Certificazione di sicurezza dati ISO 27001: cos’è e come ottenerla
Certificazione ISO 27001
- Home
- /
- Consulenze per Certificazioni Volontarie
- /
- Certificazione ISO 27001
Certificazione ISO 27001 Tecnologia delle informazioni - Tecniche di sicurezza - Sistemi di gestione della sicurezza delle informazioni
Certificazione ISO 27001
Certificazione di sicurezza dati ISO 27001: cos’è e come ottenerla
ISO/IEC 27001 è lo standard internazionale che aiuta le organizzazioni a stabilire, implementare, rivedere, mantenere, monitorare e migliorare il proprio sistema di gestione della sicurezza delle informazioni (ISMS)
Anche se non tutte le organizzazioni scelgono di ottenere la certificazione ISO27001, e molte utilizzano lo standard solo come riferimento per un approccio di best practice alla sicurezza delle proprie informazioni, la certificazione di conformità dell’ISMS ai requisiti della ISO 27001 resta comunque la migliore garanzia che una azienda può offrire alla committenza per quando riguarda l’allineamento del proprio contesto organizzativo e tecnologico alle migliori pratiche adottabili nell’ambito della sicurezza delle informazioni.
Un ISMS ISO 27001 si compone di politiche, procedure, controlli, finalizzati sostanzialmente a gestire i rischi relativi alle informazioni, come attacchi informatici, hack, fughe di dati o furti, a cui può essere soggetto il patrimonio informativo aziendale, e chiama in causa persone, processi e tecnologie.
Lo standard ISO 27001 prevede che il sistema, una volta messo in esercizio, disponga di funzioni di analisi periodica di tutte le risorse informative gestite dalla organizzazione, per individuare i rischi a cui possono essere soggette, e di presìdi che riescano a ricondurre tali rischi ad un livello accettabile.
La certificazione ISO 27001 aiuta a dare evidenza delle buone pratiche di sicurezza adottate dalla azienda, e a migliorare così i rapporti e la fidelizzazione della propria clientela, agendo come ottimo strumento di marketing, in grado di fare la differenza rispetto ai concorrenti.
La ISO 27001 è generalmente accettata come strumento di benchmark globale per determinare il livello di efficacia conseguito da una azienda nella gestione delle risorse informative, e quindi la copertura data ai rischi di perdite finanziarie potenzialmente devastanti causate dalle violazioni dei dati.
Gli attacchi informatici stanno aumentando di volume e di forza ogni giorno, e Il danno finanziario e reputazionale causato da un approccio inefficace alla sicurezza delle informazioni può infatti essere disastroso.
Assessment iniziale senza impegno
Voi capite noi, noi capiamo voi
Siamo disponibili ad avviare senza impegno le attività per la certificazione della vostra azienda, per consentire a voi di entrare nel merito del processo, e alla Memole di conoscere meglio l’azienda, le sue necessità e specifiche aspettative.
Alla fine dell’assessment, saremo entrambi più consapevoli, ed in grado di valutare insieme l’impegno prevedibilmente richiesto per giungere al risultato.
In ogni caso, la Memole non lavora “a tassametro”: a fronte dell’importo stabilito, i suoi consulenti supportano l’azienda fino al conseguimento della certificazione, a prescindere dalle giornate.
Steps percorso certificazione – Supporto consulenziale
1. Analisi del contesto interno ed esterno
8%
Si individuano i principali stakeholders aziendali, e quali sono i loro impegni e le aspettative nei confronti dell’azienda
2. Screening delle prassi e dei flussi operativi dell’azienda
13%
Si analizza quanto la cultura aziendale ha consolidato in termini di pratiche, valorizzandone la qualificazione rispetto ai requisiti previsti dalla norma di riferimento
3. Analisi dei rischi e delle opportunità
16%
Si analizzano i rischi di mancato rispetto dei requisiti della norma, non sufficientemente coperti dalle prassi aziendali, e le opportunità che potrebbero cogliersi con una migliore qualificazione delle prassi stesse
4. Individuazione dei presìdi da adottare per la riduzione del rischio
24%
Per i rischi che non presentano sufficiente copertura,
si individuano i presìdi adottabili, in
termini di migliori controlli, più efficienti modalità operative ecc.
si individuano i presìdi adottabili, in
termini di migliori controlli, più efficienti modalità operative ecc.
5. Adeguamento dei processi aziendali
29%
I presìdi individuati vengono implementati nei processi aziendali
6. Redazione della documentazione di sistema (manuale e procedure)
40%
I processi così qualificati sono descritti nella documentazione di sistema (manuale e
procedure). Tale documentazione è approvata dalla direzione aziendale ed illustrata al
personale
procedure). Tale documentazione è approvata dalla direzione aziendale ed illustrata al
personale
7. Messa in esercizio del sistema
49%
Viene curata la concreta applicazione del sistema, intervenendo eventualmente con le
revisioni che si rendessero necessarie
revisioni che si rendessero necessarie
8. Verifica dello stato di applicazione del sistema e di conformità ai requisiti della norma di riferimento
70%
Tramite cicli di audits interni, sull’intero sistema, se ne verifica lo stato di applicazione e la
effettiva conformità alla norma di riferimento
effettiva conformità alla norma di riferimento
9. Scelta di un ente di certificazione
82%
Si individua l’ente accreditato, si presenta la domanda di certificazione e si pianifica l’audit
10. Sostenimento dell’audit
89%
L’audit vede come protagonisti l’azienda nel suo complesso, e i suoi dipendenti, che devono dimostrare di possedere sufficiente conoscenza e competenza applicativa della norma e delle procedure di sistema.
11. Conseguimento del certificato
100%
Il rapporto dell’auditor con la proposta di certificazione di conformità alla norma,
indirizzata al comitato dell’ente, sancisce la conclusione dell’iter di certificazione
indirizzata al comitato dell’ente, sancisce la conclusione dell’iter di certificazione
Cyber Security
Certificazione di sicurezza dati ISO 27001: cos’è e come ottenerla
Un sistema di protezione dei dati è ormai uno degli elementi che non può mancare in una azienda che voglia presentarsi sul mercato come affidabile. Nella progettazione di un efficace sistema di protezione aziendale, ed in particolare nella protezione delle informazioni, entrano in gioco numerosi fattori, che richiedono scelte di base condizionate solo parzialmente dalla tipologia dei processi, ma molto da quanto il proprio mercato di riferimento e gli stakeholders istituzionali richiedono sulle problematiche inerenti alla sicurezza.
Non esiste quindi una soluzione già pronta per ogni situazione, ma sono disponibili metodologie riconosciute internazionalmente che forniscono i criteri per giungere una soluzione la cui affidabilità cresce gradualmente nel tempo, con l’aiuto di una ciclica valutazione del rischio.
Tra i più diffusi modelli di riferimento per costruire e monitorare un sistema di sicurezza informatica (SGSI) il primo è sicuramente lo standard internazionale ISO/IEC 27001 contenente i requisiti per la gestione della sicurezza delle informazioni, che può essere integrato, per gli aspetti più strettamente legati alla tecnologia operativa (OT) con il framework NIST sulla cybersecurity (CSF).
I più evidenti vantaggi che può offrire ad una organizzazione la adozione di un sistema di gestione per la sicurezza delle informazioni (SGSI) sono:
- soddisfare i requisiti contrattuali dei propri clienti per quanto riguarda la sicurezza delle loro informazioni
- identificare, valutare e gestire i rischi dell’organizzazione, formalizzando al tempo stesso i processi, le procedure e la documentazione relativi alla sicurezza delle informazioni
- Dimostrare l’osservanza delle leggi e normative applicabili
- Dimostrare l’impegno direzionale per garantire la sicurezza delle informazioni
- Garantire il monitoraggio delle prestazioni aziendali e attivare le azioni di miglioramento necessarie.
I punti chiave della norma ISO/IEC 27001 sono:
- la valutazione dei rischi coerentemente al contesto di riferimento;
- il concetto di informazione (o risorsa informativa) con relativa valorizzazione;
- gli aspetti economico-finanziari inerenti la Sicurezza delle Informazioni;
- l’aspetto organizzativo (e non solo tecnologico) della Sicurezza delle Informazioni;
- l’efficacia del SGSI e delle contromisure adottate per trattare i rischi.
Essi fissano i requisiti a cui devono rispondere:
- la politica e l’organizzazione per la sicurezza delle informazioni
- la sicurezza delle risorse umane
- la gestione degli asset
- il controllo degli accessi logici
- la crittografia
- la sicurezza fisica e ambientale
- la sicurezza delle attività operative
- la sicurezza delle comunicazioni
- la gestione della sicurezza applicativa
- la relazione con i fornitori coinvolti nella gestione della sicurezza delle informazioni
- il trattamento degli incidenti (relativi alla sicurezza delle informazioni)
- la gestione della Business Continuity
- il rispetto normativo