Certificazione ISO 27001

Che cos’è la ISO/IEC 27001?

ISO/IEC 27001 è uno standard internazionale che definisce come le organizzazioni devono gestire e mantenere un sistema di gestione della sicurezza delle informazioni per affrontare al meglio i rischi di sicurezza emergenti.

ISO/IEC 27001 descrive inoltre i requisiti per valutare e trattare i rischi legati alle informazioni che riguardano una specifica azienda o organizzazione.

Perché la certificazione ISO 27001 è importante?

La certificazione di un ISMS secondo lo standard ISO/IEC 27001 è un segnale importante della qualità dell’ISMS di un’azienda e delle sue pratiche di risk management.

Inoltre, la certificazione è un prerequisito per molti investitori e partner, che la leggono come una garanzia di collaborazione sicura con l’azienda. In molte parti del mondo è persino richiesta dalla legge.

La certificazione aiuta le imprese a impostare e gestire un ISMS in modo strutturato e conforme agli standard internazionali, definiti da una serie di controlli.

Ottenere la certificazione offre all’azienda i seguenti vantaggi:

• Identifica i rischi
• Riduce i rischi di responsabilità
• Protegge i dati
• Offre tranquillità ai dipendenti
• Aumenta la fiducia nell’azienda e nel suo Governance, Risk & Compliance Management (GRC)
• Aumenta la competitività

Chi ha bisogno della certificazione ISO 27001?

Qualsiasi azienda può beneficiare della ISO 27001, grazie ai vantaggi in termini di riduzione dei rischi e costruzione della fiducia che offre.

Tuttavia, alcune realtà sono tenute per legge a ottenere una certificazione formale. Ad esempio, in Germania tutte le aziende identificate come critical infrastructure (tedesco: KRITIS) devono completare la certificazione. Negli Stati Uniti non esistono leggi che vincolino le aziende di uno specifico settore alla ISO 27001. È importante verificare le normative locali per capire se la tua organizzazione è obbligata per legge a ottenere la certificazione ISO/IEC 27001.

ISO 27001 compliance vs. certificazione ISO 27001

Qualsiasi azienda che intraprenda passi verso l’implementazione della ISO 27001 sta professionalizzando il proprio approccio alla sicurezza delle informazioni e al risk management; ciò non significa, però, che otterrà automaticamente tutti i benefici della certificazione ISO.

La ISO 27001 compliance indica che l’azienda si è valutata rispetto al rispetto di tutti i criteri previsti dallo standard ISO 27001.

La ISO 27001 certification, invece, ha un peso maggiore: significa che un certification body terzo ha condotto l’audit sull’implementazione e la gestione dell’ISMS e dei controlli associati in azienda. Questo genera più fiducia, perché è un soggetto esterno a dichiarare la completezza del sistema per conto dell’organizzazione.

Quali sono i requisiti per la certificazione ISO 27001 dell’ISMS?

In sostanza, è necessario che l’azienda mappi nel proprio ISMS tutti i temi rilevanti per la sicurezza, le responsabilità, le informazioni, i piani di emergenza e i processi, definendo in modo chiaro chi ne è responsabile.

La manutenzione e l’aggiornamento dell’ISMS sono inoltre obbligatori, così da reagire ai cambiamenti in azienda e alla conseguente evoluzione del panorama dei rischi.

Prima di intraprendere il percorso di certificazione, le aziende devono aver predisposto quanto segue.

Organizzazione

• Organigramma dell’azienda
• Definizione di responsabilità e stakeholder
• Giustificazione per l’applicazione (Statement of Applicability)
• Analisi della classificazione dell’ISMS all’interno dell’azienda
• Analisi e definizione dei requisiti dei relativi stakeholder
• Panoramica di tutti i requisiti legali e regolamentari relativi alla sicurezza delle informazioni in azienda e del loro impatto sull’ISMS

Leadership

• Documentazione degli obiettivi e dei requisiti di sicurezza delle informazioni
• Definizione della strategia di sicurezza delle informazioni
• Definizione del management dell’ISMS e delle risorse necessarie
• Implementazione di una policy di sicurezza delle informazioni

Pianificazione

• Processo documentato di valutazione del rischio
• Documentazione dettagliata del processo di mitigazione del rischio
• Risultati delle valutazioni e delle analisi dei rischi
• Risultati delle attività di mitigazione del rischio
• Definizione di obiettivi di sicurezza delle informazioni per tutti gli stakeholder

Supporto

• Piano di comunicazione, interno ed esterno, sui temi di sicurezza delle informazioni
• Infrastruttura e persone disponibili per implementare e gestire l’ISMS
• Strategia per la gestione delle informazioni documentate
• Panoramica del budget e delle risorse necessarie
• Descrizione dettagliata di tutti i ruoli con evidenza delle competenze
• Piano di formazione documentato per l’ISMS
• Documentazione della formazione ed evidenze della formazione dei dipendenti

Operazione

• Evidenze della performance e della corretta esecuzione dei processi ISMS
• Programmi di audit documentati e relativi risultati
• Piano di incident response esistente, comprensivo di liste di contatto e piani di escalation
• Documentazione delle KPI e dei relativi processi di raccolta
• Regole di condotta, processi e relative descrizioni
• Istruzioni operative per la raccolta delle evidenze in caso di incidenti di sicurezza delle informazioni
• Evidenze relative alla gestione e al trattamento delle deviazioni in ambito sicurezza delle informazioni
• Risultati delle valutazioni del rischio e delle attività di mitigazione

Il processo di certificazione ISO 27001

Il processo di certificazione è suddiviso in otto fasi. È quindi necessario pianificare un tempo adeguato alla preparazione e l’implementazione.

1. Preparazione

   Verifica della completezza dei documenti e degli elementi descritti sopra, nonché della documentazione dell’ISMS e della conformità agli standard richiesti. Se necessario, è utile coinvolgere fin da subito l’auditor, che può fornire suggerimenti e raccomandazioni all’azienda.

2. Audit

   L’audit include la revisione di tutti i documenti, certificati e processi dell’ISMS, seguita dall’analisi della loro efficacia. Può anche prevedere colloqui diretti con i dipendenti per valutare la loro comprensione dell’ISMS e il loro contributo.

3. Assessment e report

   L’auditor elabora una valutazione dei risultati dell’audit e un report finale.

4. Pianificazione

   Nella fase 4 vengono pianificate le attività che derivano dall’audit.

5. Implementazione

   In seguito vengono implementate e documentate le misure risultanti dall’audit.

6. Certificazione

   Nella sesta fase viene rilasciata la certificazione dell’ISMS, con una durata massima di 3 anni.

7. Audit annuale

   Dopo il rilascio, deve essere effettuata e documentata ogni anno una verifica interna di tutte le misure di sicurezza delle informazioni adottate nell’ISMS.

8. Estensione del certificato dopo 3 anni

   Per il rinnovo del certificato, le sette fasi precedenti vengono semplicemente ripetute.

Il costo della certificazione ISO 27001

È difficile fornire una stima generica dei costi di certificazione. In linea di massima dipendono dalle dimensioni dell’azienda e dal tempo necessario per esaminare tutte le informazioni e i processi rilevanti per la sicurezza che devono essere mappati nell’ISMS.

L’intervallo di costo per una certificazione ISO 27001 va indicativamente da 6.000 a 30.000 USD. Inoltre, vanno considerati anche i costi delle attività che vengono identificate durante la fase di assessment and report.

Costi successivi

Per gli audit successivi, nei due anni dopo la certificazione, sorgono ulteriori costi che devono essere presi in considerazione. Anche il rinnovo del certificato, necessario dopo il terzo anno, deve rientrare nella pianificazione del budget.

Software ISMS conforme alla ISO/IEC 27001

Spesso un ISMS viene percepito come difficile da gestire, perché consiste in un insieme di documenti o in un gran numero di fonti diverse.

Una gestione centralizzata spesso non è possibile. Una corretta gestione della sicurezza delle informazioni e gli audit necessari possono essere garantiti solo con grande sforzo.

Il software giusto significa ridurre i rischi e risparmiare

Con il software giusto, invece, le aziende possono documentare tutti gli asset, le evidenze e le responsabilità. Possono monitorare lo stato dei controlli e prepararsi rapidamente agli audit. I processi ISMS aiutano a implementare il ciclo PDCA (Plan-Do-Check-Act). Inoltre, le funzionalità di gestione degli accessi e di audit security offerte dai moderni software ISMS garantiscono ulteriori vantaggi significativi nella gestione di un ISMS.

Impara a implementare facilmente i processi ISMS con il supporto dei nostri esperti.

Contatta i nostri Esperti