ISO 27004: så mäter du om din informationssäkerhet fungerar

Du har policyer, rutiner och en riskanalys på plats. Men hur vet du att de faktiskt skyddar din organisation? ISO 27004 är standarden som hjälper dig att svara på just den frågan. Här får du veta vad standarden innehåller, vilka mått som fungerar i praktiken och hur du kommer igång.

Många som bygger ett ledningssystem för informationssäkerhet enligt ISO 27001 lägger mest kraft på att få ordning på dokument och åtgärder. Uppföljningen kommer ofta sist. Det är synd, eftersom det är mätningen som visar om arbetet ger effekt eller bara ser bra ut på papperet.

Vad är ISO 27004?

ISO/IEC 27004 är en vägledande standard för hur du övervakar, mäter, analyserar och utvärderar informationssäkerheten i din organisation. Den fullständiga titeln är Information security management – Monitoring, measurement, analysis and evaluation. Den gällande utgåvan heter ISO/IEC 27004:2016 och ersatte den första utgåvan från 2009.

Standarden finns för att hjälpa dig uppfylla kapitel 9.1 i ISO 27001. Där står att du ska bestämma vad som ska övervakas och mätas, med vilka metoder, när det ska ske, vem som ska göra det och när resultaten ska analyseras. ISO 27001 säger alltså att du ska mäta. ISO 27004 förklarar hur.

Två saker är bra att känna till:

• Du kan inte certifiera dig mot ISO 27004. Det är en vägledning, inte en kravstandard. Certifieringen sker mot ISO 27001, och revisorn granskar då hur du har löst kraven i 9.1.
• En ny utgåva är på väg. 2016-utgåvan hänvisar till ISO 27001:2013. En tredje utgåva tas fram för att anpassa standarden till 2022-utgåvorna av ISO 27001, 27002 och 27005, skriva om språket enklare och lägga till fler exempel för organisationer av olika storlek. Utkastet nådde DIS-stadiet (Draft International Standard) i april 2026 och beräknas vara klart före 2028. Metoden i 2016-utgåvan fungerar därför fortfarande bra att utgå från.

Varför du behöver mäta informationssäkerhet

Det du inte mäter upptäcker du sent, och sena upptäckter är dyra. IBM:s rapport Cost of a Data Breach 2026 bygger på intrång hos 602 organisationer mellan mars 2025 och februari 2026 och visar tydligt vad tid kostar:

Skillnaden mellan snabb och långsam hantering är alltså över 1,3 miljoner dollar per intrång. Tid till upptäckt är just den sortens mått som ISO 27004 hjälper dig att definiera, följa och förbättra.

Det finns också ett regelverksargument. Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026 och genomför NIS2-direktivet i svensk rätt. Lagen kräver ett riskbaserat säkerhetsarbete, och den 1 oktober 2026 började MCF:s föreskrifter som konkretiserar det arbetet att gälla. Omfattas din organisation behöver du kunna visa för tillsynsmyndigheten att åtgärderna fungerar, inte bara att de finns. Där är mätetal ett av de tydligaste bevisen du kan ta fram.

Hur ISO 27004 är uppbyggd

Standarden är ganska kort och praktiskt inriktad. Kärnan finns i fem kapitel och tre bilagor:

Prestandamått och effektmått

Den viktigaste distinktionen i standarden är skillnaden mellan två typer av mått:

• Prestandamått visar om du gör det du har planerat. Exempel: hur stor andel av medarbetarna som har genomgått säkerhetsutbildningen.
• Effektmått visar om det du gör ger önskad effekt på dina säkerhetsmål. Exempel: om andelen som klickar på länkar i nätfiskeövningar faktiskt minskar efter utbildningen.

Många organisationer stannar vid prestandamått, eftersom de är enkla att räkna fram. Men 100 procent genomförd utbildning säger inget om ifall beteendet har ändrats. Det är effektmåtten som svarar på ledningens egentliga fråga: blir vi säkrare?

Informationsbehov styr allt

Standarden utgår från informationsbehov, inte från data du råkar ha. Du börjar med frågan ”vad behöver ledningen veta för att fatta bra beslut?” och tar fram mått som svarar på den. Varje mått beskrivs sedan i en mall med bland annat syfte, formel, målvärde, datakälla, mätfrekvens, ansvarig och hur resultatet ska rapporteras.

Exempel på mått för informationssäkerhet

Här är mått som många organisationer har nytta av. Se dem som inspiration, inte som en lista du måste bocka av. Exemplen i bilaga B till ISO 27004 håller också varierande kvalitet, så välj bara de mått som svarar på dina egna informationsbehov.

Ett tips är att börja med få mått. Fem till tio välvalda mått som faktiskt används i ledningens genomgång ger mer än trettio som ingen tittar på.

Så kommer du igång med ISO 27004

Processen i kapitel 8 kan förenklas till sju steg. Ett klokt tillvägagångssätt är att göra en första, enkel version och sedan förbättra den efter varje ledningens genomgång.

1. Kartlägg informationsbehoven. Utgå från dina säkerhetsmål, din riskanalys och vad ledningen behöver för att fatta beslut.
2. Välj mått. Ta fram ett eller ett par mått per informationsbehov. Se till att du har både prestandamått och effektmått.
3. Beskriv varje mått. Skriv ned formel, målvärde, datakälla, frekvens och ansvarig. ISO 27001 kräver att metoderna ger jämförbara och reproducerbara resultat, och det klarar du bara om måtten är tydligt definierade.
4. Samla in data. Automatisera där det går, till exempel från ditt ärendesystem, sårbarhetsskanning eller ditt utbildningsverktyg.
5. Analysera resultaten. Titta på trender över tid, inte bara enskilda värden.
6. Utvärdera och rapportera. Presentera resultaten i ledningens genomgång och koppla dem till beslut om åtgärder.
7. Se över måtten. Ta bort mått som inte leder till beslut och lägg till nya när verksamheten eller hotbilden förändras.

Glöm inte att informera dina kollegor om varför organisationen mäter. Mått som upplevs som kontroll av enskilda personer ger sämre data och sämre stämning.

Vanliga misstag när du mäter informationssäkerhet

• Att mäta det som är lätt i stället för det som är viktigt. Antal blockerade skräppostmejl ser imponerande ut men säger lite om hur säker du är.
• Bara prestandamått. Du vet att aktiviteterna genomförs men inte om de fungerar.
• Inga målvärden. Ett mått utan målvärde går inte att utvärdera, och då leder det inte heller till några beslut.
• För många mått. Ledningen orkar inte ta till sig dem, och den som samlar in data tröttnar.
• Mätning utan uppföljning. Revisorn vill se att resultaten analyseras och leder till förbättringar, inte bara att siffrorna finns i ett kalkylark.
• Att kopiera exemplen i standarden rakt av. Bilaga B är en idébank, inte en checklista.

Vanliga frågor om ISO 27004

Från dokument till bevis

ISO 27004 hjälper dig att gå från att tro att informationssäkerheten fungerar till att kunna visa det. Med rätt mått får ledningen ett bättre beslutsunderlag, revisorn ser att kapitel 9.1 är uppfyllt och du upptäcker brister innan de blir incidenter.

Vill du veta mer om grunden som mätningen bygger på? Läs vår genomgång av vad ISO 27001 är och varför standarden finns.

Behöver du hjälp att ta fram mått som fungerar i din organisation, eller att bygga hela ledningssystemet? Secify hjälper dig hela vägen från förstudie till certifiering. Läs mer om vår hjälp med ISO 27001.