ISO/IEC 27001
Le informazioni custodite con mezzi informatici rappresentano ormai il 60% del capitale intellettuale aziendale. Sono pertanto un patrimonio aziendale la cui gestione diventa strategica per la tutela e lo sviluppo aziendale. Si tratta di garantire:
- Riservatezza: proteggere le informazioni chiave da accessi non autorizzati;
- Integrità: salvaguardare l’accuratezza e la completezza delle informazioni;
- Accessibilità: assicurarsi che i dati e le informazioni siano accessibili quando richiesto
LA NORMA ISO/IEC 27001
Con la serie 27000 (altre norme seguiranno alla 27001) si intende, nei prossimi anni, normare tutto il settore della sicurezza delle informazioni, della gestione dei rischi, delle problematiche di metrica e misurazione, soprattutto dell’efficacia dei sistemi di sicurezza implementati, delle metodologie di attuazione.
La serie ISO 27000 è così prevista:
- ISO/IEC 27000: Principles and vocabulary (in progetto)
- ISO/IEC 27003: ISMS Implementation guidance (in via di sviluppo)
- ISO/IEC 27005: ISMS Risk management (in via di sviluppo)
- ISO/IEC 27001: Information security management system – Requirements (pubblicata ottobre 2005)
- ISO/IEC 27002: Linea Guida (sostituirà la ISO/IEC 17799:2005 parte 1, entro la primavera 2007)
- ISO/IEC 27004: Information security management metrics and measurement (in via di sviluppo)
IL RUOLO DI M&IT CONSULTING
Il programma di consulenza M&IT Consulting è caratterizzato da forte pragmatismo, orientamento ai risultati ed utilizzo diffuso di tecnologie e supporti informatici tesi a snellire e rendere più efficaci le attività rispetto agli approcci tradizionali.
Il programma di consulenza per lo sviluppo del Sistema per la Gestione della Sicurezza delle Informazioni, si sviluppa secondo le seguenti fasi:
- La prima fase del progetto è costituita dall’Analisi Preliminare (chek-up gratuito presso l’azienda), attraverso la quale la M&IT Consulting stima il gap dei processi dell’Organizzazione dalla conformità necessaria alla certificazione e allo stesso tempo consente all’azienda di valutare la professionalità dei consulenti M&IT.
Il rapporto di analisi preliminare consente di elaborare il progetto su misura per l’azienda dettagliando l’investimento necessario in termini economici, di tempo e di risorse.
- La seconda fase, invece, prevede le seguenti attività:
L’impostazione dello standard ISO 27001 è coerente ed integrabile con quella del Sistema di Gestione per la Qualità ISO 9001 e il Risk Management: approccio per processi, politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, modello PDCA (PLAN-DO-CHECK-ACT), utilizzo di procedure e di strumenti come audit interni, non conformità, azioni correttive e preventive, miglioramento continuo.