UNI ISO/IEC 27001:2006
COSA E’
Lo Standard UNI CEI ISO/IEC 27001:2006 è una norma internazionale che definisce i requisiti per impostare e gestire un Sistema di Gestione della Sicurezza delle Informazioni (SGSI o ISMS dall'inglese Information Security Management System), ed include aspetti relativi alla sicurezza logica, fisica ed organizzativa. Dal momento che l'informazione è un bene che aggiunge valore all'impresa, e che ormai la maggior parte delle informazioni sono custodite su supporti informatici, ogni organizzazione deve essere in grado di garantire la sicurezza dei propri dati, in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento. L'obiettivo del nuovo standard UNI CEI ISO/IEC 27001:2006 è proprio quello di proteggere i dati e le informazioni da minacce di ogni tipo, al fine di assicurarne l'integrità, la riservatezza e la disponibilità, e fornire i requisiti per adottare un adeguato sistema di gestione della sicurezza delle informazioni (SGSI) finalizzato ad una corretta gestione dei dati sensibili dell'azienda. La norma è applicabile a tutte le imprese private o pubbliche in quanto prescinde da uno specifico settore di business o dall'organizzazione dell'azienda. La norma specifica i requisiti per impostare, mettere in opera, utilizzare, monitorare, rivedere, manutenere e migliorare un sistema documentato all’interno di un contesto di rischi legati alle attività centrali dell’organizzazione. Dettaglia inoltre i requisiti per i controlli di sicurezza personalizzati in base alle necessità di una singola organizzazione o di una sua parte. Il sistema è progettato per garantire la selezione di controlli di sicurezza adeguati e proporzionati.
A CHI SI RIVOLGE
La norma è applicabile a imprese operanti nella gran parte dei settori commerciali e industriali, come finanza e assicurazioni, telecomunicazioni, servizi, trasporti, settori governativi. L'impostazione dello standard UNI CEI ISO/IEC 27001:2006 è coerente con quella del Sistema di Gestione per la Qualità ISO 9001:2008 ed il Risk management, basandosi sull'approccio per processi, strutturato in politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, modello PDCA, utilizzo di procedure e di strumenti come audit interni, non conformità, azioni correttive e preventive, sorveglianza, nell'ottica del miglioramento continuo. La gestione integrata consente di integrarli in modo trasparente e di ottenere un ottimo rapporto prezzo-prestazioni grazie alla condivisione di numerosi principi.
I VANTAGGI
La certificazione secondo la Standard UNI CEI ISO/IEC 27001:2006 favorisce:
- un sistema per la gestione del rischio e la protezione delle informazioni
- un controllo degli asset ICT
- la selezione di controlli di sicurezza adeguati e proporzionati alla singola organizzazione
- un vantaggio competitivo soddisfacendo i requisiti contrattuali e dimostrando ai clienti la massima importanza attribuita alla sicurezza delle loro informazioni
- l’ottimizzazione dei processi interni dell’organizzazione
L’ITER DI CERTIFICAZIONE
La certificazione si ottiene attuando le seguenti fasi:
- L’organizzazione decide di attuare una Politica delle Informazioni
- Viene introdotto il Sistema di Gestione della Sicurezza delle Informazioni
- L’organizzazione dichiara come vuole gestire il proprio Sistema di Gestione
- Si verifica la conformità allo Standard UNI CEI ISO/IEC 27001:2006
- Si richiede formalmente la certificazione del Sistema di Gestione all’Ente di Certificazione
- L’Ente attua la verifica ed emette un certificato di conformità alla normativa di riferimento