KPI ISO27001 – 10 esempi principali da tenere sotto controllo

Quando si parla di ISO27001, è fondamentale tenere traccia dell'efficacia del proprio ISMS. Sebbene la norma ISO27001 non fornisca KPI precisi o indicazioni su come monitorare l'efficacia del vostro ISMS, è importante valutare regolarmente le prestazioni delle vostre misure di sicurezza. Per rendere la vita un po' più facile, […]

Gestione delle azioni di capacità&bsp;

Dimensionamento delle applicazioni

Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)

Rapporto sulla capacità

Miglioramento della capacità

Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

Secondo uno studio 2022 pubblicato da Encore, il 54% dei CISO intervistati ha dichiarato che il proprio consiglio di amministrazione non ha stanziato fondi sufficienti per la sicurezza delle informazioni. Allo stesso tempo, il costo medio delle violazioni dei dati a livello mondiale è salito a 4,35 milioni di dollari

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Utilizzare i KPI ISO 27001 per monitorare l’efficacia del vostro ISMS vi aiuterà a convincere il vostro consiglio di amministrazione che non solo la certificazione ISO 27001 è importante, ma è anche quantificabile, qualificabile e assolutamente vitale.

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Uno dei requisiti chiave della ISO 27001 è garantire che l’ISMS sia allineato e supporti gli obiettivi, le iniziative e le strategie aziendali dell’organizzazione. La percentuale di iniziative aziendali supportate dall’ISMS è un KPI che misura l’efficacia di questo allineamento

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Assicurare che le parti interessate siano coinvolte

Assegnare una tempistica ai miglioramenti.

Assegnare una tempistica ai miglioramenti

Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Senza le valutazioni del rischio per la sicurezza delle informazioni, un ISMS non ha molto valore. Le valutazioni dei rischi per la sicurezza identificano i rischi potenziali per le risorse informative e stabiliscono controlli appropriati per mitigare tali rischi.

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

L’impatto di ogni non conformità;

Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Non dovreste concentrarvi solo sulla riduzione del numero di non conformità identificate. Invece, utilizzate questo KPI come strumento per migliorare continuamente il vostro ISMS e le pratiche di sicurezza delle informazioni.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Lo scopo dei riesami della direzione è quello di valutare le prestazioni dell’ISMS, identificare le aree di miglioramento e garantire che il sistema sia allineato con gli obiettivi dell’organizzazione. Il riesame della direzione può anche fornire indicazioni sul livello di impegno e di coinvolgimento del top management nelle pratiche di sicurezza delle informazioni dell’organizzazione

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

La ripetizione delle non conformità tra gli audit;
La gravità di ogni non conformità;
L’impatto di ogni non conformità;
Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Ladership della sicurezza
Gestione del rischio di sicurezza
Audit interno
Audit interno
Proprietari del controllo

Percentuale di controlli eseguiti per garantire la conformità ai criteri del firewall

I firewall sono una componente chiave del vostro ISMS e vengono utilizzati per proteggere reti e sistemi da accessi non autorizzati. Garantire la conformità alle politiche dei firewall è fondamentale per mantenere l’efficacia dell’ISMS e proteggere le informazioni sensibili.

Nel definire gli obiettivi di questo KPI, tenere conto di:

Tracciare la percentuale di controlli eseguiti per garantire che i firewall siano configurati secondo le politiche e le procedure dell’organizzazione.

Assicurare che i controlli di accesso siano configurati correttamente, che le regole siano aggiornate e che ogni modifica sia approvata e documentata.

Per misurare accuratamente l’efficacia della conformità della politica del firewall, è necessario considerare anche:

La qualità dei controlli.
Gli esiti dei controlli.
Le azioni intraprese in seguito ai risultati.

Per essere sicuri che i vostri KPI siano utili e accurati, è fondamentale che:

Stabilite politiche e procedure chiare per la configurazione e la gestione dei firewall;
Assicurarsi che i controlli siano eseguiti da personale qualificato e addestrato;
Documentare gli esiti e le azioni intraprese;
Utilizzare i risultati dei controlli per migliorare continuamente le politiche e le procedure del firewall

5. Numero di miglioramenti identificati

Questo KPI misura la capacità della vostra organizzazione di identificare le aree di miglioramento nei processi di sicurezza delle informazioni e di intraprendere azioni per affrontarle.

I miglioramenti possono essere individuati durante le attività dell’ISMS, come le riunioni sulla sicurezza o gli audit interni periodici dell’ISMS della vostra organizzazione, che vi aiuteranno a valutarne la conformità ai requisiti della norma ISO 27001.

Durante queste attività, il vostro team identificherà le aree in cui l’ISMS può essere migliorato, ad esempio nelle politiche, nelle procedure o nei controlli.

Una volta identificate queste aree, la vostra organizzazione deve:

Traccia il numero di miglioramenti che sono stati identificati.

Privilegiare i miglioramenti in base al loro potenziale impatto sulla sicurezza delle informazioni dell’organizzazione.

Agire per affrontare questi miglioramenti, sia attraverso modifiche alle politiche, alle procedure o ai controlli, sia attraverso l’implementazione di nuove tecnologie o programmi di formazione.

Monitorando il numero di miglioramenti individuati e seguendone l’attuazione, è possibile migliorare l’efficacia del proprio ISMS e ridurre al minimo il rischio di incidenti di sicurezza.

Questo KPI fornisce inoltre informazioni preziose al senior management per valutare l’efficacia del programma di sicurezza delle informazioni dell’organizzazione e prendere decisioni informate sull’allocazione delle risorse e sulle iniziative di miglioramento dei processi.

Identificando e affrontando regolarmente le aree di miglioramento, è possibile mantenere una solida posizione di sicurezza delle informazioni. Inoltre, manterrete la riservatezza, l’integrità e la disponibilità delle vostre risorse informative sensibili.

6. Numero di non conformità identificate

Per saperne di più su cosa costituisce una non conformità, consultate il nostro articolo 10 esempi di non conformità ISO 27001, sia minori che maggiori.

Le non conformità possono essere identificate attraverso audit interni, audit esterni o altre revisioni dell’ISMS

Tracciare il numero di non conformità identificate può fornire indicazioni preziose sull’efficacia dell’implementazione dell’ISMS. Un numero elevato di non conformità può indicare che l’ISMS non è stato implementato in modo efficace, che ci sono lacune nelle pratiche di sicurezza delle informazioni della vostra azienda o che c’è una mancanza di comprensione dei requisiti della ISO 27001

Tuttavia, è importante notare che il numero di non conformità da solo non è necessariamente un indicatore dell’efficacia dell’ISMS. È necessario considerare:

La ripetizione delle non conformità tra gli audit;
La gravità di ogni non conformità;
L’impatto di ogni non conformità;
Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

La gravità dell’incidente.
La strategia di gestione del rischio dell’organizzazione.
La strategia di gestione del rischio dell’organizzazione
Le risorse e le capacità dell’organizzazione.

Quando si creano obiettivi per questo KPI, le seguenti sono metriche ragionevoli per un’organizzazione standard:

Risolvere gravi incidenti di sicurezza entro 24 ore.
Risolvere gli incidenti di sicurezza meno gravi entro 72 ore.

Per determinare l’efficacia della strategia di risoluzione degli incidenti, una volta stabiliti i tempi di risoluzione target, è necessario accertare:

Il numero di vulnerabilità identificate
La percentuale di vulnerabilità rimediate entro un tempo stabilito.

Utilizzando questo KPI, è possibile ridurre al minimo l’impatto potenziale sulle operazioni dell’azienda e, quindi, sulla sua reputazione. Inoltre, fornisce informazioni preziose al management per valutare l’efficacia dell’ISMS dell’organizzazione e prendere decisioni informate sull’allocazione delle risorse e sulle iniziative di miglioramento dei processi

3. Percentuale di sistemi protetti da software anti-malware

Quando si parla di infezioni catturate, il numero varia a seconda dell’efficacia del malware. Quindi, il numero di infezioni catturate potrebbe aumentare perché avete un malware superiore e non necessariamente perché ci sono più infezioni del solito.

Il vostro KPI nel determinare l’efficacia del vostro software anti-malware dovrebbe quindi dipendere da quale percentuale di sistemi sono protetti e hanno:

strumenti antivirus installati e abilitati.
firme antimalware aggiornate.
strumenti o funzioni anti-malware specifiche installate e attive.

Per misurare questo KPI, è necessario determinare il numero di sistemi che richiedono una protezione anti-malware e il numero di sistemi che dispongono della protezione. È quindi possibile calcolare la percentuale di sistemi protetti da software anti-malware dividendo il numero di sistemi con protezione anti-malware per il numero totale di sistemi che richiedono protezione.

4. Numero di dipendenti responsabili della sicurezza informatica

La clausola 5.3 riguarda la garanzia che i ruoli, le responsabilità e le autorità siano chiare quando si tratta di nominare un team responsabile dell’ISMS

Alcune organizzazioni possono utilizzare il personale esistente e non dovrebbero avere bisogno di nominare nuovi membri del personale, mentre altre dovranno assumere appaltatori esterni o nuovi dipendenti.

È importante che la vostra organizzazione si assicuri che ci sia una persona responsabile in generale e che determinati ruoli siano ricoperti. Ricordate, tuttavia, che una persona può ricoprire più di un ruolo.

La responsabilità per l’ISMS dovrebbe avere un approccio dall’alto verso il basso, con la direzione a guidare il processo e, di fatto, un dirigente senior potrebbe facilmente assumere il ruolo, ad esempio, di Chief Information Security Officer.

In un’organizzazione più grande, tuttavia, questo potrebbe essere un lavoro a tempo pieno.

Il KPI per il ‘Numero di dipendenti responsabili della sicurezza delle informazioni’ dovrebbe essere definito da:

C’è un numero sufficiente di dipendenti per concentrarsi sulle parti chiave dell’ISMS?
C’è una persona che è responsabile in tutto e per tutto?
I ruoli sono stati comunicati alle parti interessate?

Di solito i seguenti ruoli sono necessari per assicurare che l’ISMS sia definito e mantenuto:

Ladership della sicurezza
Gestione del rischio di sicurezza
Audit interno
Audit interno
Proprietari del controllo

Percentuale di controlli eseguiti per garantire la conformità ai criteri del firewall

Nel definire gli obiettivi di questo KPI, tenere conto di:

Tracciare la percentuale di controlli eseguiti per garantire che i firewall siano configurati secondo le politiche e le procedure dell’organizzazione.

Assicurare che i controlli di accesso siano configurati correttamente, che le regole siano aggiornate e che ogni modifica sia approvata e documentata.

Per misurare accuratamente l’efficacia della conformità della politica del firewall, è necessario considerare anche:

La qualità dei controlli.
Gli esiti dei controlli.
Le azioni intraprese in seguito ai risultati.

Per essere sicuri che i vostri KPI siano utili e accurati, è fondamentale che:

Stabilite politiche e procedure chiare per la configurazione e la gestione dei firewall;
Assicurarsi che i controlli siano eseguiti da personale qualificato e addestrato;
Documentare gli esiti e le azioni intraprese;
Utilizzare i risultati dei controlli per migliorare continuamente le politiche e le procedure del firewall

5. Numero di miglioramenti identificati

Questo KPI misura la capacità della vostra organizzazione di identificare le aree di miglioramento nei processi di sicurezza delle informazioni e di intraprendere azioni per affrontarle.

Durante queste attività, il vostro team identificherà le aree in cui l’ISMS può essere migliorato, ad esempio nelle politiche, nelle procedure o nei controlli.

Una volta identificate queste aree, la vostra organizzazione deve:

Traccia il numero di miglioramenti che sono stati identificati.

Privilegiare i miglioramenti in base al loro potenziale impatto sulla sicurezza delle informazioni dell’organizzazione.

Agire per affrontare questi miglioramenti, sia attraverso modifiche alle politiche, alle procedure o ai controlli, sia attraverso l’implementazione di nuove tecnologie o programmi di formazione.

Monitorando il numero di miglioramenti individuati e seguendone l’attuazione, è possibile migliorare l’efficacia del proprio ISMS e ridurre al minimo il rischio di incidenti di sicurezza.

6. Numero di non conformità identificate

Per saperne di più su cosa costituisce una non conformità, consultate il nostro articolo 10 esempi di non conformità ISO 27001, sia minori che maggiori.

Le non conformità possono essere identificate attraverso audit interni, audit esterni o altre revisioni dell’ISMS

Tuttavia, è importante notare che il numero di non conformità da solo non è necessariamente un indicatore dell’efficacia dell’ISMS. È necessario considerare:

La ripetizione delle non conformità tra gli audit;
La gravità di ogni non conformità;
L’impatto di ogni non conformità;
Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Tempo di allarme per la qualificazione

Tempo medio per il riconoscimento

Tempo medio per indagare

Tempo medio per risolvere

Tempo medio per contenere

Tempo medio di recupero

Costo per incidente

Numero di incidenti per dispositivo o host

Tempo medio tra i guasti

2. Percentuale di incidenti di sicurezza risolti entro un tempo stabilito

Tenere traccia degli incidenti di sicurezza è una cosa, ma puntare a risolverli entro un certo tempo è vitale.

Questo KPI misura l’efficacia del processo di gestione degli incidenti di un’organizzazione nel rispondere e risolvere gli incidenti di sicurezza in modo tempestivo.

Il tempo di risoluzione per incidente dipenderà da:

La gravità dell’incidente.
La strategia di gestione del rischio dell’organizzazione.
La strategia di gestione del rischio dell’organizzazione
Le risorse e le capacità dell’organizzazione.

Quando si creano obiettivi per questo KPI, le seguenti sono metriche ragionevoli per un’organizzazione standard:

Risolvere gravi incidenti di sicurezza entro 24 ore.
Risolvere gli incidenti di sicurezza meno gravi entro 72 ore.

Per determinare l’efficacia della strategia di risoluzione degli incidenti, una volta stabiliti i tempi di risoluzione target, è necessario accertare:

Il numero di vulnerabilità identificate
La percentuale di vulnerabilità rimediate entro un tempo stabilito.

3. Percentuale di sistemi protetti da software anti-malware

Il vostro KPI nel determinare l’efficacia del vostro software anti-malware dovrebbe quindi dipendere da quale percentuale di sistemi sono protetti e hanno:

strumenti antivirus installati e abilitati.
firme antimalware aggiornate.
strumenti o funzioni anti-malware specifiche installate e attive.

4. Numero di dipendenti responsabili della sicurezza informatica

La clausola 5.3 riguarda la garanzia che i ruoli, le responsabilità e le autorità siano chiare quando si tratta di nominare un team responsabile dell’ISMS

In un’organizzazione più grande, tuttavia, questo potrebbe essere un lavoro a tempo pieno.

Il KPI per il ‘Numero di dipendenti responsabili della sicurezza delle informazioni’ dovrebbe essere definito da:

C’è un numero sufficiente di dipendenti per concentrarsi sulle parti chiave dell’ISMS?
C’è una persona che è responsabile in tutto e per tutto?
I ruoli sono stati comunicati alle parti interessate?

Di solito i seguenti ruoli sono necessari per assicurare che l’ISMS sia definito e mantenuto:

Ladership della sicurezza
Gestione del rischio di sicurezza
Audit interno
Audit interno
Proprietari del controllo

Percentuale di controlli eseguiti per garantire la conformità ai criteri del firewall

Nel definire gli obiettivi di questo KPI, tenere conto di:

Tracciare la percentuale di controlli eseguiti per garantire che i firewall siano configurati secondo le politiche e le procedure dell’organizzazione.

Assicurare che i controlli di accesso siano configurati correttamente, che le regole siano aggiornate e che ogni modifica sia approvata e documentata.

Per misurare accuratamente l’efficacia della conformità della politica del firewall, è necessario considerare anche:

La qualità dei controlli.
Gli esiti dei controlli.
Le azioni intraprese in seguito ai risultati.

Per essere sicuri che i vostri KPI siano utili e accurati, è fondamentale che:

Stabilite politiche e procedure chiare per la configurazione e la gestione dei firewall;
Assicurarsi che i controlli siano eseguiti da personale qualificato e addestrato;
Documentare gli esiti e le azioni intraprese;
Utilizzare i risultati dei controlli per migliorare continuamente le politiche e le procedure del firewall

5. Numero di miglioramenti identificati

Questo KPI misura la capacità della vostra organizzazione di identificare le aree di miglioramento nei processi di sicurezza delle informazioni e di intraprendere azioni per affrontarle.

Durante queste attività, il vostro team identificherà le aree in cui l’ISMS può essere migliorato, ad esempio nelle politiche, nelle procedure o nei controlli.

Una volta identificate queste aree, la vostra organizzazione deve:

Traccia il numero di miglioramenti che sono stati identificati.

Privilegiare i miglioramenti in base al loro potenziale impatto sulla sicurezza delle informazioni dell’organizzazione.

Agire per affrontare questi miglioramenti, sia attraverso modifiche alle politiche, alle procedure o ai controlli, sia attraverso l’implementazione di nuove tecnologie o programmi di formazione.

Monitorando il numero di miglioramenti individuati e seguendone l’attuazione, è possibile migliorare l’efficacia del proprio ISMS e ridurre al minimo il rischio di incidenti di sicurezza.

6. Numero di non conformità identificate

Per saperne di più su cosa costituisce una non conformità, consultate il nostro articolo 10 esempi di non conformità ISO 27001, sia minori che maggiori.

Le non conformità possono essere identificate attraverso audit interni, audit esterni o altre revisioni dell’ISMS

Tuttavia, è importante notare che il numero di non conformità da solo non è necessariamente un indicatore dell’efficacia dell’ISMS. È necessario considerare:

La ripetizione delle non conformità tra gli audit;
La gravità di ogni non conformità;
L’impatto di ogni non conformità;
Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Tempo medio di rilevamento
Tempo di allarme al triage
Tempo di allarme per la qualificazione
Tempo medio per il riconoscimento
Tempo medio per indagare
Tempo medio per risolvere
Tempo medio per contenere
Tempo medio di recupero
Costo per incidente
Numero di incidenti per dispositivo o host
Tempo medio tra i guasti

2. Percentuale di incidenti di sicurezza risolti entro un tempo stabilito

Tenere traccia degli incidenti di sicurezza è una cosa, ma puntare a risolverli entro un certo tempo è vitale.

Questo KPI misura l’efficacia del processo di gestione degli incidenti di un’organizzazione nel rispondere e risolvere gli incidenti di sicurezza in modo tempestivo.

Il tempo di risoluzione per incidente dipenderà da:

La gravità dell’incidente.
La strategia di gestione del rischio dell’organizzazione.
La strategia di gestione del rischio dell’organizzazione
Le risorse e le capacità dell’organizzazione.

Quando si creano obiettivi per questo KPI, le seguenti sono metriche ragionevoli per un’organizzazione standard:

Risolvere gravi incidenti di sicurezza entro 24 ore.
Risolvere gli incidenti di sicurezza meno gravi entro 72 ore.

Per determinare l’efficacia della strategia di risoluzione degli incidenti, una volta stabiliti i tempi di risoluzione target, è necessario accertare:

Il numero di vulnerabilità identificate
La percentuale di vulnerabilità rimediate entro un tempo stabilito.

3. Percentuale di sistemi protetti da software anti-malware

Il vostro KPI nel determinare l’efficacia del vostro software anti-malware dovrebbe quindi dipendere da quale percentuale di sistemi sono protetti e hanno:

strumenti antivirus installati e abilitati.
firme antimalware aggiornate.
strumenti o funzioni anti-malware specifiche installate e attive.

4. Numero di dipendenti responsabili della sicurezza informatica

La clausola 5.3 riguarda la garanzia che i ruoli, le responsabilità e le autorità siano chiare quando si tratta di nominare un team responsabile dell’ISMS

In un’organizzazione più grande, tuttavia, questo potrebbe essere un lavoro a tempo pieno.

Il KPI per il ‘Numero di dipendenti responsabili della sicurezza delle informazioni’ dovrebbe essere definito da:

C’è un numero sufficiente di dipendenti per concentrarsi sulle parti chiave dell’ISMS?
C’è una persona che è responsabile in tutto e per tutto?
I ruoli sono stati comunicati alle parti interessate?

Di solito i seguenti ruoli sono necessari per assicurare che l’ISMS sia definito e mantenuto:

Ladership della sicurezza
Gestione del rischio di sicurezza
Audit interno
Audit interno
Proprietari del controllo

Percentuale di controlli eseguiti per garantire la conformità ai criteri del firewall

Nel definire gli obiettivi di questo KPI, tenere conto di:

Tracciare la percentuale di controlli eseguiti per garantire che i firewall siano configurati secondo le politiche e le procedure dell’organizzazione.

Assicurare che i controlli di accesso siano configurati correttamente, che le regole siano aggiornate e che ogni modifica sia approvata e documentata.

Per misurare accuratamente l’efficacia della conformità della politica del firewall, è necessario considerare anche:

La qualità dei controlli.
Gli esiti dei controlli.
Le azioni intraprese in seguito ai risultati.

Per essere sicuri che i vostri KPI siano utili e accurati, è fondamentale che:

Stabilite politiche e procedure chiare per la configurazione e la gestione dei firewall;
Assicurarsi che i controlli siano eseguiti da personale qualificato e addestrato;
Documentare gli esiti e le azioni intraprese;
Utilizzare i risultati dei controlli per migliorare continuamente le politiche e le procedure del firewall

5. Numero di miglioramenti identificati

Questo KPI misura la capacità della vostra organizzazione di identificare le aree di miglioramento nei processi di sicurezza delle informazioni e di intraprendere azioni per affrontarle.

Durante queste attività, il vostro team identificherà le aree in cui l’ISMS può essere migliorato, ad esempio nelle politiche, nelle procedure o nei controlli.

Una volta identificate queste aree, la vostra organizzazione deve:

Traccia il numero di miglioramenti che sono stati identificati.

Privilegiare i miglioramenti in base al loro potenziale impatto sulla sicurezza delle informazioni dell’organizzazione.

Agire per affrontare questi miglioramenti, sia attraverso modifiche alle politiche, alle procedure o ai controlli, sia attraverso l’implementazione di nuove tecnologie o programmi di formazione.

Monitorando il numero di miglioramenti individuati e seguendone l’attuazione, è possibile migliorare l’efficacia del proprio ISMS e ridurre al minimo il rischio di incidenti di sicurezza.

6. Numero di non conformità identificate

Per saperne di più su cosa costituisce una non conformità, consultate il nostro articolo 10 esempi di non conformità ISO 27001, sia minori che maggiori.

Le non conformità possono essere identificate attraverso audit interni, audit esterni o altre revisioni dell’ISMS

Tuttavia, è importante notare che il numero di non conformità da solo non è necessariamente un indicatore dell’efficacia dell’ISMS. È necessario considerare:

La ripetizione delle non conformità tra gli audit;
La gravità di ogni non conformità;
L’impatto di ogni non conformità;
Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Quando si parla di ISO27001, è fondamentale tenere traccia dell’efficacia del proprio ISMS. Sebbene la norma ISO27001 non fornisca KPI precisi o indicazioni su come monitorare l’efficacia del vostro ISMS, è importante valutare regolarmente le prestazioni delle vostre misure di sicurezza.

Per rendere la vita un po’ più facile, abbiamo definito alcuni esempi di KPI ISO 27001, come gli incidenti di sicurezza, la formazione dei dipendenti e il tempo di risposta agli incidenti, per aiutarvi a migliorare la vostra posizione di sicurezza delle informazioni.

Perché la conformità e perché i KPI ISO27001?

Il numero di certificati ISO 27001 validi in tutto il mondo è passato da 36.000 nel 2019 a 58.000 nel 2021.

Perché?

Perché le violazioni dei dati e gli attacchi informatici sono in aumento grazie all’evoluzione di sistemi online sempre più complessi e all’aumento delle industrie illecite che commerciano dati.

A causa della complessità della sicurezza online, la conformità della sicurezza delle informazioni è fondamentale. Ma, proprio come la sicurezza informatica, la conformità è un processo complesso e in continua evoluzione e, anche se sarebbe fantastico poter ottenere la certificazione e poi rilassarsi, non è realistico.

Prima, durante e dopo la certificazione ISO 27001, la vostra organizzazione deve tenere sotto controllo il vostro ISMS, monitorando costantemente le sue prestazioni.

Il modo migliore per farlo è quello di definire KPI ISO 27001 da utilizzare per assicurarsi di rimanere in linea con la gestione della sicurezza.

Lo standard ISO 27001 delinea le migliori pratiche per la sicurezza delle informazioni e il monitoraggio dei KPI consente alle organizzazioni di identificare le aree di miglioramento. I KPI ISO 27001 assicurano una funzionalità ottimale dell’ISMS.

Nel loro articolo “2020 ISO Survey of Management System Standards reveals 17% increase in certifications“, il CQI afferma che ci sono molti fattori che stanno “cambiando il mondo del lavoro, tra cui la trasformazione digitale e Qualità 4.0, e le esigenze di costruire un futuro sostenibile.”

Per stare al passo con questa trasformazione, la compliance è un pilastro necessario in ogni azienda. E, come ogni pilastro delle prestazioni, la conformità deve essere monitorata utilizzando i KPI.

Che cos’è un KPI?

Per definizione, un Key Performance Indicator (KPI) è: “Un insieme di misure quantificabili utilizzate per misurare le prestazioni complessive di un’azienda” – Investopedia.

Come definire i KPI ISO 27001

Quando si tratta di ISO 27001, è necessario definire i KPI per garantire che la vostra azienda stia raggiungendo i propri obiettivi di sicurezza.

L’utilizzo del Capitolo 9 della ISO 27001 è un buon punto di partenza per definire una serie di KPI. Dopo tutto, il Capitolo 9 richiede che le organizzazioni valutino le prestazioni e l’efficacia del loro ISMS.

Il capitolo 9 afferma che “L’organizzazione deve determinare ciò che deve essere monitorato e misurato, compresi i processi e i controlli di sicurezza delle informazioni”

Utilizzando questa istruzione, si può decidere abbastanza facilmente quali aspetti del proprio ISMS richiederanno KPI.

Una volta stabilito questo, per tracciare un KPI, voi (o meglio, la direzione) dovreste assegnare un obiettivo a ciascun traguardo misurabile.

Esempi di KPI ISO 27001

Diamo un’occhiata ad alcuni esempi di KPI ISO 27001.

1. Incidenti di sicurezza

Un ottimo esempio di KPI a cui si può assegnare un obiettivo e poi tracciarlo è “Incidenti di sicurezza”.

L’ISO definisce un incidente di sicurezza come “un evento indesiderato che potrebbe mettere in pericolo la riservatezza, l’integrità o la disponibilità delle informazioni”.

Il vostro senior management potrebbe decidere che la vostra azienda deve raggiungere un obiettivo di meno di 3 incidenti al mese. Oppure potrebbero creare un obiettivo relativo, ad esempio “Riduci gli incidenti di sicurezza del 33% questo mese”

Ovviamente, i parametri dei KPI saranno diversi a seconda della vostra azienda e del vostro settore. Il bello di creare i propri KPI è che il management può adattarli a seconda di ciò che accade nell’organizzazione. Quindi, man mano che si cresce, si possono restringere i parametri dei KPI; se si scopre che i KPI sono troppo restrittivi, si possono allentare.

Finché raggiungete gli obiettivi del vostro ISMS e rimanete fedeli alla vostra certificazione ISO 27001, i vostri KPI possono essere definiti da voi.

Secondo il loro articolo ‘Cybersecurity Risk Management for Tech Companies’, Security Scorecard suggerisce di utilizzare le seguenti metriche sugli incidenti di sicurezza per definire i vostri KPI sugli incidenti di sicurezza:

Tempo medio di rilevamento
Tempo di allarme al triage
Tempo di allarme per la qualificazione
Tempo medio per il riconoscimento
Tempo medio per indagare
Tempo medio per risolvere
Tempo medio per contenere
Tempo medio di recupero
Costo per incidente
Numero di incidenti per dispositivo o host
Tempo medio tra i guasti

2. Percentuale di incidenti di sicurezza risolti entro un tempo stabilito

Tenere traccia degli incidenti di sicurezza è una cosa, ma puntare a risolverli entro un certo tempo è vitale.

Questo KPI misura l’efficacia del processo di gestione degli incidenti di un’organizzazione nel rispondere e risolvere gli incidenti di sicurezza in modo tempestivo.

Il tempo di risoluzione per incidente dipenderà da:

La gravità dell’incidente.
La strategia di gestione del rischio dell’organizzazione.
La strategia di gestione del rischio dell’organizzazione
Le risorse e le capacità dell’organizzazione.

Quando si creano obiettivi per questo KPI, le seguenti sono metriche ragionevoli per un’organizzazione standard:

Risolvere gravi incidenti di sicurezza entro 24 ore.
Risolvere gli incidenti di sicurezza meno gravi entro 72 ore.

Per determinare l’efficacia della strategia di risoluzione degli incidenti, una volta stabiliti i tempi di risoluzione target, è necessario accertare:

Il numero di vulnerabilità identificate
La percentuale di vulnerabilità rimediate entro un tempo stabilito.

3. Percentuale di sistemi protetti da software anti-malware

Il vostro KPI nel determinare l’efficacia del vostro software anti-malware dovrebbe quindi dipendere da quale percentuale di sistemi sono protetti e hanno:

strumenti antivirus installati e abilitati.
firme antimalware aggiornate.
strumenti o funzioni anti-malware specifiche installate e attive.

4. Numero di dipendenti responsabili della sicurezza informatica

La clausola 5.3 riguarda la garanzia che i ruoli, le responsabilità e le autorità siano chiare quando si tratta di nominare un team responsabile dell’ISMS

In un’organizzazione più grande, tuttavia, questo potrebbe essere un lavoro a tempo pieno.

Il KPI per il ‘Numero di dipendenti responsabili della sicurezza delle informazioni’ dovrebbe essere definito da:

C’è un numero sufficiente di dipendenti per concentrarsi sulle parti chiave dell’ISMS?
C’è una persona che è responsabile in tutto e per tutto?
I ruoli sono stati comunicati alle parti interessate?

Di solito i seguenti ruoli sono necessari per assicurare che l’ISMS sia definito e mantenuto:

Ladership della sicurezza
Gestione del rischio di sicurezza
Audit interno
Audit interno
Proprietari del controllo

Percentuale di controlli eseguiti per garantire la conformità ai criteri del firewall

Nel definire gli obiettivi di questo KPI, tenere conto di:

Tracciare la percentuale di controlli eseguiti per garantire che i firewall siano configurati secondo le politiche e le procedure dell’organizzazione.

Assicurare che i controlli di accesso siano configurati correttamente, che le regole siano aggiornate e che ogni modifica sia approvata e documentata.

Per misurare accuratamente l’efficacia della conformità della politica del firewall, è necessario considerare anche:

La qualità dei controlli.
Gli esiti dei controlli.
Le azioni intraprese in seguito ai risultati.

Per essere sicuri che i vostri KPI siano utili e accurati, è fondamentale che:

Stabilite politiche e procedure chiare per la configurazione e la gestione dei firewall;
Assicurarsi che i controlli siano eseguiti da personale qualificato e addestrato;
Documentare gli esiti e le azioni intraprese;
Utilizzare i risultati dei controlli per migliorare continuamente le politiche e le procedure del firewall

5. Numero di miglioramenti identificati

Questo KPI misura la capacità della vostra organizzazione di identificare le aree di miglioramento nei processi di sicurezza delle informazioni e di intraprendere azioni per affrontarle.

Durante queste attività, il vostro team identificherà le aree in cui l’ISMS può essere migliorato, ad esempio nelle politiche, nelle procedure o nei controlli.

Una volta identificate queste aree, la vostra organizzazione deve:

Traccia il numero di miglioramenti che sono stati identificati.

Privilegiare i miglioramenti in base al loro potenziale impatto sulla sicurezza delle informazioni dell’organizzazione.

Agire per affrontare questi miglioramenti, sia attraverso modifiche alle politiche, alle procedure o ai controlli, sia attraverso l’implementazione di nuove tecnologie o programmi di formazione.

Monitorando il numero di miglioramenti individuati e seguendone l’attuazione, è possibile migliorare l’efficacia del proprio ISMS e ridurre al minimo il rischio di incidenti di sicurezza.

6. Numero di non conformità identificate

Per saperne di più su cosa costituisce una non conformità, consultate il nostro articolo 10 esempi di non conformità ISO 27001, sia minori che maggiori.

Le non conformità possono essere identificate attraverso audit interni, audit esterni o altre revisioni dell’ISMS

Tuttavia, è importante notare che il numero di non conformità da solo non è necessariamente un indicatore dell’efficacia dell’ISMS. È necessario considerare:

La ripetizione delle non conformità tra gli audit;
La gravità di ogni non conformità;
L’impatto di ogni non conformità;
Le azioni intraprese per correggerle.

Un piccolo numero di non conformità critiche può essere più preoccupante di un numero maggiore di non conformità minori.

Questo significa che dovrete:

Rivedere e aggiornare regolarmente le politiche e le procedure;
Condurre valutazioni approfondite del rischio;
Implementare controlli di sicurezza efficaci;

7. Velocità di risoluzione dei miglioramenti a seguito di revisioni gestionali

Le revisioni della gestione dovrebbero essere condotte almeno annualmente, o più frequentemente se richiesto dalla strategia di gestione del rischio.

Tracciare la rapidità con cui vengono eseguiti i miglioramenti a seguito di un riesame della gestione può aiutarvi a garantire che la vostra azienda soddisfi i requisiti della norma ISO 27001.

Questo KPI sarà influenzato dai seguenti fattori:

La qualità delle revisioni di gestione.
La velocità con cui i risultati del riesame vengono annotati e messi in pratica.

Le azioni intraprese a seguito dei risultati delle revisioni.

Per garantire l’efficacia dei riesami della direzione, si consiglia di:

Stabilisci obiettivi chiari.
Stabilisci criteri chiari.
Assicurarsi che le parti interessate siano coinvolte.
Assicurare che le parti interessate siano coinvolte
Assegnare una tempistica ai miglioramenti.
Assegnare una tempistica ai miglioramenti
Documentare i risultati e le azioni intraprese.

8. Come vengono affrontati i miglioramenti derivanti dalle valutazioni del rischio per la sicurezza delle informazioni (ISRA)

Come parte dei vostri obiettivi per questo KPI, dovreste:

Stabilire metodologie e criteri chiari di valutazione del rischio;
Coinvolgere le parti interessate nel processo di valutazione del rischio;

Documentare i risultati e le azioni intraprese.

Tracciare come vengono implementati i miglioramenti derivanti dalle valutazioni del rischio può aiutarvi:

Assicura che la tua azienda stia affrontando rapidamente ed efficacemente i potenziali rischi per il tuo patrimonio informativo.
Identificare le tendenze nell’efficacia della valutazione del rischio.
Identificare le tendenze dei rischi, come ad esempio un aumento del numero o della gravità dei rischi identificati nel tempo.

Identificare le aree che richiedono maggiore attenzione e risorse.

9. Percentuale di iniziative aziendali supportate dall’ISMS

Per misurare questo KPI, dovreste rivedere i vostri sistemi di gestione dei progetti o consultarvi con i project manager per:

Determinare il numero di iniziative o progetti aziendali in corso;
Determinare il numero di tali iniziative o progetti che sono supportati dal sistema di gestione ambientale;

Identificare tutte le iniziative, i progetti e i programmi aziendali in corso che richiedono il supporto della sicurezza delle informazioni.

Per monitorare la percentuale di iniziative aziendali supportate dall’ISMS per la ISO 27001, è necessario:

Valutare il livello di supporto fornito dall’ISMS per ogni iniziativa aziendale.
Calcolare la percentuale di iniziative aziendali supportate dal SGI

Stabilire un processo di reporting per monitorare i KPI nel tempo. Questo processo di reporting dovrebbe includere aggiornamenti regolari sul numero di iniziative supportate dall’ISMS e sulla percentuale di iniziative supportate
Analizzare i risultati per identificare le tendenze e le aree di miglioramento.
In base ai risultati dell’analisi, intraprendere azioni correttive per migliorare il livello di supporto fornito dall’ISMS alle iniziative aziendali. Ciò può includere l’adeguamento dei controlli sulla sicurezza delle informazioni o l’aumento delle risorse dedicate all’ISMS

10. Gestione della capacità

È importante bilanciare il livello di capacità richiesto da un cliente con le risorse (sia operative che pianificate) disponibili.

Secondo il MITSM, “l’Information Capacity Management contribuisce a un approccio integrato di Service Management realizzando le seguenti attività:

Identificazione e definizione dei requisiti di capacità interni ed esterni
Pianificazione delle procedure di capacità
Sviluppo del piano di capacità
Creare un capitolo sulla capacità nello SLA e nella descrizione del servizio
Gestire l’implementazione di azioni di capacità
Gestione delle azioni di capacità&bsp;
Dimensionamento delle applicazioni
Valutazione delle procedure di capacità e delle misure di capacità (compresa l’analisi dei peek di capacità)
Rapporto sulla capacità
Rapporto sulla capacità
Miglioramento della capacità
Miglioramento della capacità
Mantenimento di un database di capacità (CDB)

Utilizzando queste attività come linea guida, è possibile creare un KPI sulla gestione della capacità che sia facilmente monitorabile.

Per monitorare la gestione della capacità come KPI per la ISO 27001, è necessario confrontare le prestazioni con gli obiettivi stabiliti da:

Raccolta regolare di dati sull’utilizzo delle risorse.
Tracciare eventuali deviazioni dagli obiettivi.
Investigare eventuali problemi che si presentano.

I KPI della ISO 27001: la chiave per grandi performance di sicurezza

È chiaro, quindi, che con le minacce informatiche in aumento è fondamentale implementare standard di conformità che convalidino i sistemi di sicurezza delle informazioni.

Privacy Overview

This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.

Necessary

Altijd ingeschakeld

Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.

Cookie	Looptijd	Omschrijving
cookielawinfo-checkbox-analytics	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
cookielawinfo-checkbox-functional	11 months	The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
cookielawinfo-checkbox-necessary	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
cookielawinfo-checkbox-others	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
cookielawinfo-checkbox-performance	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
viewed_cookie_policy	11 months	The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.

Functional

Performance

Analytics

Others