ISO/IEC 27001: dalle informazioni da proteggere al percorso di lavoro

Per quali organizzazioni

È rilevante per aziende che gestiscono dati di clienti, proprietà intellettuale, servizi digitali, informazioni riservate o rapporti di fornitura soggetti a requisiti di sicurezza. PMI tecnologiche, studi professionali, software house, servizi gestiti, manifattura e fornitori B2B possono applicarla in modo proporzionato al perimetro e alle conseguenze di un incidente.

Come iniziare

La prima applicazione parte da ciò che l’azienda deve proteggere e dai servizi inclusi nel perimetro, non da una lista di controlli da spuntare. Si valutano impatti e scenari, si definisce il trattamento del rischio, si individuano i controlli necessari e si pianificano prove ed evidenze prima dell’audit.

Su cosa si lavora

• Contesto, perimetro dell’ISMS, inventario delle informazioni e valutazione del rischio.
• Trattamento dei rischi, controlli selezionati e Dichiarazione di Applicabilità.
• Gestione degli accessi, fornitori, incidenti, continuità e competenze, secondo i rischi pertinenti.
• Misurazione, audit interni, riesame e miglioramento.

Il supporto consulenziale

• Definizione del perimetro e analisi dei processi, asset informativi, dipendenze e fornitori.
• Facilitazione della valutazione e del trattamento dei rischi e della selezione dei controlli.
• Organizzazione di responsabilità, evidenze, sensibilizzazione e verifiche interne.
• Preparazione all’audit con l’organismo di certificazione; gli aspetti tecnici specialistici restano assegnati a competenze adeguate.

Dopo la prima applicazione

Un ISMS certificato richiede aggiornamento dei rischi quando cambiano tecnologie, fornitori, servizi o minacce, oltre a verifiche su incidenti, accessi e controlli. Il mantenimento include audit interni, riesame e azioni di miglioramento; sorveglianza e rinnovo sono condotti dall’organismo indipendente secondo il ciclo di certificazione.