ISO 27001

La certificazione ISO 27001 verifica la conformità del sistema di gestione della sicurezza delle informazioni di un'organizzazione o di un'impresa.

---

ISO 27001: sicurezza delle informazioni

La ISO/IEC 27001 è una norma internazionale che stabilisce gli standard e i requisiti per definire, impostare e amministrare nel tempo l’intero sistema di gestione della sicurezza delle informazioni. Quando si parla di informazioni non ci si riferisce esclusivamente ai dati informatici e agli asset IT che le contengono, ma all’intero ambito in cui queste informazioni vengono prodotte o acquisite, conservate, consultate, usate e archiviate.

Questo perché non si parla esclusivamente di “dati” ma di “informazioni”: un termine che ha una valenza molto più ampia e che include:

• dati: insieme di singoli fatti, immagini e impressioni
• informazioni: dati organizzati e significativi
• conoscenza: informazioni recepite e comprese da un singolo individuo
• sapienza: conoscenze tra loro connesse che permettono di prendere decisioni.

In definitiva non è corretto pensare che la certificazione ISO 27001 riguardi in maniera esclusiva la cybersecurity. Aiuta invece le aziende a trattare le diverse informazioni che servono allo svolgimento delle loro attività, a proteggerle, a regolarne l’accesso e in definitiva a garantire la vita stessa delle organizzazioni.

È vero che le infrastrutture IT hanno monopolizzato il trattamento delle informazioni e che la maggior parte di queste oggi sono veicolate attraverso supporti informatici. Le recenti vicende pandemiche hanno mostrato come sia vitale per le organizzazioni comunicare e scambiarsi informazioni attraverso reti e device e ha posto al centro la sicurezza informatica e la protezione dai rischi di violazione dei sistemi IT. Si può infatti affermare che tutti gli asset informativi aziendali sono ormai veicolati attraverso strutture informatiche e che queste possono essere soggette ad attacchi sempre più numerosi causati sia da imperizia interna che da violazioni da parte di organizzazioni esterne.

La norma ISO 27001 è dunque di grande attualità e diventa sempre più indispensabile per le aziende dotarsi di best practice certificate per proteggere il proprio patrimonio di conoscenze e di informazioni.

Che cos’è la certificazione ISO 27001

Iso.org definisce la ISO/IEC 27001 come uno standard volto a fornire: “i requisiti per un sistema di gestione della sicurezza delle informazioni (ISMS). Il loro utilizzo consente alle organizzazioni di qualsiasi tipo di gestire la sicurezza di beni come informazioni finanziarie, proprietà intellettuale, dettagli sui dipendenti o informazioni affidate da terzi“.

La norma ha dunque la finalità di stabilire un sistema organizzato, che assicura una gestione controllata delle informazioni e consente di valutare attentamente tutti i rischi per il business e le diverse tipologie di informazioni gestite, evidenziando le aree in cui è necessario un miglioramento.

La protezione delle informazioni riguarda una corretta gestione di questi all’interno di tutti i processi aziendali garantendo:

• riservatezza – per proteggere le informazioni da accessi non autorizzati
• integrità – per salvaguardare l’accuratezza e la completezza delle informazioni
• disponibilità – per assicurarsi che i dati e le informazioni siano accessibili quando richiesto.

Questi tre parametri servono a proteggere sia le informazioni interne all’azienda sia quelle che sono acquisite nelle relazioni con soggetti terzi: fornitori, clienti, stakeholder. La protezione dei dati, oltre al loro valore strategico intrinseco, riguarda anche la soddisfazione dei soggetti esterni che sono in relazione con l’organizzazione e che a loro volta cedono delle informazioni preziose. Si assiste, nel campo delle relazioni fra aziende o organizzazioni in generale, a un cambio di paradigma dei rapporti: prima dell’avvento della tecnologia IT erano quasi esclusivamente basate su giochi di forza economici. Attualmente le grandi, come le piccole e medie imprese, sono ingaggiate sul fronte di una battaglia contro il rischio di furto o di danneggiamento dei dati e degli asset IT che possono provocare l’arresto dell’attività produttiva e la perdita di credibilità verso l’esterno.

Quali aziende traggono vantaggio dalla certificazione ISO 27001

Lo scambio massiccio delle informazioni attraverso reti IT e device informatici ha reso necessaria l’adozione di protocolli di protezione delle informazioni in quasi tutti i tipi di organizzazione. Anche le piccole imprese che devono gestire ordini e fornitori, dati dei clienti e dei dipendenti, possono trovarsi in difficoltà se questi fossero persi o manomessi. La norma ISO 27001 è applicabile, dunque, in moltissimi settori sia industriali che commerciali.

• Ambiti produttivi o manifatturieri – gli asset più importanti sono le informazioni riguardanti brevetti e proprietà intellettuali
• Ambiti finanziari e assicurativi – per salvaguardare i dati legati alle operazioni economiche
• Settori della logistica, delle telecomunicazioni e comparti amministrativi – sono da proteggere principalmente i dati personali degli utenti.

Attraverso l’applicazione di processi corretti e con l’uso di azioni idonee si può arrivare a comprendere e conseguire la sicurezza delle informazioni. Gli enti certificatori e gli auditor sono in grado di operare analisi dei rischi connessi alle diverse aree di attività nell’organizzazione e di mettere in campo procedure collaudate per contenere o evitare le conseguenze di una perdita di informazioni e di dati.

Si tratta di operazioni complesse che spesso solo un esperto occhio esterno può valutare con obiettività e creare una vera e propria mappa dei rischi legati a specifiche fasi operative per poter apporre le opportune strategie di risk management.

Tuttavia, non bisogna solo parlare di gestione delle minacce quanto di opportunità per le organizzazioni che adottano un sistema di certificazione ISO 27001. Si pensi al miglioramento dei processi con l’adozione di tecniche di virtualizzazione di ridondanza, come i cloud, che migliorano la disponibilità dei dati e la loro conservazione con un contenimento dei costi. Oppure all’adozione di sistemi di device management che rendono più sicuro l’uso dei dispositivi mobili anche quando è necessario il lavoro agile o una temporanea dislocazione della forza lavoro.

Come scegliere l’ente certificatore ISO 27001

La certificazione ISO 27001 prevede, come altri tipi di certificazioni ISO, dei passaggi definiti di:

• pianificazione e progettazione
• implementazione
• monitoraggio
• mantenimento e miglioramento.

In SQS il percorso di certificazione è visto sempre come non fine a sé stesso ma come integrato nel percorso di cambiamento e di miglioramento degli obiettivi aziendali. La stessa figura dell’auditor può intendersi come un vero e proprio sparring partner dell’impresa che riesce a cogliere e a proteggere i punti strategici dell’azienda, piuttosto che mero esaminatore.

La nostra storia è punteggiata da rapporti duraturi che hanno visto il crescere nel tempo delle imprese che si sono rivolte a SQS e che hanno constatato i benefici della certificazione ISO 27001. La certificazione offre infatti sia miglioramenti nei processi interni ma anche nuove opportunità di stringere relazioni commerciali con aziende che fanno della protezione delle informazioni un fatto imprescindibile perché legato al proprio mercato di riferimento.

Per le aziende conseguire la certificazione ISO 27001 può rappresentare un vero e proprio passo in avanti sia nell’organizzazione sia nel mercato:

• migliore reputazione
• forte rapporto con gli stakeholder
• riduzione dei rischi per la sicurezza
• maggiore fiducia dei clienti
• nuove opportunità di business
• maggiore credibilità
• sviluppo di nuove competenze
• miglioramento continuo delle prestazioni di ISMS.

ELENCO CERTIFICAZIONI

CONTATTI