ISO 27000 - Certificazione di qualita' sulla sicurezza delle informazioni
Il Sistema di Gestione della Sicurezza delle Informazioni è uno degli elementi più importanti su cui basare lo sviluppo del Business di un'azienda, perchè le informazioni, nel senso più ampio della parola, rappresentano un bene che attribuisce un significativo valore all'azienda e si identifica come un vero e proprio patrimonio la cui gestione diventa strategica per la tutela e lo sviluppo aziendale.
La protezione quindi di tale patrimonio diventa una condizione irrinunciabile per la crescita e il successo delle proprie attività.
Definire ed attuare un Sistema di Gestione delle Informazioni significa salvaguardare la riservatezza, l’integrità e la disponibilità dei dati dell’organizzazione, siano esse in formato cartaceo, elettronico, intellettuale e quindi salvaguardare il proprio patrimonio.
Attualmente le informazioni custodite, in particolare, con mezzi informatici, rappresentano oltre il 60% del capitale intellettuale aziendale, ed è perciò necessario dotarsi di un sistema che ne garantisca una gestione sicura anche dai rischi informatici.
I crimini e gli attacchi informatici causati dalla violazione dei sistemi di sicurezza sono infatti in costante aumento.
La sicurezza rappresenta dunque un fattore strutturale che si ripercuote su tutta l'organizzazione aziendale, per cui è fondamentale gestire in condizioni di sicurezza l'intero sistema delle informazioni aziendali, salvaguardandone la riservatezza, l'integrità e la disponibilità, per non incorrere in una perdita di competitività e nella riduzione delle quote di mercato.
La Norma ISO/IEC 27000 offre gli strumenti necessari alla definizione e attuazione di un Sistema di Gestione per la Sicurezza delle Informazioni.
Detta norma si concentra sugli aspetti propri della gestione della sicurezza, proponendo opportune contromisure con un livello di dettaglio tale da consentire la loro applicazione a tutte le Organizzazioni, siano esse grandi, medie o piccole con o senza struttura di Information Technology.
Il Sistema di Gestione per la Sicurezza delle Informazioni è costituito da organizzazione, processi, comportamenti, procedure e risorse/strumenti finalizzati a garantire la sicurezza sia fisica che logica delle informazioni e per essere realizzato, deve comportare i seguenti passi:
1. Definizione delle politiche di sicurezza aziendali
2. Definizione dell'ambito di applicazione del Sistema di Gestione per la Sicurezza delle Informazioni
3. Analisi del rischio
4. Gestione del rischio
5. Selezione degli strumenti di gestione
6. Stesura della dichiarazione di applicabilità.
Secondo la norma, la sicurezza delle informazioni, viene vista come un processo indipendente dalla tecnologia che deve coprire tutti i processi che impattano sulle caratteristiche di sicurezza del prodotto o servizio immesso sul mercato, e anche se apparentemente la norma tratta problematiche di Information Technology, in realtà la sicurezza delle informazioni deve essere correttamente gestita anche quando queste stesse informazioni sono in forma cartacea.
Per cui insiste molto sugli aspetti organizzativi e poco su quelli tecnologici.
Pur in assenza di obblighi di legge, la certificazione di sicurezza su base volontaria, e in particolare quella effettuata secondo gli standard ISO 27000 può, in alcuni casi, essere utilizzata per dimostrare a terzi di aver ottemperato ad obblighi di legge in materia di sicurezza delle informazioni.
A questo proposito, si cita l’esempio notevole del Codice sulla Privacy (D.Lgs. n. 196/2003 - Codice in materia di protezione dei dati personali), che in presenza di un sistema di certificazione ISO 27000, ne diventa parte integrante.
I VANTAGGI DELLA CERTIFICAZIONE DI SICUREZZA:
In assenza di obblighi di legge, il processo di certificazione volontaria della sicurezza delle informazioni può essere iniziato da diversi soggetti, ognuno dei quali potrebbe avere interessi particolari e diversi ma con il fine primario di garantire a terzi (clienti, fornitori, partners, Pubblica Amministrazione, dipendenti, ecc.) il controllo dei vari fattori legati alla tutela delle informazioni, per quanto riguarda gli aspetti tecnologici, operativi, procedurali, umani, ambientali e consentire nel contempo di valorizzare e proteggere gli investimenti aziendali intrapresi.
Infatti la certificazione secondo la norma ISO 27000 consente di:
a) rafforzare la sicurezza dei sistemi informativi e la fiducia dei propri partner commerciali
b) valorizzare gli investimenti e rafforzare l’immagine aziendale
c) dare un segnale forte verso un mercato sempre più sensibile alla problematica sicurezza
d) ottenere fattori di vitalità per il sistema di gestione, migliorandone efficienza/efficacia e rispondenza ai requisiti legali e contrattuali
e) influenzare positivamente il prestigio aziendale, l'immagine esterna fino ad una possibile incidenza sulla valutazione patrimoniale
f) ridurre gli incidenti che comportano responsabilità legali e contrattuali
g) migliorare le relazioni con la Pubblica Amministrazione
h) assicurare la protezione di segreti commerciali e del know how aziendale
i) continuo miglioramento del livello di controllo e di sicurezza delle informazioni.
Lo standard ISO 27001:2005 è una norma internazionale che fornisce i requisiti di un Sistema di Gestione della Sicurezza nelle tecnologie dell’informazione (Information Security Management System – ISMS).
Lo standard è stato creato e pubblicato nell’ottobre 2005 a fini certificativi, in modo da costituire, insieme alla guida ISO/IEC 17799:2005, un sistema completo per garantire la gestione della sicurezza nella tecnologia dell’informazione e, con la sua pubblicazione sostituisce la norma inglese BS 7799- Information Security Management System ISMS, che era la principale norma di riferimento per l’applicazione di un Sistema di Gestione per la sicurezza delle informazioni
Poiché oggi tutte le informazioni nelle aziende sono custodite su supporti informatici, ogni organizzazione deve essere in grado di garantire la sicurezza dei propri dati , tenendo presente che oggi viviamo in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento.
L’obiettivo del nuovo standard ISO 27001:2005 è proprio quello di proteggere i dati e le informazioni da minacce di ogni tipo, al fine di assicurarne l’integrità, la riservatezza e la disponibilità, e fornire i requisiti per adottare un adeguato sistema di gestione della sicurezza delle informazioni (ISMS) finalizzato ad una corretta gestione dei dati sensibili dell’azienda.
La norma è applicabile a imprese operanti nella gran parte dei settori industriali e commerciali.
L’impostazione dello standard ISO/IEC 27001 è coerente con quella del Sistema di Gestione Qualità ISO 9001:2008 ed il risk management, basandosi sull’approccio dei processi, strutturato in politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, modello PDCA, utilizzo di procedure e strumenti come audit interni, non conformità, azioni correttive e preventive, sorveglianza, sempre nell’ottica del miglioramento continuo.
Con le norme della serie 27000 si intende nei prossimi anni, normare tutto il settore della sicurezza informatica, della gestione dei rischi, delle problematiche di metrica e misurazione, soprattutto dell’efficacia dei sistemi di sicurezza implementati, delle metodologie di attuazione.