Guida pratica
Guida alla ISO/IEC 27001: Sicurezza delle informazioni
Sistema di gestione della sicurezza delle informazioni: analisi del rischio, controlli, accessi, backup, incidenti.
A chi serve
Software house, servizi gestiti, studi professionali e aziende che trattano dati di clienti o sono soggette a NIS2.
- Requisito ricorrente nei contratti con grandi clienti e pubbliche amministrazioni.
- Copre gran parte delle misure minime richieste da NIS2 e GDPR.
- Riduce il rischio di fermo operativo e di sanzioni dopo un incidente.
In sintesi
- Analisi del rischio e controlli Allegato A
- Politiche accessi, backup, log
- Base solida per NIS2 e GDPR
Le tappe del percorso ISO/IEC 27001
- 01
Analisi iniziale
Confronto tra situazione attuale e requisiti della norma, con elenco delle lacune da colmare.
- 02
Contesto e rischi
Definizione del campo di applicazione, delle parti interessate e dei rischi/opportunità.
- 03
Costruzione del sistema
Procedure essenziali, ruoli, moduli e registrazioni proporzionati all'azienda.
- 04
Formazione
Il personale coinvolto viene formato su responsabilità e nuove modalità operative.
- 05
Audit interno e riesame
Verifica interna del sistema e riesame della direzione prima dell'audit esterno.
- 06
Audit di certificazione
L'organismo accreditato verifica il sistema e, se conforme, rilascia il certificato.
Documenti e strumenti da preparare
- Perimetro, analisi del rischio e piano di trattamento
- Dichiarazione di applicabilità sui controlli dell'Allegato A
- Politiche accessi, backup, log, gestione incidenti
- Audit interno e simulazione dell'audit dell'ente
Errori comuni da evitare
- Comprare un sistema documentale "standard" non adattato ai processi reali.
- Scegliere un organismo senza verificarne l'accreditamento nel registro pubblico.
- Coinvolgere solo l'ufficio qualità e non la direzione e i responsabili operativi.
- Trascurare audit interni e riesame: sono requisiti, non formalità.
Approfondisci: enti di certificazione e accreditamenti · verifica un certificato
Domande frequenti
Da dove si parte per adottare la ISO/IEC 27001?
Dall'analisi iniziale: si confronta l'organizzazione attuale con i requisiti della ISO/IEC 27001 (sicurezza delle informazioni) e si individua cosa esiste già, cosa va formalizzato e cosa va costruito.
Chi rilascia il certificato ISO/IEC 27001?
Un organismo di certificazione accreditato da un ente di accreditamento. Il consulente aiuta a costruire il sistema, ma non rilascia il certificato: le due figure devono restare indipendenti.
Come si verifica che un certificato ISO/IEC 27001 sia valido?
Consultando il registro pubblico dell'organismo di certificazione o dell'ente di accreditamento, con numero di certificato, ragione sociale e campo di applicazione.
La ISO/IEC 27001 si può integrare con altre norme?
Sì. Le norme ISO di sistema di gestione condividono la stessa struttura di alto livello, quindi documenti, audit interni e riesame della direzione possono essere gestiti in un unico sistema integrato.