Sicurezza delle Informazioni

ISO/IEC 27001 – Sicurezza delle Informazioni

Le informazioni custodite con mezzi informatici rappresentano ormai il 60% del capitale intellettuale aziendale. Sono pertanto un patrimonio aziendale la cui gestione diventa strategica per la tutela e lo sviluppo aziendale. Si tratta di garantire:

  • Riservatezza: proteggere le informazioni chiave da accessi non autorizzati;
  • Integrità: salvaguardare l’accuratezza e la completezza delle informazioni;
  • Accessibilità: assicurarsi che i dati e le informazioni siano accessibili quando richiesto

LA SERIE DELLE NORME ISO/IEC 27000

Con la serie 27000 si intende normare tutto il settore della sicurezza delle informazioni, della gestione dei rischi, delle problematiche di metrica e misurazione, soprattutto dell’efficacia dei sistemi di sicurezza implementati, delle metodologie di attuazione.

La serie ISO 27000 è così articolata:

  • ISO/IEC 27000: Principles and vocabulary
  • ISO/IEC 27001: Information security management system – Requirements
  • ISO/IEC 27002: Guidelines
  • ISO/IEC 27003: ISMS Implementation guidance
  • ISO/IEC 27004: Information security management metrics and measurement
  • ISO/IEC 27005: ISMS Risk management

IL RUOLO DI M&IT CONSULTING

Il programma di consulenza M&IT Consulting è caratterizzato da forte pragmatismo, orientamento ai risultati ed utilizzo diffuso di tecnologie e supporti informatici tesi a snellire e rendere più efficaci le attività rispetto agli approcci tradizionali.

Il programma di consulenza per lo sviluppo del Sistema per la Gestione della Sicurezza delle Informazioni, si sviluppa secondo le seguenti fasi:

  • La prima fase del progetto è costituita dall’Analisi Preliminare (chek-up gratuito presso l’azienda), attraverso la quale la M&IT Consulting stima il gap dei processi dell’Organizzazione dalla conformità necessaria alla certificazione e allo stesso tempo consente all’azienda di valutare la professionalità dei consulenti M&IT.

Il rapporto di analisi preliminare consente di elaborare il progetto su misura per l’azienda dettagliando l’investimento necessario in termini economici, di tempo e di risorse.

  • La seconda fase, invece, prevede le seguenti attività:

Sicurezza delle Informazioni

L’impostazione dello standard ISO 27001 è coerente ed integrabile con quella del Sistema di Gestione per la Qualità ISO 9001 e il Risk Management: approccio per processi, politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, modello PDCA (PLAN-DO-CHECK-ACT), utilizzo di procedure e di strumenti come audit interni, non conformità, azioni correttive e preventive, miglioramento continuo.

D. LGS. 196/03 – TESTO UNICO PRIVACY

In Italia è in vigore il Codice in materia di protezione dei dati personali che unifica tutte le precedenti disposizioni in materia (recependo anche la direttiva europea 2002/58 sulle telecomunicazioni).

IL RUOLO DI M&IT CONSULTING

  • CENSIMENTO E DISCRIMINAZIONE DEI DATI

Prevede la mappatura dei dati presenti (e quindi trattati) in azienda, classificandoli in comuni, comuni soggetti a forte rischio e sensibili. Per ogni famiglia di dati censita si provvederà alla registrazione degli strumenti utilizzati per il trattamento. In questo ambito sarà anche verificata la presenza di eventuali dati obsoleti ed inutilizzati, dati che non possono essere detenuti dall’azienda oltre un certo arco temporale.

  • EVENTUALE NOTIFICA AL GARANTE

Qualora si rientri all’interno delle categorie per le quali è prevista la notifica all’AUTORITA’ GARANTE e non si possa ricorrere all’esonero in accordo con la Delibera dell’Autorità Garante emessa in data 7 Aprile 2004, si provvederà all’ottenimento della firma elettronica ed allo svolgimento della procedura di notifica elettronica.

  • ANALISI STRUTTURA DEI RISCHI

Prevede l’individuazione del personale interno (ed eventualmente degli incaricati esterni) che provvede al trattamento dei dati valutando i possibili danni (ed il livello di probabilità degli eventi dannosi), analizzando le misure di sicurezza già attivate ed individuando quelle da attivare.

  • DEFINIZIONE ORGANIGRAMMA E REDAZIONE DELLE NOMINE

Stesura della struttura organizzativa funzionale al trattamento dei dati ed individuazione delle singole responsabilità. Sarà, inoltre, predisposta la seguente documentazione: consenso informato per il trattamento, lettera di nomina dei responsabili, lettera di incarico.

  • REDAZIONE DEL “MANUALE OPERATIVO DELLA PRIVACY” (attività facoltativa)

La situazione aziendale e le procedure organizzative a garanzia della sicurezza nei trattamenti saranno riassunte nel “MANUALE OPERATIVO DELLA PRIVACY”.

  • REDAZIONE DELLE PROCEDURE GESTIONALI (attività facoltativa)

Le buone prassi e le regole da seguire per mantenere conforme l’organizzazione alla normativa sulla privacy saranno riassunte in procedure gestionali che, allo stesso tempo, daranno risposta alla necessità di fornire informazioni scritte e dettagliate agli incaricati del trattamento dei dati personali. Sarà inoltre preparato un REGOLAMENTO AZIENDALE PER L’UTILIZZO DEL SISTEMA INFORMATICO, rivolto a tutto il personale aziendale.

  • INFORMAZIONE AL PERSONALE INCARICATO

Tutto il personale individuato come incaricato al trattamento di dati personali sarà coinvolto in un momento di informazione allo scopo di creare i presupposti per una corretta gestione dei dati di competenza. Tale momento, a seconda della numerosità delle persone, potrà svolgersi in forma di riunione (in tal caso si prevede la costituzione di gruppi omogenei e lo svolgimento di un incontro di 1 ora circa).

  • FORMAZIONE DEL RESPONSABILE PRIVACY

Il responsabile delle Privacy riceverà, nel corso di tutto il progetto, una formazione on the job attraverso il coinvolgimento diretto in tutte le attività di valutazione e di stesura della documentazione.

Modulo di contatto
Dati personali
Contatti

(* dati obbligatori)

M&IT Consulting Srl
Sede di Bologna: via R. Longhi, 14/a - 40128 Bologna - tel. 051 6313773 - fax 051 4154298
Sede di Monza: via Borgazzi, 27 - 20900 Monza - tel. 039 9718531
Iscritta al R.I. di Bologna | C.F. 91197950370 | P.I. 02086101207 | Capitale sociale € 100.000,00 i.v.