Intro a ISO 27001: il Sistema di gestione della sicurezza dei dati e delle informazioni (SGSI).

Il contesto attuale e la ISO 27001: 

Ogni giorno di più, la tecnologia è al cuore dell’operatività e della crescita di qualsiasi tipologia di azienda, dalle realtà più piccole (come ad esempio le nuove startup), alle PMI, fino alle grandi aziende multinazionali.

Ognuna di queste realtà si trova a gestire una mole rilevante di informazioni che spesso possono essere sensibili (pensiamo ad elementi come le buste paga, l’anagrafica dei nostri dipendenti o anche qualsiasi elemento relativo alla nostra proprietà intellettuale).

Ma basti pensare che inoltre l’azienda X può avere accesso ad alcuni dati sensibili dell’azienda Y, rendendo l’azienda Y vulnerabile qualora l’azienda X fosse vittima di un attacco. Questo ci fa capire che la sicurezza dei dati spesso non si limita solo a noi ma bensì a tutto l’ecosistema della nostra azienda.

In questo contesto, la  certificazione ISO 27001, lo standard internazionale per la gestione della sicurezza delle informazioni, rappresenta una tra le modalità più complete e rinomate per costruire un sistema di protezione dei dati che garantisca la sicurezza necessaria in un epoca in cui le minacce informatiche hanno sempre maggiore rilevanza a livello globale (basta fare una semplice ricerca su google scrivendo “attacco informatico” per vedere ogni giorno il nome di diverse aziende vittime di attacchi).

Ma cos'è esattamente la ISO 27001 e come supporta le aziende a livello pratico?

Lo standard ISO-IEC 27001, più comunemente riferita semplicemente come ISO 27001, è stato elaborato dalla collaborazione tra l'Organizzazione Internazionale per la Standardizzazione (ISO) e la Commissione Elettrotecnica Internazionale (IEC). La ISO 27001 è stata creata con lo scopo di fornire una struttura chiara e delineata per la creazione (e la conseguente gestione) di un Sistema di Gestione della Sicurezza delle Informazioni (ISMS).

Ma cosa vuol dire questo a livello pratico? Semplice, che la ISO 27001 supporta le aziende che decidono di adeguarsi alla sua struttura, offrendo delle linee guida dettagliate e specifiche per gestire i rischi legati ai dati e alle informazioni. Lo scopo è quello di garantirne la riservatezza, l'integrità e la disponibilità, e renderli accessibili solo alle persone autorizzate, rendendo estremamente complesso (se non impossibile) l’accesso a questi da parte di tutti coloro che non sono autorizzati.

Un altro elemento che deve farci riflettere è che con l’evoluzione tecnologica e l’avvento dell’era dell’intelligenza artificiale (AI), le minacce informatiche che le aziende possono trovarsi a fronteggiare sono in continua evoluzione, rendendo quindi sempre più importante sapersi proteggere adeguatamente da quelli che sono i rischi che la rete pone di fronte alla nostra realtà.

Oltretutto, nel contesto attuale Europeo, la ISO 27001 sta svolgendo il ruolo di facilitatore e precursore del percorso di conformità normativa sempre più stringente che le nuove regolamentazioni e normative (pensiamo a GDPR, NIS2 e DORA) stanno portando a cascata su diverse tipologie di azienda, da quelle che ricadono direttamente all’interno di settori regolamentati, fino a quelle che magari collaborano anche in maniera marginale con realtà corporate.

Ma quali sono i punti concreti della ISO 27001?

La ISO 27001 non è una semplice definizione statica di “cosa deve essere fatto” al fine di garantire la sicurezza delle informazioni che risiedono all’interno della nostra realtà.
Questa infatti ci indica concretamente quali sono gli elementi ed i punti concreti per realizzare con successo un sistema di gestione della sicurezza delle informazioni.

All’interno della ISO 27001 ci sono alcuni pilastri specifici che svolgono il ruolo di fulcro all’interno del sistema. Concentriamoci sui 4 principali:

• Gestione dei rischi e della loro mitigazione: include l'individuazione delle potenziali minacce, la valutazione dell’impatto sulla struttura informatica della nostra azienda (e non solo) e la definizione di controlli che possano essere adeguati alla loro gestione.

• Controlli di sicurezza strutturati: comprende una serie di controlli (più di 90 nell’allegato A), che includono vari aspetti all’interno del compartimento tecnico, come il controllo degli accessi fino alla gestione degli incidenti. 

• Mappatura dei ruoli e dei compiti all'interno dell'azienda: coinvolge tutti i livelli gerarchici ed i dipendenti (non si limita solo al dipartimento IT - pensiamo agli attacchi che possono avvenire tramite la mail di un dipendente).

• Processo di miglioramento continuo (PDCA): Pianifica- Agisci - Verifica - Attua - il modello promuove un clima che ponga attenzione sul monitoraggio, sulla revisione e sull’aggiornamento effettuato in maniera costante all’interno dell’organizzazione.
  Questo perché come abbiamo già discusso, le minacce sono in continua evoluzione e noi stessi dobbiamo dotarci di un sistema che possa evolvere nel proteggerci da esse. 

Ricapitolando, perché la mia azienda dovrebbe certificarsi ISO 27001?

I motivi per cui l’azienda dovrebbe considerare di certificarsi ISO 27001 sono molteplici e dipendono dalla tipologia di azienda analizzata e dal contesto in cui questa opera.
Ma, generalizzando, alcuni di questi possono essere applicati a qualsiasi tipologia di azienda:

• Un maggiore livello di fiducia da parte dei nostri clienti e dei nostri partner: questo soprattutto all’interno di quelli che vengono definiti settori regolamentati o ad alto livello di rischio. Fanno ad esempio parte di questi settori quello delle infrastrutture, quello della salute e quello della tecnologia.

• Minimizzazione dei rischi di attacchi (con annesse violazioni) e dei relativi costi: che possono essere quelli legali, quelli di reputazione (ricordiamoci la ricerca su Google) o quelli operativi.

• Accesso a nuovi mercati e nuove opportunità commerciali: basti pensare che la presenza della Certificazione ISO 27001 è una richiesta sempre più diffusa all’interno dei requisiti per la partecipazione a gare pubbliche o per il processo di qualifica di fornitori da parte di medie e grandi imprese. Questo trend di qualifica è destinato solo a crescere all’interno del mercato globale ma soprattutto a livello europeo, con l’adozione di regolamentazioni come NIS2 e DORA. 

• Allineamento con regolamentazioni: la ISO 27001 è spesso il punto di partenza per conformarsi anche alle regolamentazioni europee come NIS2 e DORA.

Come possiamo ottenere la certificazione senza impazzire?   

In passato, la ISO 27001 poteva richiedere diversi mesi di lavoro ed una grande quantità di attività e documentazione da gestire.
Questo senza considerare che non sempre un’azienda ha a disposizione figure tecniche e competenti da poter dedicare alle attività necessarie per la sua implementazione. Oggi però la situazione è cambiata drasticamente, questo grazie anche all’evoluzione delle piattaforme tecnologiche e dell’approccio innovativo che queste possono apportare quando vengono applicate a questa tipologia di processi.

Un esempio concreto di declinazione di questa evoluzione è l’approccio adottato da noi di Complaion: combiniamo la nostra piattaforma che automatizza fino all’80% delle attività necessarie per l’ottenimento della certificazione con un ISO Lead auditor certificato che guida l’azienda fino a certificazione (chiaramente con un approccio vestito ad hoc sull’azienda).

Questo approccio si tramuta in un’esperienza di certificazione snella, rapida e soprattutto efficiente che, se confrontato con il classico consulente, ci permette di arrivare ad ottenimento del certificato più velocemente (settimane anziché mesi!) e riuscendo a dedicare meno ore e meno risorse nel processo, garantendo che le attività core della nostra azienda non vengano intaccate.

Il seguente grafico mostra nel dettaglio il processo adottato da Complaion:

Le fasi del processo saranno:

1. Onboarding e personalizzazione processo: il vostro ISO Lead Auditor dedicato, supportato dalla nostra piattaforma, analizzerà la vostra realtà e personalizzerà l'implementazione.

2. Raccolta evidenze e informazioni: il nostro Consulente supporterà l'azienda nel fornire le informazioni e le evidenze necessarie per il raggiungimento della Conformità.

3. Personalizzazione controlli e analisi rischi (interni e di terze parti): implementiamo ciò che serve, senza sobbarcare la realtà di controlli non necessari.

4. Realizzazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI): stendiamo le procedure personalizzate per la vostra realtà, per evitare di implementare requisiti non necessari.

5. Audit Interno: un nostro ISO Lead Auditor effettua l'Audit e produce i Report necessari.

6. Audit Esterno: nel giro di pochi giorni, verrà effettuato un Audit di Certificazione con l’ente di certificazione scelto, che poi rilascerà il certificato ISO 27001.