ISO/IEC 27001:2013, noto anche come iso/iec 27001, è lo standard internazionale per la sicurezza delle informazioni. Stabilisce le specifiche per un sistema di gestione della sicurezza delle informazioni semplificato in ISMS. L’approccio basato sulle best practice dello standard 27001 del sistema di gestione della sicurezza delle informazioni aiuta le organizzazioni a gestire la sicurezza delle informazioni rivolgendosi a persone, processi e tecnologia.

La certificazione secondo lo standard iso/iec 27001 è riconosciuta in tutto il mondo come indicazione che il tuo ISMS è allineato con le migliori pratiche di sicurezza delle informazioni. Parte della serie iso 27001 standard di sicurezza delle informazioni, ISO 27001 è un framework che aiuta le organizzazioni a stabilire, implementare, operare, monitorare, rivedere, mantenere e migliorare continuamente un ISMS.

Iso/iec 27001: che cos’è un ISMS

Un ISMS è un approccio olistico per garantire la riservatezza, l’integrità e la disponibilità delle risorse informative aziendali. Consiste in politiche, procedure e altri controlli che coinvolgono persone, processi e tecnologia. Informato da valutazioni periodiche dei rischi per la sicurezza delle informazioni, un ISMS è un approccio efficiente, basato sui rischi e tecnologicamente neutro per proteggere le tue risorse informative.

iso/iec 27001 e gestione del rischio

La gestione del rischio costituisce la pietra angolare di un ISMS ISO/IEC. Tutti i progetti ISMS si basano su valutazioni periodiche dei rischi per la sicurezza delle informazioni per determinare quali controlli di sicurezza implementare e mantenere. Lo Standard definisce i suoi requisiti per il processo di gestione del rischio, inclusa la valutazione e il trattamento del rischio.

Clausole e controlli iso/iec 27001

Lo Standard ha dieci clausole del sistema di gestione. Lo standard dell’iso/iec 27001 elenca 114 controlli di sicurezza delle informazioni, che supportano l’implementazione e il mantenimento di un ISMS. I principali controlli dell’ iso/iec 27001 sono:

• referenze normative 
• Termini e definizioni 
• Contesto 
• Comando
• Pianificazione e gestione del rischio
• Supporto 
• Operazioni 
• Valutazione delle prestazioni
• Miglioramento

Vantaggi della iso/iec 27001

L’ iso/iec 27001 è uno degli standard di sicurezza delle informazioni più diffusi esistenti. La certificazione accreditata indipendente allo Standard è riconosciuta in tutto il mondo. Il numero di certificazioni è cresciuto di oltre il 450% negli ultimi dieci anni. L’implementazione dello standard iso/iec 27001 ti aiuta a soddisfare i requisiti di sicurezza delle informazioni di leggi come il GDPR dell’UE (regolamento generale sulla protezione dei dati) e i regolamenti NIS (Network and Information Systems) . Ciò aiuta a ridurre i costi associati alle violazioni dei dati. 

Come ottenere la conformità iso/iec 27001

L’implementazione di un ISMS comporta:

• Scopo del progetto .
• Garantire l’impegno e il budget della direzione.
• Identificazione delle parti interessate e dei requisiti legali, regolamentari e contrattuali.
• Condurre una valutazione del rischio.
• Rivedere e implementare i controlli richiesti.
• Sviluppare le competenze interne per gestire il progetto.
• Sviluppare la documentazione appropriata .
• Conduzione di  formazione di sensibilizzazione del personale .
• Reporting (es. Dichiarazione di applicabilità e piano di trattamento dei rischi).
• Misurazione, monitoraggio, revisione e audit continui dell’ISMS.
• Attuazione delle necessarie azioni correttive e preventive. 

Dimostrare la conformità all’ iso/iec 27001

Come tutti gli standard del sistema di gestione iso/iec 27001 segue una struttura per ottenere la conformità. Questa struttura comune di alto livello semplifica l’implementazione di sistemi di gestione integrati conformi a più standard. Per ottenere la conformità è necessario contattare la BCB Certificazioni che si occuperà di sviluppare la struttura per verificare la conformità della new iso 27001. 

La iso/iec 27001:2019 (ISO 27701) è un’estensione della ISO 27001 che amplia i suoi requisiti per coprire la gestione della privacy, incluso il trattamento dei dati personali detti anche PII (informazioni di identificazione personale).

L’implementazione di un sistema di gestione integrato che combina un ISMS e un PIMS (sistema di gestione delle informazioni sulla privacy) conforme a iso/iec 27001 ti aiuterà a soddisfare i requisiti del GDPR per la gestione, l’elaborazione e la protezione dei dati personali.