Conformità ISO 27001: Cosa Devi Sapere

ISO/IEC 27001 è un insieme di standard internazionali sviluppati per guidare la sicurezza delle informazioni. I suoi standard componenti, come ISO/IEC 27001:2013, sono progettati per aiutare le organizzazioni a implementare, mantenere e migliorare continuamente un sistema di gestione della sicurezza delle informazioni (ISMS).

Il rispetto della norma ISO 27001 non è obbligatorio. Tuttavia, in un mondo in cui gli hacker prendono di mira incessantemente i tuoi dati e sempre più mandati di privacy dei dati comportano pesanti sanzioni, seguire gli standard ISO ti aiuterà a ridurre i rischi, conformarti ai requisiti legali, abbassare i costi e ottenere un vantaggio competitivo. In breve, la certificazione ISO 27001 aiuterà la tua azienda ad attrarre e trattenere clienti.

Questo articolo dettaglia i requisiti fondamentali della ISO 27001, i controlli di sicurezza correlati e le fasi del processo di certificazione. Offre anche consigli per mantenere la conformità alla ISO 27001 e spiega come le soluzioni Netwrix possono essere d'aiuto.

Cos'è ISO 27001?

ISO/IEC 27001 è un insieme di standard di tecnologia dell'informazione progettati per aiutare organizzazioni di qualsiasi dimensione in qualsiasi settore ad implementare un efficace sistema di gestione della sicurezza delle informazioni. Lo standard utilizza un approccio top-down basato sul rischio ed è neutrale rispetto alla tecnologia.

La gestione del rischio è l'idea centrale della ISO 27001: è necessario identificare le informazioni sensibili o di valore che richiedono protezione, determinare i vari modi in cui i dati potrebbero essere a rischio e implementare controlli per mitigare ogni rischio. Il rischio include qualsiasi minaccia alla riservatezza, integrità o disponibilità dei dati. La norma fornisce un quadro per la scelta di controlli e processi appropriati.

In particolare, ISO 27001 richiede di:

• Identificare le parti interessate e le loro aspettative nei confronti dell'ISMS
• Definisci l'ambito del tuo ISMS
• Definire una politica di sicurezza
• Conduci una valutazione del rischio per identificare i rischi esistenti e potenziali sui dati
• Definire controlli e processi per gestire tali rischi
• Stabilire obiettivi chiari per ogni iniziativa di sicurezza delle informazioni
• Implementare controlli e altri metodi di trattamento del rischio
• Misura e migliora continuamente le prestazioni dell'ISMS

Requisiti e Controlli di Sicurezza

Requisiti ISO 27001

La norma contiene due parti principali. La prima sezione presenta definizioni e requisiti nelle seguenti clausole numerate:

1. Introduzione — Descrive il processo per la gestione sistematica dei rischi legati alle informazioni
2. Ambito — Specifica i requisiti generici dell'ISMS adatti per organizzazioni di qualsiasi tipo, dimensione o natura
3. Riferimenti normativi — Elenca altri standard che contengono informazioni aggiuntive rilevanti per determinare la conformità ISO 27001 (è elencato solo uno, ISO/IEC 27000)
4. Termini e Definizioni — Spiega i termini più complessi utilizzati nello standard
5. Organizational Context — Explains why and how to define the internal and external issues that can affect an enterprise’s ability to build an ISMS, and requires the organization to establish, implement, maintain and continually improve the ISMS
6. Leadership — Richiede che l'alta direzione dimostri leadership e impegno verso l'ISMS, stabilisca politiche e assegni ruoli e responsabilità per la sicurezza delle informazioni
7. Pianificazione — Descrive i processi per identificare, analizzare e pianificare il trattamento dei rischi informativi e chiarire l'obiettivo delle iniziative di sicurezza delle informazioni
8. Supporto: Richiede alle organizzazioni di assegnare risorse adeguate, aumentare la consapevolezza e preparare tutta la documentazione necessaria
9. Operazione — Dettaglia come valutare e trattare i rischi dell'informazione, gestire i cambiamenti e assicurare una documentazione adeguata
10. Valutazione delle prestazioni — Richiede alle organizzazioni di monitorare, misurare e analizzare i loro controlli e processi di gestione della sicurezza delle informazioni
11. Miglioramento — Richiede alle organizzazioni di affinare continuamente il loro ISMS, inclusa l'elaborazione dei risultati di audit e revisioni

Obiettivi di Controllo di Riferimento e Controlli

La seconda parte, Allegato A, dettaglia un insieme di controlli che possono aiutarvi a conformarvi ai requisiti della prima sezione. La vostra organizzazione dovrebbe selezionare i controlli che meglio rispondono alle sue specifiche esigenze e sentirsi libera di integrarli con altri controlli secondo necessità.

I controlli sono raggruppati nei seguenti domini:

• Politiche di Sicurezza Informatica — Per garantire che le politiche siano scritte e riviste in conformità con le pratiche di sicurezza dell'organizzazione e la direzione generale
• Organizzazione della Sicurezza delle Informazioni — Per assegnare responsabilità per compiti specifici
• Sicurezza delle Risorse Umane — Per garantire che dipendenti e appaltatori comprendano le loro responsabilità.
• Gestione delle risorse — Per garantire che le organizzazioni identifichino i propri asset informativi e definiscano le adeguate responsabilità di protezione
• Controlli di Accesso — Per garantire che i dipendenti possano visualizzare solo le informazioni pertinenti al loro lavoro
• Crittografia — Per criptare i dati al fine di garantire la riservatezza e l'integrità.
• Sicurezza fisica e ambientale — Per prevenire l'accesso fisico non autorizzato, danni o interferenze alle strutture o ai dati, e controllare le apparecchiature per prevenire la perdita, il danneggiamento o il furto di software, hardware e file fisici
• Sicurezza delle operazioni — Per garantire che gli impianti di elaborazione delle informazioni siano sicuri
• Sicurezza delle comunicazioni — Per proteggere le reti di informazione
• Acquisizione, Sviluppo e Manutenzione del Sistema — Per la sicurezza sia dei sistemi interni che di quelli che forniscono servizi su reti pubbliche
• Relazioni con i fornitori — Per gestire correttamente gli accordi contrattuali con terze parti
• Gestione degli Incidenti di Sicurezza Informatica — Per garantire una gestione e segnalazione efficace degli incidenti di sicurezza
• Aspetti della Sicurezza delle Informazioni della Gestione della Continuità Operativa — Per minimizzare le interruzioni aziendali
• Conformità — Per garantire l'adesione alle leggi e ai regolamenti pertinenti e mitigare i rischi di non conformità

Conformità e certificazione ISO 27001

Benefici

Adottando volontariamente i requisiti ISO 27001, la vostra organizzazione può ridurre proattivamente i rischi per la sicurezza delle informazioni e migliorare la capacità di conformarsi ai mandati di protezione dei dati. Andando oltre e ottenendo la certificazione ISO 27001, dimostrerete il vostro impegno nella protezione dei vostri asset di dati a clienti, partner, fornitori e altri. Costruire questa fiducia può migliorare la reputazione della vostra azienda e fornire un vantaggio competitivo

Documenti obbligatori

Per dimostrare la conformità alla ISO 27001 sono necessari diversi documenti, tra cui i seguenti:

• Ambito del SGSI (clausola 4.3)
• Politica di Sicurezza delle Informazioni (clausola 5.2)
• Obiettivi di Sicurezza delle Informazioni (clausola 6.2)
• Prova della competenza delle persone che lavorano nella Sicurezza delle Informazioni (clausola 7.2)
• Risultati della Valutazione del Rischio Informatico (clausola 8.2)
• Programma di Audit Interno ISMS e Risultati degli Audit Condotti (clausola 9.2)
• Prove delle Revisioni della Direzione dell'ISMS (clausola 9.3)
• Prove di Non Conformità Identificate e Azioni Correttive Derivanti (clausola 10.1)

Definizione dell'ambito ISMS

Uno dei principali requisiti per l'implementazione della ISO 27001 è definire l'ambito dell'ISMS. Per farlo, è necessario seguire i seguenti passaggi:

1. Inventario di tutte le informazioni che conservi in qualsiasi forma, fisica o digitale, locale o nel cloud.
2. Identifica i vari modi in cui le persone possono accedere alle informazioni.
3. Determina quali dati rientrano nel campo di applicazione del tuo ISMS e quali sono esclusi. Ad esempio, le informazioni sulle quali la tua organizzazione non ha controllo sarebbero fuori dal campo di applicazione del tuo ISMS.

Processo di Certificazione

Il processo di certificazione ISO 27001 comporta i seguenti passaggi:

1. Sviluppare un ISMS che includa politiche, procedure, persone e tecnologia.
2. Eseguire una revisione interna per identificare non conformità e azioni correttive.
3. Invita gli auditor a eseguire una revisione di base dell'ISMS.
4. Correggete i problemi che gli auditor trovano.
5. Fate eseguire un'audit approfondito dei componenti ISO 27001 da un organismo di certificazione accreditato per verificare se avete seguito le politiche e le procedure.

La certificazione può richiedere da tre a dodici mesi. Per migliorare la convenienza economica del processo di certificazione, molte organizzazioni eseguono un'analisi preliminare delle lacune rispetto allo standard per farsi un'idea dello sforzo necessario per implementare eventuali cambiamenti necessari.

Costo della Certificazione

Il costo della certificazione dipende da molte variabili, quindi ogni organizzazione avrà un budget diverso. I costi principali sono relativi a formazione e letteratura, assistenza esterna, tecnologie da aggiornare o implementare, tempo e impegno dei dipendenti e l'audit di certificazione stesso.

Durata della Certificazione

Una volta ottenuta la certificazione, si dovrebbero eseguire audit interni regolari. L'ente di certificazione effettua nuove verifiche almeno annualmente e controllerà quanto segue:

• Chiusura di tutte le non conformità dalla visita precedente
• Operazione ISMS
• Aggiornamenti della documentazione
• Revisioni della gestione dei rischi
• Azioni correttive
• Monitoraggio e misurazione delle prestazioni dell'ISMS

Consigli per ottenere e mantenere la conformità ISO 27001

• Il sostegno degli stakeholder è fondamentale per una certificazione di successo. Impegno, orientamento e risorse da parte di tutti gli stakeholder sono necessari per identificare i cambiamenti necessari, dare priorità e attuare azioni di rimedio e garantire una regolare revisione e miglioramento dell'ISMS.
• Definisci l'impatto della ISO 27001 sulla tua organizzazione.Considera le esigenze e i requisiti di tutte le parti interessate, inclusi regolatori e dipendenti. Esamina i fattori interni ed esterni che influenzano la sicurezza delle tue informazioni.
• Scrivi una Dichiarazione di Applicabilità. La dichiarazione dettaglia quali controlli ISO 27001 si applicano alla tua organizzazione.
• Eseguire valutazioni e rimedi dei rischi regolarmente. Per ogni valutazione, redigere un piano di trattamento dei rischi che dettagli se ogni rischio sarà trattato, tollerato, terminato o trasferito.
• Valuta le prestazioni dell'ISMS. Monitora e misura il tuo ISMS e i controlli.
• Attuate programmi di formazione e sensibilizzazione. Fornite a tutti i dipendenti e appaltatori una formazione sui vostri processi e procedure di sicurezza e aumentate la data security awareness in tutta l'organizzazione.
• Esegui audit interni. Scopri e risolvi i problemi prima che gli audit esterni li individuino.

Come Netwrix Aiuta con la Conformità ISO 27001

La piattaforma Netwrix Data Security Platform ti aiuta a raggiungere e mantenere la conformità ISO 27001 permettendoti di:

• Scopri e classifica i dati nei tuoi repository locali e basati sul cloud
• Identificare e dare priorità ai rischi legati all'IT
• Monitora i tentativi di accesso al sistema, l'accesso ai file e le modifiche ai dati e alla configurazione per attività anomale
• Identifica e indaga modelli di minaccia
• Stabilire una solida governance dell'accesso ai dati

Conclusione

Ora che la sicurezza dei dati è più essenziale che mai per il successo, la certificazione ISO 27001 offre un vantaggio competitivo di valore. Utilizzando i requisiti e i controlli dello standard, sarai in grado di stabilire e migliorare continuamente il tuo sistema di gestione della sicurezza delle informazioni, dimostrando il tuo impegno per la sicurezza dei dati a partner e clienti allo stesso modo.

FAQ

1. Qual è lo scopo della ISO 27001?

Lo standard ISO 27001 è stato sviluppato per aiutare le organizzazioni di qualsiasi dimensione in qualsiasi settore a proteggere i loro dati utilizzando efficacemente un sistema di gestione della sicurezza delle informazioni (ISMS).

2. Qual è la norma ISO 27001 più recente?

L'ultima versione offerta da ISO/IEC è la 27001:2013. C'è un aggiornamento regionale dell'UE chiamato ISO/IEC 27001:2017.

3. Quali sono i requisiti della ISO 27001?

ISO 27001 richiede alle organizzazioni di:

• Comprendere il contesto organizzativo
• Dimostrare leadership e impegno verso l'ISMS e assegnare ruoli e responsabilità per la sicurezza delle informazioni
• Sviluppare un piano per l'identificazione, l'analisi e il trattamento dei rischi legati alle informazioni
• Assegnare risorse adeguate per supportare l'ISMS
• Esegui la valutazione e il trattamento del rischio operativo
• Valutare le prestazioni dell'ISMS
• Migliora continuamente l'ISMS

4. Perché la ISO 27001 è importante?

ISO 27001 protegge la riservatezza, l'integrità e la disponibilità delle informazioni all'interno di un'organizzazione e quando queste vengono condivise da terze parti.

5. Qual è la differenza tra ISO 27001 e ISO 27002?

ISO 27001 è lo standard centrale nella serie ISO 27000 e contiene i requisiti di implementazione per un ISMS. ISO 27002 è uno standard supplementare che dettaglia i controlli di sicurezza delle informazioni che le organizzazioni potrebbero scegliere di implementare, espandendo le brevi descrizioni nell'Allegato A di ISO 27001.

6. Qual è la differenza tra NIST e ISO 27001?

NIST è un'organizzazione statunitense di standardizzazione paragonabile all'ISO. NIST 800-53 è più orientato al controllo della sicurezza rispetto all'ISO 27001, con una varietà di gruppi che contribuiscono con le migliori pratiche relative ai sistemi informativi federali. L'ISO 27001 è meno tecnico e più focalizzato sul rischio, ed è applicabile per organizzazioni di tutte le dimensioni e in tutti i settori.

7. Qual è la differenza tra SOX e ISO 27001?

ISO 27001 è uno standard internazionale volontario per l'implementazione di un ISMS. SOX 404 è una legge statunitense che tutte le società quotate in borsa negli Stati Uniti devono seguire.