Indice dei contenuti dell'articolo:
La conformità ISO 27001 è la più comune e la più pertinente per fornire i requisiti relativi a un sistema di gestione della sicurezza delle informazioni (ISMS).
Introdotta per la prima volta nel 2005, la famiglia di standard ISO per la gestione della sicurezza delle informazioni ha ricevuto più attenzione recentemente a seguito di crescenti violazioni dei dati e interruzioni della sicurezza. Tuttavia, non sono ancora così popolari come gli audit HITRUST o SOC 2 , quindi in questo post parleremo specificamente della ISO 27001, di chi influenza e di cosa significa conformità per la tua organizzazione.
Cos’è l’ISO 27001?
ISO 27001 è un regolamento di conformità come PCI o HIPAA. Esistono una dozzina di standard all’interno della famiglia ISO, ma 27001 è il più comune e il più pertinente per fornire i requisiti relativi a un sistema di gestione della sicurezza delle informazioni (ISMS). Le norme ISO sono state introdotte per la prima volta nel 2005, ma sono state riviste nel 2013.
Ottenere una certificazione accreditata ISO 27001 permette di dimostrare che la tua azienda sta seguendo le best practice sulla sicurezza delle informazioni e fornisce un controllo indipendente e qualificato sul fatto che la sicurezza delle informazioni è gestita in linea con le best practice internazionali e gli obiettivi aziendali.
Cos’è un ISMS?
Essenzialmente, un ISMS è il modo in cui decidi di avvicinarti alla protezione dei tuoi dati sensibili. Tali dati possono includere registrazioni finanziarie, informazioni mediche, dati interni dei dipendenti o altre informazioni a te affidate da una terza parte. Il tuo ISMS non è solo i dati in sé, ma anche le persone, i processi e la tecnologia che lo circonda e include un processo di gestione del rischio. L’obiettivo dell’ISMS è aiutare le organizzazioni a proteggere le proprie informazioni.
Ho bisogno della conformità ISO 27001?
ISO 27001 è richiesto in molti ambiti governativi, nelle pubbliche amministrazioni e anche nelle PMI dopo l’avvento della legge europea sulla privacy dei dati, meglio nota come GDPR.
Se gestisci informazioni personali identificabili (PII) o usi un provider di hosting che lo fa, è davvero qualcosa che tu (o loro) dovrebbero avere. Una certificazione ISO mostra a te, ai tuoi clienti e al tuo consiglio di amministrazione che tu o il fornitore di hosting con cui collabori prendi molto sul serio la sicurezza dei dati.
Che cosa significa una verifica dell’audit ISO 27001?
Ecco i controlli su cui ti misurerai:
- Ambito ISMS
- Politica di sicurezza delle informazioni
- Processo di valutazione del rischio informativo
- Processo di trattamento del rischio informativo
- Obiettivi di sicurezza delle informazioni
- Prova della competenza delle persone che lavorano nella sicurezza delle informazioni
- Altri documenti relativi all’ISMS ritenuti necessari dall’organizzazione (facoltativo?)
- Pianificazione operativa e documenti di controllo
- Risultati delle valutazioni del rischio di informazione
- Decisioni riguardanti il
trattamento del rischio informativo - Prova del monitoraggio e misurazione della sicurezza delle informazioni
- Programma di audit interno ISMS e relativi risultati
- Prova delle revisioni della direzione generale di ISMS
- Evidenza dello stile di non conformità identificato e azioni correttive derivanti
Come potete vedere, ISO 27001 copre in modo approfondito la sicurezza delle informazioni. Ma tieni presente che l’azienda che scegli che ti controllerà rispetto a questi standard offre un’opinione sul fatto che tu li incontri, quindi assicurati di scegliere revisori affidabili che comprendano a fondo i controlli.
Chi è coinvolto nel raggiungimento della conformità ISO 27001?
Poiché ISO è uno standard di gestione, significa che sono coinvolti tutti i membri del team di gestione, non solo il reparto IT. Ciò include l’amministratore delegato, il direttore finanziario e chiunque altro nel tuo team. Avere l’intero team di gestione parte del processo rende molto più semplice applicare controlli di sicurezza e una cultura della conformità a tutti i livelli perché ogni reparto è attivamente coinvolto nel raggiungimento della conformità.
Alla ricerca di un fornitore di servizi cloud, hosting o servizi dedicati con conformità ISO 27001?
Lavoriamo solo ed esclusivamente con aziende e datacenter in possesso di tale certificazione ISO 27001. Se lavorerete con noi avrete tutti i certificati di conformità e il totale adeguamento alla GDPR.
