ISO IEC 27001

La norma ISO IEC 27001 specifica i requisiti per stabilire, attuare, mantenere e migliorare un Sistema di Gestione della Sicurezza delle Informazioni (SGSI) all’interno di un’organizzazione.

La certificazione ISO 27001, che viene assegnata in seguito ad una valutazione puntuale ed indipendente da parte di un ente di certificazione accreditato, è una decisione strategica per l’organizzazione che è influenzata dalle sue necessità e obiettivi, dai suoi requisiti di sicurezza, dai suoi processi organizzativi e dalla sua dimensione e struttura.

Il SGSI preserva la riservatezza, l’integrità e la disponibilità dalle informazioni mediante l’applicazione di un processo di gestione del rischio e dà fiducia alle parti interessate sull’adeguatezza della gestione dei rischi.

La presente norma, poi, può essere utilizzata da parti interne ed esterne al fine di valutare la capacità di un’organizzazione di soddisfare i propri requisiti relativi alla sicurezza delle informazioni e si rivolge a tutte quelle aziende che hanno interesse nel proteggere le informazioni che gestiscono sia in modalità cartacea che elettronica.

La I.C.P. S.r.l. si avvale di una rete di collaboratori esperti nella gestione della sicurezza delle informazioni che saranno pronti a seguire al meglio l’iter di certificazione.

Al fine di comprendere a pieno lo scopo e gli obiettivi della norma, vanno assolutamente sottolineati i punti chiave della stessa che sono:

• Fornire una valutazione dei rischi coerente con il contesto di riferimento e le caratteristiche proprie dell’organizzazione;
• Valorizzare e ampliare il contenuto del concetto di informazione;
• Fornire un quadro che comprendesse anche gli aspetti economico-finanziari riguardanti la Sicurezza delle Informazioni;
• Analizzare e potenziare l’aspetto organizzativo della Sicurezza delle informazioni;
• Testare l’efficacia del proprio SGSI e delle contromisure adottate per trattare i rischi.

Va sottolineata poi l’importanza dell’Annex A che contiene 114 controlli o contromisure a cui l’organizzazione deve necessariamente attenersi al fine di applicare la norma. Questi controlli riguardano (ne citeremo solo alcuni):

• la politica e l’organizzazione per la sicurezza delle informazioni
• la sicurezza delle risorse umane
• il controllo degli accessi fisici e logici
• la crittografia
• la sicurezza fisica/ambientale e logica
• la sicurezza delle attività operative
• la sicurezza delle comunicazioni
• le relazioni con i fornitori
• la gestione degli incidenti (relativi alla sicurezza delle informazioni)
• la gestione della Business Continuity