Gestione della sicurezza delle informazioni (ISO/IEC 27001) — certificazione

La norma ISO/IEC 27001 definisce i requisiti del sistema di gestione della sicurezza delle informazioni (ISMS) per proteggere la riservatezza, l'integrità e la disponibilità delle informazioni. È basato sul rischio: l'organizzazione valuta le proprie risorse e minacce e documenta quali controlli dell'Allegato A applicherà, insieme alla motivazione, in una Dichiarazione di Applicabilità (SoA). La versione attuale è ISO/IEC 27001:2022 e l'Allegato A contiene 93 controlli suddivisi in quattro temi.

• Fornitori di software, SaaS e servizi cloud
• Organizzazioni finanziarie, sanitarie ed e-commerce che elaborano i dati dei clienti
• Fornitori tenuti a rispondere ai questionari di sicurezza dei clienti aziendali (valutazione del fornitore)
• Organizzazioni che forniscono infrastrutture critiche e servizi pubblici
• I titolari del trattamento dei dati sono tenuti a dimostrare le proprie misure tecniche e organizzative ai sensi del KVKK/GDPR

Generalmente non obbligatorio; ci sono eccezioni settoriali. Nella pratica, il fattore principale è di natura contrattuale: le grandi imprese acquirenti richiedono ai propri fornitori un certificato ISO/IEC 27001. KVKK e GDPR non impongono un obbligo di certificazione ma richiedono misure tecniche e organizzative adeguate; il certificato viene utilizzato come prova di tali misure.

• Clausole 4-10 — Requisiti ISMS: contesto, leadership, pianificazione, supporto, funzionamento, valutazione delle prestazioni, miglioramento
• Il processo di valutazione e trattamento del rischio; la Dichiarazione di Applicabilità (SoA)
• Allegato A/Tema 1 — Controlli organizzativi (37 controlli): politiche, ruoli, gestione degli asset, rapporti con i fornitori, gestione degli incidenti, continuità, conformità
• Allegato A/Tema 2 — Controlli sulle persone (8 controlli): screening, condizioni di lavoro, sensibilizzazione e formazione, processo disciplinare, lavoro a distanza
• Allegato A/Tema 3 — Controlli fisici (14 controlli): aree sicure, controllo degli ingressi, sicurezza delle apparecchiature, banco di sgombero
• Allegato A/Tema 4 — Controlli tecnologici (34 controlli): sicurezza degli endpoint, accesso privilegiato, crittografia, registrazione, gestione delle vulnerabilità, sicurezza della rete, sviluppo sicuro, prevenzione della fuga di dati

1. 1DomandaVengono determinati il ​​campo di attività dell'organizzazione, l'organico, il numero di siti e i confini dell'ambito. Il numero di giorni di audit viene calcolato da queste informazioni.
2. 2Revisione dei documenti (fase 1)Vengono esaminati la documentazione del sistema di gestione, la definizione dell'ambito, la valutazione del rischio e le registrazioni degli audit interni/riesame della gestione; viene valutata la preparazione per l’audit in loco.
3. 3Audit di certificazione (Fase 2)Si verifica in loco che il sistema sia implementato ed efficace. I risultati sono classificati come non conformità maggiore/minore o osservazione.
4. 4Chiusura delle non conformitàL'organizzazione presenta un'analisi delle cause profonde e un piano di azioni correttive. Il certificato non viene emesso finché le non conformità maggiori non vengono risolte.
5. 5Emissione del CertificatoIl certificato viene rilasciato dopo la revisione da parte di un decisore indipendente. Il gruppo di audit non può prendere la decisione sulla certificazione.
6. 6Audit di sorveglianzaDurante il periodo di validità del certificato viene effettuato un audit di sorveglianza almeno una volta all'anno. La prima sorveglianza non potrà superare i 12 mesi dall’ultimo giorno della Fase 2.
7. 7RicertificazioneAl termine dei tre anni l'intero sistema viene sottoposto nuovamente ad audit; deve essere completato prima della scadenza del certificato.

I certificati del sistema di gestione hanno validità triennale. Durante questo periodo viene effettuato almeno un audit di sorveglianza all'anno; il certificato è sospeso se non viene effettuata la sorveglianza. Alla fine del terzo anno viene completato un audit di ricertificazione.

• Registro del commercio e licenza d'esercizio
• L'organigramma e l'organico dell'organizzazione
• L'elenco dei siti/filiali nell'ambito
• Il manuale del sistema di gestione o la documentazione del processo
• Registrazioni di audit interno e riesame della direzione
• Autorizzazioni legali, licenze e documenti operativi, se presenti

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

• L'organico nell'ambito (determina direttamente il numero di giorni di audit)
• Il numero di siti e filiali; se si applica il campionamento multisito
• Il livello di rischio dell'attività e la complessità del processo
• Il numero di standard da certificare — un audit integrato riduce il numero di giorni
• Il ciclo triennale: certificazione + due audit di sorveglianza

La certificazione del sistema di gestione viene effettuata nell'ambito della norma ISO/IEC 17021-1. L'organismo di certificazione è accreditato da un organismo di accreditamento parte dell'accordo multilaterale di riconoscimento IAF (IAF MLA); Questo accordo stabilisce una catena di riconoscimento internazionale che garantisce che un documento rilasciato in un paese sia accettato in altri paesi. EUROLAB ha ottenuto l'accreditamento riconosciuto a livello internazionale da parte degli organismi di accreditamento membri IAF nell'ambito della norma ISO / IEC 17021-1.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

• ISO/IEC 27017Sicurezza nel cloud
• ISO/IEC 27018Dati personali nel cloud
• ISO/IEC 27701Gestione delle informazioni sulla privacy
• ISO/IEC 20000-1Gestione dei servizi informatici
• ISO 22301Continuità aziendale
• ISO/IEC 42001Sistema di gestione dell'intelligenza artificiale
• ISO 9001Sistema di gestione della qualità
• ISO 10002Soddisfazione del cliente e gestione dei reclami