ISO 27001:2017
Lo scenario
Negli ultimi anni le imprese hanno progressivamente preso coscienza della crescente importanza che il bene “informazione” sta assumendo non solo in ambito economico, sociale e politico, ma anche in ottica di compliance al Regolamento Europeo GDPR 679/2016.
La UNI CEI ISO/IEC 27001:2017 (Tecnologia delle informazioni – Tecniche di sicurezza – Sistemi di gestione della sicurezza delle informazioni – Requisiti) fornisce le linee guida per implementare, utilizzare, monitorare e aggiornare un Sistema di Gestione della Sicurezza delle Informazioni (SGSI). Questa norma consente di valutare attentamente le diverse tipologie di informazioni gestite e tutti i rischi per il business, evidenziando le aree in cui è necessario un miglioramento.
La protezione delle informazioni consiste nell’assicurare, attraverso la gestione controllata dei processi aziendali, i desiderati livelli di riservatezza, integrità, accessibilità e disponibilità.
I vantaggi che garantisce la certificazione ISO 27001 sono molteplici:
I vantaggi
la garanzia della sicurezza dei propri dati e delle proprie informazioni aziendali (Privacy);
l’offerta ai propri clienti di applicazioni sicure in termini di riservatezza, integrità e disponibilità dei dati e delle informazioni trattate;
la riduzione dei rischi informatici;
il continuo aggiornamento delle proprie infrastrutture tecniche ed organizzative;
la migliore gestione delle relazioni con Terze Parti;
il rispetto assicurato delle norme legislative, in particolar modo il rispetto del Regolamento UE GDPR 2016/679;
la misurazione e il controllo dei rischi legati all’IT;
l’opportunità di formare uno staff consapevole dell’importanza della sicurezza delle informazioni;
l’ottenimento di un sistema di sicurezza IT accettato in tutto il mondo;
l’integrabilità con i principali Sistemi di gestione ISO 9001 e 14001, e l’efficace utilizzo del modello PDCA (Plan, Do, Check, Act) nei processi di risk assessment.
I punti chiave
Un SGSI è lo strumento che permette di controllare in modo sistematico e continuativo i processi che riguardano la sicurezza di tutto il patrimonio informativo aziendale, non solo dal punto di vista informatico (supporti elettronici o cartacei utilizzati per immagazzinare i documenti e i dati), ma soprattutto dal punto di vista gestionale ed organizzativo, definendo ruoli, responsabilità e procedure formali per l’operatività dell’azienda stessa.
Per questo il nostro approccio si basa su strumenti che valutino:
la Sicurezza Organizzativa, con la progettazione e l’implementazione di modelli organizzativi (processi, procedure, ecc.) tesi ad assicurare il monitoraggio delle performance e l'aggiornamento continuo delle analisi dei rischi;
la Sicurezza Logica, anche detta sicurezza attiva, ovvero l’analisi delle tecniche mediante le quali le informazioni di natura riservata sono rese sicure (questo processo di monitoraggio delle attività è detto audit o accountability);
la Sicurezza Fisica, anche detta sicurezza passiva, cioè le tecniche di tipo difensivo, il cui obiettivo è quello di impedire che utenti non autorizzati possano accedere a risorse, sistemi, dispositivi, informazioni e dati di natura riservata.