilstrækkeligt, og hvad der manglede.

Registreringen af indgreb er beskrevet i indgrebsloggen under incident response, og konkrete trin til playbooks findes i bevissikringstrin i IR-playbooks.

Hændelser på tværs af organisationer

Del 4 fra 2024 er værd at kende, fordi den beskriver koordinering, når flere organisationer håndterer den samme hændelse. Det kan være en driftsleverandør og flere kunder, eller en fælles platform med mange brugere. Koordinering kræver, at parterne deler oplysninger, og det rejser spørgsmål om, hvad der deles, hvem der sikrer hvad, og hvordan uoverensstemmelser dokumenteres.

Set fra et bevisperspektiv er det nyttigt at aftale på forhånd, hvem der sikrer hvilke logs, og at hver part opbevarer sin egen kopi med hashværdi. Når samme hændelse senere bliver til en tvist mellem parterne, er det en fordel, at begge sider har sikret uafhængigt. Den forretningsmæssige side af en hændelse med varsling er beskrevet på bevissikring-digitalt.dk om NIS2-hændelser.

Typiske afvigelser

Ved gennemgang af en hændelse i en tvist ses ofte de samme afvigelser fra 27035:

Vurderingen er ikke dokumenteret. Der står, at hændelsen blev lukket, men ikke hvorfor.
Genopretningen gik forud uden beslutning. Systemer er geninstalleret, før nogen besluttede, om der skulle sikres.
Læringen er ikke gennemført. Den samme mangel i logningen har været kendt fra tidligere hændelser.
Ingen registrering af eksterne indgreb. Leverandører har arbejdet i miljøet uden en samlet log.

Afvigelser er ikke i sig selv bevis for, at noget gik galt i den konkrete hændelse. Men de svækker dokumentationen, og de bør nævnes i en rapport.

Hvad standarden kan og ikke kan

27035 kan vise, at en organisation har en anerkendt proces for hændelser, og den giver et fælles sprog for at beskrive, hvad der skete hvornår. Den kan ikke vise, at det tekniske arbejde blev udført korrekt, eller at beviset er fuldstændigt. Til det skal den konkrete sikring dokumenteres efter 27037 og vurderes på sine egne præmisser.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: NIST SP 800-101 om mobilforensik · ISO/IEC 30121: forensic readiness som styringsramme

→ Second opinion på en IR- eller forensic-rapport · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik