Certificazione ISO/IEC 27001

Che cos’è

Lo standard ISO/IEC 27001 è l’unica norma internazionale soggetta a verifica e certificabile che definisce i requisiti per un SGSI (Sistema di Gestione della Sicurezza delle Informazioni) ed è progettata per garantire la selezione di controlli di sicurezza adeguati e proporzionati.
  
In questo modo è possibile proteggere le informazioni e dare fiducia agli stakeholder, in particolare ai propri clienti.
 
La famiglia delle norme ISO 27000, ad oggi pubblicate, si può raggruppare nelle seguenti aree tematiche:

  1. Terminologia
    • ISO/IEC 27000 – “Information technology — Security techniques — Information security management systems — Overview and vocabulary “
  2. Requisiti generali
    • ISO/IEC 27001 – “Information security management system – Requirements”.  È il documento normativo al quale un’organizzazione che intenda certificarsi deve far riferimento.
    • ISO/IEC 27006 – “Information technology — Security techniques — Requirements for bodies providing audit and certification of information security management systems “. È lo standard di riferimento per gli organismi di certificazione.

Punti chiave

  • la valutazione dei rischi coerentemente al contesto di riferimento;
  • il concetto di informazione (o risorsa informativa) con relativa valorizzazione;
  • gli aspetti economico-finanziari inerenti la Sicurezza delle Informazioni;
  • l’aspetto organizzativo (e non solo tecnologico) della Sicurezza delle Informazioni;
  • l’efficacia del SGSI e delle contromisure adottate per trattare i rischi.

Di fondamentale importanza è l’Annex A che contiene i 114 “controlli” (o contromisure) a cui, l’organizzazione che intende applicare la norma, deve attenersi.
 
Essi riguardano tra l’altro:

  • la politica e l’organizzazione per la sicurezza delle informazioni
  • la sicurezza delle risorse umane
  • la gestione degli asset
  • il controllo degli accessi logici
  • la crittografia
  • la sicurezza fisica e ambientale
  • la sicurezza delle attività operative
  • la sicurezza delle comunicazioni
  • la gestione della sicurezza applicativa
  • la relazione con i fornitori coinvolti nella gestione della sicurezza delle informazioni
  • il trattamento degli incidenti (relativi alla sicurezza delle informazioni)
  • la gestione della Business Continuity
  • il rispetto normativo

Vantaggi

  • Ottenere un vantaggio competitivo soddisfacendo i requisiti contrattuali dei propri clienti con particolare attenzione alla sicurezza delle loro informazioni
  • Eseguire in modo imparziale l’identificazione, la valutazione e la gestione dei rischi dell’organizzazione, formalizzando al tempo stesso i processi, le procedure e la documentazione relativi alla sicurezza delle informazioni
  • Dimostrare con imparzialità l’osservanza delle leggi e normative applicabili
  • Dimostrare l’impegno dei responsabili aziendali per garantire la sicurezza delle informazioni
  • Garantire il monitoraggio costantemente delle prestazioni aziendali e attivare le azioni di miglioramento necessarie.