La dichiarazione di scopo ISO 27001… sembra molto più grande di quello che è. In realtà, crearne una è piuttosto semplice. In questa guida alle dichiarazioni di scopo, vi spieghiamo cosa, come e perché scrivere una dichiarazione di scopo ISO 27001.
Abbiamo aggiunto alcuni esempi, un modello scaricabile e un video super cool e informativo con protagonista la nostra innovatrice della conformità, Mari E. Curious.
Cosa si può volere di più?
Perché è necessaria una dichiarazione di scopo?
Nel loro articolo ‘Certificazione ISO IEC 27001‘, il TUV afferma che le organizzazioni implementano un ISMS per:
“Proteggere i dati cruciali per l’azienda, mitigare i rischi e garantire la stabilità delle operazioni, fornire fiducia alle parti interessate e ai clienti”
La dichiarazione di scopo ISO 27001 è un impegno e un riflesso di questa ambizione. Inoltre, non solo è l’unica informazione obbligatoria da fornire all’interno del segmento di ambito della norma, ma anche la più importante.
Secondo Best Practice Biz, “Il concetto alla base della dichiarazione dell’ambito di applicazione è quello di far comprendere quanto segue:
- Leggi e regolamenti da rispettare
- Interfacce e dipendenze con altri modelli
- Problemi interni ed esterni rilevanti per la sicurezza delle informazioni del vostro ISMS
- Processi e controlli di sicurezza necessari per il funzionamento dell’azienda
La dichiarazione del campo di applicazione della ISO 27001 definisce:
- Cosa fa la vostra azienda.
- Quali sono le informazioni importanti coperte dall’ISMS.
- Perché la sicurezza è importante per la vostra organizzazione. Quali parti della vostra azienda sono certificate.
E’ ciò che appare sul vostro certificato ISO 27001 perché tutto il mondo (beh, non tutto il mondo, ma sapete cosa intendiamo) lo veda.
In breve, è ciò che interessa ai vostri clienti quando si tratta di sicurezza.
Qual è l’ambito di applicazione della ISO 27001?
Il campo di applicazione della ISO 27001 definisce tutto ciò che – dai dati ai prodotti, dai processi ai servizi, dai sistemi alle aree geografiche – è protetto dal vostro ISMS. Definisce anche tutto ciò che non è protetto
Per compilare correttamente il campo di applicazione della vostra organizzazione, dovete determinare i confini e l’applicabilità dell’ISMS.
Questo significa esaminare tutte le questioni esterne e interne che troverete definite nella clausola 4.1 della norma ISO 27001, comprendere le esigenze e le aspettative delle parti interessate (4.2) e determinare i collegamenti tra le attività svolte dalla vostra organizzazione e le organizzazioni esterne.
Esaminare e comprendere quali parti dell’azienda sono coinvolte nella creazione, nell’accesso o nell’elaborazione del vostro prezioso patrimonio informativo, ed effettuare una valutazione dei rischi, vi terrà sulla buona strada nel definire l’ambito del vostro ISMS.
Perché definire il campo di applicazione della ISO 27001 è così importante?
Tutto ciò che entra nel vostro campo di applicazione deve essere coperto dal vostro ISMS; tutto ciò che è al di fuori del campo di applicazione non deve essere coperto dal vostro ISMS.
Quindi, se lasciate fuori dal campo di applicazione qualcosa che avrebbe dovuto esservi incluso, potreste ritrovarvi con problemi di sicurezza indesiderati, dati non protetti e clienti e/o stakeholder insoddisfatti.
Se si inserisce nell’ambito qualcosa che non deve esserci, si crea solo più lavoro per il team e potenzialmente si spendono soldi che non sono necessari. Inoltre, un ambito troppo ampio non è agile, in termini di possibilità di cambiamenti nelle tecnologie e nelle funzionalità
Come si scrive una dichiarazione di scopo per la ISO 27001?
La dichiarazione del campo di applicazione è una sintesi del vostro campo di applicazione e dovrebbe chiarire ai vostri clienti che ciò che stanno acquistando da voi, sia che si tratti di un prodotto o di un servizio, è coperto dal vostro ISMS.
Inoltre, quando scrivete la dichiarazione del campo di applicazione, rispondete alle seguenti domande:
- Cosa fa la mia organizzazione?
- Quali sono i prodotti o i servizi che rientrano nell’ambito di applicazione?
- Quali informazioni abbiamo bisogno di proteggere?
- Quali processi sono associati a queste informazioni?
- C’è qualche esclusione (luoghi, processi ecc.) che può essere lasciata fuori dall’ambito?
Applichiamo queste domande a un’azienda fittizia per vedere come funzionano per dare forma a una dichiarazione di scopo. Chiameremo l’azienda FindMyPet.
- Cosa fa la mia organizzazione?
FindMyPet riunisce animali domestici e proprietari…
- Quali prodotti o servizi sono compresi nell’ambito di applicazione?
… utilizzando la tecnologia degli scanner e dei microchip…
- Quali informazioni abbiamo bisogno di proteggere?
… che memorizzano i dati personali dei clienti (nome, indirizzo fisico, numero di telefono)…
- Quali processi sono associati a queste informazioni?
… che è anche memorizzato in un database centrale situato presso i nostri uffici a Dogtown…
- C’è qualche esclusione (luoghi, processi ecc.) che può essere lasciata fuori dall’ambito?
… che non è accessibile a nessun altro se non al nostro reparto IT.
Ora tutti insieme:
FindMyPet riunisce gli animali domestici e i proprietari utilizzando la tecnologia degli scanner e dei microchip che memorizzano i dati personali dei clienti (nome, indirizzo fisico, numero di telefono) che vengono archiviati in un database centrale situato presso i nostri uffici a Dogtown, non accessibile a nessun altro se non al nostro reparto IT.
Errori comuni da cui guardarsi quando si crea una dichiarazione di scopo
Come per tutto ciò che riguarda le norme ISO, è necessario essere sempre consapevoli delle potenziali insidie. Sebbene la dichiarazione dell’ambito sia un lavoro semplice e breve, deve essere precisa e chiara, escludendo elementi estranei e includendo tutto ciò che ritenete degno della protezione dell’ISMS.
Non capire quali informazioni la vostra organizzazione conserva, elabora e gestisce potrebbe portarvi a tralasciare un elemento vitale dalla vostra dichiarazione.
Per essere sicuri di sapere tutto quello che c’è da sapere sui dati che la vostra azienda gestisce, potreste voler partecipare a sessioni professionali sulla conformità.
Tutto ciò che non rientra nel campo di applicazione definito è considerato non sicuro, quindi lasciare fuori tutto ciò che il vostro cliente potrebbe non voler acquistare perché non è stato certificato non è un grande piano.
La vostra dichiarazione di scopo non deve essere né troppo ambiziosa né troppo ambigua. Non puntate troppo in alto e non includete ogni reparto, ogni persona e ogni singolo dato. Allo stesso tempo, non cercate di ridurre i costi di implementazione comprimendo l’ambito.
Leggi anche: Top 10 ISO 27001 Certification Software Tools
Esempi di buone dichiarazioni di scopo ISO 27001
Per aiutarvi a creare la vostra dichiarazione di scopo, ecco alcuni esempi di buone dichiarazioni di scopo. Come potete vedere, esse appaiono sul certificato ISO 27001 e fanno riferimento alla Dichiarazione di applicabilità.
1. Dichiarazione di portata ISO 27001 di BSI
Nel nostro primo esempio si può vedere chiaramente che l’ISMS dell’Online Computer Library Center si applica alle attività di sicurezza delle informazioni associate ai servizi di gestione dell’azienda, alla condivisione delle risorse, ai servizi di metadati, alla scoperta e alla consultazione e al rapporto sull’infrastruttura interna. Si noti come si fa riferimento alla Dichiarazione di Applicabilità.
2. Dichiarazione di ambito ISO 27001 di MGM Technology Partners
MGM dichiara la natura della propria attività (Consulenza a clienti del settore pubblico, assicurativo e dell’eCommerce sulla digitalizzazione dei loro processi aziendali e IT; sviluppo di software per applicazioni business-critical, consulenza gestionale per dipartimenti specializzati e IT e test e implementazione della sicurezza web).
Non dichiarano però esplicitamente a cosa si applica l’ISMS. Possiamo quindi supporre che il loro ISMS copra tutto ciò che riguarda tutte le loro attività e i loro prodotti.
3. Dichiarazione di ambito ISO 27001 di Monday.com
La dichiarazione del campo di applicazione di Monday.com è molto chiara. Il loro ISMS si applica al reparto operativo IT relativo allo sviluppo, al marketing, alla vendita, alla promozione, al supporto e alla progettazione di un sistema operativo per la gestione del lavoro di gruppo, l’esecuzione di flussi e processi di lavoro e l’hosting di contenuti e file.
Modello di dichiarazione di ambito ISO 27001 (download)
Abbiamo redatto un modello di base di dichiarazione dell’ambito ISO 27001 che potete utilizzare.
Questo modello può essere utilizzato sia come modello “riempitivo” sia come linea guida per la creazione di una propria dichiarazione di scopo.
Non indugiate, scrivete oggi stesso la vostra dichiarazione di scopo ISO 27001!
Infine, per essere brevi ci vuole tempo, quindi iniziate a compilare la vostra dichiarazione di scopo il prima possibile. Ricordate di non essere troppo ambiziosi o troppo ambigui e assicuratevi di capire quali informazioni gestisce la vostra azienda.
Per ottenere l’aiuto di professionisti o per iniziare a usare il miglior strumento di compliance fai-da-te oggi sul mercato, prenota una demo con Compleye.
