L’informazione è, oggi, uno degli strumenti fondamentali per concorrere allo sviluppo di un’impresa ed attualmente all’interno della stessa impresa le informazioni custodite con l’utilizzo di mezzi informatici rappresentano oltre il 70% dell’intero patrimonio aziendale dell’informazione, per cui è ormai diventato strategico pensare ai sistemi necessari per la sua tutela e la sua difesa.

I crimini e gli attacchi informatici causati dalla violazione dei sistemi di sicurezza sono infatti in costante aumento. Uno studio rivela inoltre che in media il 36,8% degli attacchi provengono dall'interno dell'azienda, a dimostrazione delle carenze dei sistemi di sicurezza.

La sicurezza rappresenta dunque un fattore strutturale che si ripercuote su tutta l'organizzazione aziendale. Diventa, quindi, fondamentale, gestire in condizioni di sicurezza l'intero sistema delle informazioni aziendali, salvaguardandone la riservatezza, l'integrità e la disponibilità, per non incorrere in una perdita di vantaggi e, conseguentemente, nella perdita di competitività e nella riduzione delle quote di mercato.
Il sistema di gestione ISO 27001:2005 è uno standard ISO che fornisce, a livello internazionale, tutti i requisiti per gestire un sistema di sicurezza nelle tecnologie dell’informazione (Information Security Management System:ISMS).

Lo standard è stato pubblicato il 25 settembre 2013 e costituisce un sistema completo per garantire la gestione della sicurezza nella tecnologia dell'informazione.
L'informazione è un bene che aggiunge valore all'impresa.
La maggior parte delle informazioni sono ormai custodite su supporti informatici per cui ogni organizzazione deve essere in grado di garantire la sicurezza dei propri dati, in una realtà in cui i rischi informatici, dovuti alle continue violazioni dei sistemi di sicurezza, sono in continuo aumento.

L'obiettivo del nuovo sistema ISO 27001:2013 è proprio quello di proteggere i dati e le informazioni da minacce di ogni tipo, al fine di assicurarne l'integrità, la riservatezza e la disponibilità, e fornire i requisiti per adottare un adeguato sistema di gestione della sicurezza delle informazioni (ISMS) finalizzato ad una corretta gestione dei dati sensibili dell'azienda.
La norma è applicabile a imprese operanti nella gran parte dei settori commerciali e industriali, come finanza e assicurazioni, telecomunicazioni, servizi (con particolare riguardo alla sanità), trasporti, settori governativi.

L'impostazione dello standard ISO 27001:2013 è coerente con quella del Sistema di Gestione per la Qualità ISO 9001:2008 e con la gestione del rischio.
Cosa è la gestione del rischio?
È il processo attraverso il quale si individua e si valuta il rischio e successivamente si sviluppano le strategie per eliminarlo.

Tali strategie possono riepilogarsi in:

1. trasferire il rischio a terzi;
2. ridurre l’effetto negativo del rischio
3. evitare il rischio
4. accettare le conseguenze di un rischio.

 

Proteggere la Sicurezza in Azienda significa garantire:

• RISERVATEZZA: accessibilità alle informazioni solo da parte di chi dispone delle necessarie autorizzazioni

• INTEGRITA’: salvaguardia dell’accuratezza e della completezza dei dati e dei metodi di elaborazione (devono poterli modificare solo gli autorizzati)

• DISPONIBILITA’: garantire agli utenti autorizzati l’accesso alle informazioni, ai sistemi e ai servizi quando richiesto (accesso in tempo reale senza ritardo in caso di necessità)

Obiettivi della norma ISO 27001:

• Assicurare la continuità del business

• Minimizzare i danni in caso di incidente (la sicurezza al 100% non esiste)

• migliorare l’efficacia degli investimenti: l’analisi dei rischi può mettere in evidenza la redditività/rischio dei vari servizi o beni (asset) e permette, quindi, una razionalizzazione degli investimenti in azienda puntando sulle aree a maggiore redditività e cambiando strategie per quelle a più alto rischio economico (es: tipologia di contratti e relative penali)

Il Certificato ISO 27001:2005

• Ha validità 3 anni

• Prevede visite di controllo (sorveglianza)almeno annuali per conferma validità ma in caso di non conformità possono essere richieste con maggiore frequenza dall’ente certificatore

• In caso di non-conformità gravi può essere sospeso o revocato.

Torna su