La famiglia di standard ISO 27000 funge da framework di gestione della sicurezza delle informazioni per le istituzioni di tutto il mondo. ISO 27001 è uno standard di sicurezza informatica che consiste nelle migliori pratiche e controlli che le organizzazioni possono utilizzare per implementare un sistema di gestione della sicurezza delle informazioni (ISMS) e la triade CIA (riservatezza, integrità e disponibilità) per proteggere i propri dati.
In questo blog, daremo un'occhiata a:
L'ISO 27001 è uno standard e un framework di sicurezza informatica che aiuta le organizzazioni a mettere in atto un ISMS. Si tratta di un approccio basato sul rischio e aiuta le organizzazioni a valutare la propria posizione di sicurezza.
La versione legacy della ISO 27001, BS 7799, originariamente scritta dal Dipartimento del Commercio e dell'Industria (DTI) del Regno Unito, è stata pubblicata dal British Standards Institution (BSI) nel 1995. Una parte della BS 7799 che si occupava delle procedure consigliate di gestione della sicurezza delle informazioni è stata rivista nel 1998. Nel 2000, questo è stato adottato dall'ISO come ISO/EC 17799 ed è stato definito Information Technology: Codice di condotta per la gestione della sicurezza delle informazioni. La seconda parte della BS 7799 con il titolo Information Security Management System rilasciata nel 1999 che è stata successivamente adottata nell'ambito della gestione e valutazione del rischio nella serie ISO 27000, denominata ISO 27001.
L'ultima versione della ISO 27001 è stata pubblicata nel 2013, con aggiornamenti minori implementati nel 2017.
È divisa in due parti principali.
Le restanti 18 sezioni dell'Allegato A sono:
L'ISO 27001 non è un obbligo di conformità. Come suggerisce la sua struttura, lo standard si concentra sui requisiti individuali di ciascuna organizzazione e riconosce che l'ISMS messo in atto deve concentrarsi su queste esigenze uniche e sui rischi per la sicurezza. Tuttavia, le organizzazioni che mirano a ottenere una certificazione ISO 27001 devono rispettare lo standard.
Un ISMS definisce l'approccio di un'organizzazione alla sicurezza delle informazioni e i controlli e le specifiche che ha in atto per garantire la sicurezza dei suoi dati. Avere un ISMS conforme a ISO 27001 aiuta le organizzazioni ad aderire anche ad altri standard di sicurezza, come il GDPR.
L'obiettivo di un ISMS è quello di facilitare le organizzazioni nell'attuazione della triade CIA della protezione dei dati. La triade della CIA è composta da:
L'implementazione di tutte e tre le parti della triade CIA aumenta significativamente la resilienza informatica e migliora la capacità delle organizzazioni di gestire le minacce.
Oltre ad essere conforme alla norma ISO 27001, l'installazione di un ISMS offre diversi vantaggi per un'organizzazione:
In parole povere, mentre ISO 27001 è un framework di sicurezza informatica e le organizzazioni possono ottenere una certificazione, ISO 27002 è più una guida alle procedure consigliate, che fornisce trucchi e suggerimenti per aiutare le organizzazioni a implementare e comprendere i controlli ISO 27001 nell'Allegato A. Sebbene le organizzazioni possano scegliere quali procedure consigliare implementare dalla ISO 27002, non è prevista alcuna certificazione per lo standard.
Prima di capire in che modo la ISO 27001 ti aiuta a rispettare il GDPR, è importante notare che l'obiettivo di ogni standard è diverso. Sebbene l'obiettivo del GDPR sia quello di proteggere la privacy delle informazioni personali raccolte dai cittadini dell'Unione Europea, la ISO 27001 lavora per aiutare le organizzazioni a creare un ISMS che aiuti le organizzazioni a elaborare i dati che raccolgono.
Di seguito sono riportati i punti in comune tra la ISO 27001 e il GDPR:
Sebbene entrambi gli standard abbiano controlli simili, è nell'interesse delle organizzazioni rispettare le misure stabilite sia dal GDPR che dalla ISO 27001 per raggiungere i rispettivi obiettivi.
Per ottenere l'ambita certificazione ISO 27001, un'organizzazione dovrà dimostrare di aver implementato con successo un ISMS e di aver adottato le misure necessarie per affrontare i rischi.
Il controllo di certificazione ISO 27001 si svolge in due fasi:
Fase 1: questo è il momento in cui un revisore effettua una revisione dell'ISMS documentato e valuta se soddisfa i requisiti indicati nello standard. Le organizzazioni devono produrre una dichiarazione di applicabilità (SoA), che è un requisito vitale per la certificazione. Esso è costituito dai controlli scelti dall'elenco dei 114 controlli di cui all'allegato A, dalla procedura di attuazione di ciascuno di essi e dall'elenco dei controlli omessi e dal motivo per cui sono stati omessi. Si tratta per lo più di un esercizio a tavolino e l'interazione con le persone incaricate di supervisionare l'attuazione dell'ISMS è minima.
Fase 2: l'organizzazione viene sottoposta a verifica per verificare se i processi in atto sono quelli documentati nell'ISMS. I revisori intervistano inoltre i responsabili delle operazioni, esaminano le prove di tutta la documentazione e i controlli attuati per affrontare il rischio. Di solito sono richiesti tre mesi di prova.
Una volta acquisita, la certificazione ISO 27001 è valida per tre anni, dopodiché viene condotta una valutazione per la ricertificazione. Dopo la certificazione, le organizzazioni possono aspettarsi visite di sorveglianza almeno una volta all'anno per assicurarsi che si stiano evolvendo e aggiungendo le ultime misure di sicurezza per rimanere vigili e aggiornate.
La ISO 27002 ha subito modifiche significative nel febbraio 2022. Il più rilevante per le organizzazioni che implementano la ISO 27001 è la diminuzione del numero di controlli elencati nella ISO 27002, da 114 a 93.
Ciò potrebbe portare le organizzazioni certificate ISO 27001 a dover confrontare i precedenti controlli dell'Allegato A con i nuovi controlli del 2022 stabiliti nella ISO 27002 come se si trattasse di un nuovo o diverso insieme di controlli di sicurezza. Questo potrebbe continuare fino alla pubblicazione di una versione aggiornata della ISO 27001, prevista per ottobre 2022.
L'implementazione di un ISMS conforme allo standard ISO-27001 implica l'implementazione di rigorose misure di controllo degli accessi per mantenere la riservatezza, l'integrità e la disponibilità dei dati sensibili. Le organizzazioni devono registrare e rivedere regolarmente i registri eventi, proteggerli da accessi non autorizzati e garantire che vengano seguite procedure di accesso sicure.
Log360 di ManageEngine, una soluzione SIEM con ampie funzionalità di gestione dei registri, automatizza la raccolta dei registri in terabyte. Garantisce che i registri raccolti siano archiviati in modo sicuro per l'analisi attraverso il monitoraggio dell'integrità dei file e aiuta le organizzazioni a mantenere le misure di controllo degli accessi attraverso i suoi report di sicurezza pronti all'uso. Questi consentono di tenere traccia dei tentativi di accesso riusciti e non riusciti, dell'attività dell'utente e dell'accesso autorizzato a dispositivi e applicazioni critici. Log360 aiuta anche a tenere traccia delle modifiche apportate ai criteri utente, dominio e controllo che le organizzazioni possono utilizzare per assicurarsi che siano in atto procedure di accesso affidabili. Queste modifiche possono essere monitorate, analizzate e generate come report in tempo reale pronte per controllo, che possono contribuire in modo significativo alle procedure di conformità.
Per saperne di più su come Log360 può aiutarti a rispettare la norma ISO 27001, iscriviti per una prova gratuita di 30 giorni per verificarlo tu stesso o richiedi una demo personalizzata con i nostri esperti di prodotto.