Lista di controllo completa per la conformità ISO 27001 (2023)

• E’ prevista una riunione MT/CEO per discutere tutti gli argomenti e i suggerimenti per il miglioramento.
• MT/CEO definisce e accetta i miglioramenti finali.
• MT/CEO definisce e accetta i miglioramenti finali
• MT/CEO finalizza e approva il rapporto di riesame della direzione da mostrare come evidenza durante l’audit esterno.

Da fare #3 – Documentazione

Oltre alle politiche, alle procedure e alle registrazioni obbligatorie, ci sono 4 documenti obbligatori che devono essere disponibili e pronti per la certificazione di audit esterno: 

• Revisione della gestione
• Rapporto di revisione interna
• Scope of ISMS 
• Scope of ISMS 
• Dichiarazione di applicabilità

Fare #4 – Dichiarazione di Applicabilità

La SoA è una sintesi dello stato di implementazione della vostra organizzazione su ciascuno dei 114 controlli dell’Allegato A della ISO 27001 e deve definire quali controlli sono identificati dalla vostra organizzazione per affrontare i rischi coinvolti nell’attività. Questo può essere fatto conducendo una ISO 27001 gap analysis e una valutazione dei rischi.

10. Organizzare in tempo reale l’audit di certificazione ISO 27001 

Da fare #1 – Lead Auditor accreditato

Una volta che siete pronti per l’audit, assegnate un lead auditor accreditato. I lead auditor hanno seguito una formazione approfondita, quindi siete in buone mani.

Fare #2 – Pianificare il mantenimento della certificazione

Una volta ottenuta la certificazione ISO 27001, è importante mantenere il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) su base continuativa per garantire che rimanga efficace, pertinente e allineato con gli obiettivi dell’organizzazione. È qui che entra in gioco il pacchetto di manutenzione Compleye ISO 27001. 

Siete pronti per iniziare a spuntare la lista di controllo completa per la conformità ISO 27001 (2023)

Per saperne di più su come Compleye può aiutarvi con la vostra conformità ISO 27001.

Chatta con uno dei nostri super venditori e inizia a spuntare la tua lista di controllo completa per la conformità ISO 27001.

• Dimostrare come supportate lo sviluppo delle competenze dei membri del vostro team (ISMS).
• Organizzare la formazione annuale di sensibilizzazione alla sicurezza. 
• Organizzare la formazione annuale sulla sicurezza
• Provare cosa c’era all’ordine del giorno e chi ha partecipato alla formazione. 
• Eseguire la valutazione della formazione.

Da fare #6 – HR & Organizzazione

I requisiti specifici delle Risorse Umane/Organizzazione ISO includono:

Capitolo 5: Responsabilità dell’alta direzione

• Dimostrare leadership e impegno 
• Stabilire la politica di sicurezza
• Stabilire e comunicare le responsabilità e le autorità per i ruoli ISMS

Capitolo 7: Risorse- Determinare e fornire le risorse necessarie per l’implementazione, il mantenimento e il miglioramento continuo dell’ISMS.

• Focalizzarsi sulle competenze necessarie per svolgere il lavoro
• Tutti i membri del team ISMS devono riconoscere le proprie responsabilità e il proprio contributo per un ISMS efficace
• Determinare cosa, quando e come comunicare le priorità dell’ISMS sia internamente che esternamente
• Determinare e mantenere ciò che deve essere documentato (in conformità con questo standard).

9. Preparare la certificazione ISO 27001

Da fare #1 – Audi internat

L’obiettivo dell’audit interno è assicurarsi che l’ISMS sia conforme ai requisiti dell’organizzazione (politica, procedure, obiettivi di sicurezza, ecc.) e ai requisiti della ISO 27001 e valutare se l’ISMS è effettivamente implementato e mantenuto. Consultate il nostro articolo “È tempo di audit interni” per saperne di più. 

Fare #2 – Riesame della direzione

Il riesame della direzione viene eseguito su base annuale e sarà necessario assegnare una persona responsabile del riesame. Il processo, benché complesso, può essere sintetizzato in tre fasi:

• E’ prevista una riunione MT/CEO per discutere tutti gli argomenti e i suggerimenti per il miglioramento.
• MT/CEO definisce e accetta i miglioramenti finali.
• MT/CEO definisce e accetta i miglioramenti finali
• MT/CEO finalizza e approva il rapporto di riesame della direzione da mostrare come evidenza durante l’audit esterno.

Da fare #3 – Documentazione

Oltre alle politiche, alle procedure e alle registrazioni obbligatorie, ci sono 4 documenti obbligatori che devono essere disponibili e pronti per la certificazione di audit esterno: 

• Revisione della gestione
• Rapporto di revisione interna
• Scope of ISMS 
• Scope of ISMS 
• Dichiarazione di applicabilità

Fare #4 – Dichiarazione di Applicabilità

La SoA è una sintesi dello stato di implementazione della vostra organizzazione su ciascuno dei 114 controlli dell’Allegato A della ISO 27001 e deve definire quali controlli sono identificati dalla vostra organizzazione per affrontare i rischi coinvolti nell’attività. Questo può essere fatto conducendo una ISO 27001 gap analysis e una valutazione dei rischi.

10. Organizzare in tempo reale l’audit di certificazione ISO 27001 

Da fare #1 – Lead Auditor accreditato

Una volta che siete pronti per l’audit, assegnate un lead auditor accreditato. I lead auditor hanno seguito una formazione approfondita, quindi siete in buone mani.

Fare #2 – Pianificare il mantenimento della certificazione

Una volta ottenuta la certificazione ISO 27001, è importante mantenere il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) su base continuativa per garantire che rimanga efficace, pertinente e allineato con gli obiettivi dell’organizzazione. È qui che entra in gioco il pacchetto di manutenzione Compleye ISO 27001. 

Siete pronti per iniziare a spuntare la lista di controllo completa per la conformità ISO 27001 (2023)

Per saperne di più su come Compleye può aiutarvi con la vostra conformità ISO 27001.

Chatta con uno dei nostri super venditori e inizia a spuntare la tua lista di controllo completa per la conformità ISO 27001.

• Quali dati sugli stakeholder raccoglie la vostra organizzazione?
• Quali dati create nell’ambito delle operazioni quotidiane?
• Quali dati, se persi, avrebbero un impatto particolare sulla vostra organizzazione?
• Quali dati sarebbero classificati come confidenziali?
• Quali dati si qualificano come dati personali?
• Chi è responsabile dell’integrità e dell’accuratezza dei dati?
• Chi è responsabile dell’integrità e della precisione dei dati?
• Chi può e deve accedere ai dati?

Per fare #5 – Piano di continuità aziendale

A Compleye consigliamo di eseguire il BCP prima dell’audit interno e del riesame della direzione, poiché questa valutazione probabilmente porterà agli ultimi miglioramenti da apportare per essere pronti per la certificazione. In alternativa, eseguite il BCP due volte: la prima, quando iniziate a implementare il vostro ISMS e la seconda, prima dell’audit esterno. 

Da fare #6 – ISRA

La valutazione del rischio per la sicurezza delle informazioni (ISRA) è la valutazione del rischio più importante dell’ISMS e deve essere eseguita con il vostro team ISMS. Dovrete eseguire un ISRA su base annuale utilizzando lo stesso metodo ogni anno, in modo da poter confrontare i risultati.  

Fare #7 – Test DRP e PEN

Ecco un rapido esercizio per definire il vostro DRP crisi/disastro: 

Definire ciò che voi (per la vostra azienda) considerate: 

• Un evento 
• Un incidente
• Un disastro/crisi

Quando si parla di pentesting, Breachlock lo dice meglio con questa fantastica infografica:

Da fare #8 – Valutazione GDPR

I rischi e le opportunità del GDPR abbondano. Tre di queste possono essere esplorate in questo articolo completo di Comforte: “Tre rischi e opportunità del GDPR”.

Compleye Online fornisce un modello di valutazione del GDPR a 22 domande. 

Da fare #9 – Valutazione d’impatto sulla privacy

Una DPIA potrebbe essere necessaria se avete più prodotti: eseguite una DPIA per ogni prodotto (o servizio). Se lavorate con diversi tipi di progetti (ad esempio Proof of Concept) dovrete anche eseguire una nuova DPIA per ogni progetto. Quando fate affari con organizzazioni governative, ad esempio, è probabile che vi chiedano di condividere una copia della vostra DPIA.

5. Decidete le politiche e le procedure di sicurezza

Da fare #1 – Politiche e procedure di sicurezza

Prima di poter aggiungere record, è necessario adottare politiche e procedure. Una delle politiche obbligatorie della ISO 27001 è la Politica di sicurezza, che descrive le intenzioni e le ambizioni (obiettivi) che avete definito per il vostro ISMS

Da fare #2 – Modelli

Ci sono numerose politiche e procedure obbligatorie che devono essere implementate nel vostro ISMS. Creare questa documentazione può richiedere molto tempo e potreste non essere sicuri di aver coperto tutti gli elementi necessari. L’utilizzo di modelli come quelli forniti da uno strumento online come Compleye Online fornirà la guida necessaria per soddisfare i requisiti per ottenere la certificazione

Da fare #3 – Liste di controllo

Il vostro ISMS ha bisogno di un miglioramento e di una manutenzione continui. 

Creare liste di controllo è un modo snello per tenere traccia delle attività e dei passaggi quando si seguono le procedure di miglioramento e manutenzione. 

6. Impostare un sistema di misure e controlli

Fare #1 – Metriche di sicurezza

Le metriche di sicurezza sono “KPI” definiti per verificare se il sistema di gestione della sicurezza delle informazioni sta funzionando efficacemente. 

E’ necessario:

• Definire che cos’è un incidente;
• Tenere traccia dei vostri incidenti;
• Assolvi gli incidenti con azioni correttive ;
• Affrontate la causa principale per definire il modo in cui la preverrete in futuro.
• Tenete traccia dei vostri livelli di servizio.

Fare #2 – Gestione delle risorse

Gli asset hardware che trasportano le informazioni, i server e i dati sono tutti asset. Per gestirli è necessario tenere traccia di tutte le risorse e sapere quali sono quelle utilizzate e se sono di proprietà dell’azienda. È inoltre necessario tenere traccia delle modifiche e degli spostamenti delle risorse.

Fare #3 – Controlli

L’Allegato A consiste di 114 controlli. Dovrete adottare, implementare e mantenere i controlli.  Ci sono 2 modi per definire e implementare i controlli: 

• Prendere l’elenco ISO 27001 Allegato A e definire tutti i controlli all’inizio;  
• Definire gradualmente i controlli man mano che si lavora per la certificazione e si adottano politiche/procedure o si eseguono valutazioni. Verificare che tutti i controlli dell’Allegato A siano in atto alla fine.  

Fare #4 – Gestione degli accessi

La gestione degli accessi in generale è un argomento importante per il vostro ISMS. Non avere il controllo degli accessi al software può facilmente causare incidenti che si trasformano in violazioni dei dati.  
Avrete bisogno di una politica di gestione degli accessi e dovrete avere il controllo dei diversi tipi di accesso:  

• Accesso alla sede dell’ufficio 
• Accesso all’hardware 
• Accesso al software 
• Accesso alla documentazione 
• Accesso ai dati in generale 

7. Implementare i punti di controllo operativi e i follow-up

Fare #1 – Riunioni di sicurezza

Durante le riunioni di sicurezza con il vostro team ISMS, potete prendere decisioni su tutti gli argomenti relativi al vostro ISMS. Dovrete assegnare un proprietario della riunione di sicurezza, documentare le modifiche, controllare i controlli e valutare i miglioramenti.

Da fare #2 – Inviti all’azione per i follow-up

Le riunioni di sicurezza sono una parte obbligatoria dell’ISMS operativo in cui il team si allinea, esegue controlli periodici, lavora in modo collaborativo su compiti, pianificazione, ecc. Tutti i compiti di follow-up richiesti al team ISMS sono definiti con inviti all’azione dopo la riunione di sicurezza

8. Occuparsi dei ruoli, delle responsabilità, della leadership e della gestione

Fare #1 – Assegnare i ruoli ISMS

La ISO 27001 richiede la presenza di un team ISMS per la creazione, l’implementazione e la manutenzione. È inoltre necessario avere una visione d’insieme di tutti i membri del team, in modo da poter creare sicurezza e privacy intorno a persone e processi.

Fare #2 – Assegnare i ruoli di sicurezza obbligatori

Consigliamo di iniziare assegnando un minimo di 2 membri del team responsabili del vostro ISMS.assicuratevi sempre che all’interno del vostro ISMS vi sia una conoscenza della tecnologia e del business.  

Assegnate anche un responsabile della sicurezza (SO), della privacy (PO) e della conformità (CO).  

Da fare #3 – Sicurezza dell’ufficio

Se avete un ufficio, siete responsabili della sicurezza fisica del vostro ufficio e di tenere traccia di chi ha accesso all’ufficio (tramite chiave/carta/codice).

Da fare #4 – Nuove assunzioni e contratti

Se si assumono persone, la ISO 27001 prevede che si abbia il controllo del numero di membri del team, dei loro titoli di lavoro e di chi guiderà/guida ciascuna persona.dovrete avere il controllo dei vostri contratti di lavoro. Se siete in fase di scalata, è utile avere le date di scadenza ecc. in un unico posto.

Fare #5 – Formazione

Dovrete:

• Dimostrare come supportate lo sviluppo delle competenze dei membri del vostro team (ISMS).
• Organizzare la formazione annuale di sensibilizzazione alla sicurezza. 
• Organizzare la formazione annuale sulla sicurezza
• Provare cosa c’era all’ordine del giorno e chi ha partecipato alla formazione. 
• Eseguire la valutazione della formazione.

Da fare #6 – HR & Organizzazione

I requisiti specifici delle Risorse Umane/Organizzazione ISO includono:

Capitolo 5: Responsabilità dell’alta direzione

• Dimostrare leadership e impegno 
• Stabilire la politica di sicurezza
• Stabilire e comunicare le responsabilità e le autorità per i ruoli ISMS

Capitolo 7: Risorse- Determinare e fornire le risorse necessarie per l’implementazione, il mantenimento e il miglioramento continuo dell’ISMS.

• Focalizzarsi sulle competenze necessarie per svolgere il lavoro
• Tutti i membri del team ISMS devono riconoscere le proprie responsabilità e il proprio contributo per un ISMS efficace
• Determinare cosa, quando e come comunicare le priorità dell’ISMS sia internamente che esternamente
• Determinare e mantenere ciò che deve essere documentato (in conformità con questo standard).

9. Preparare la certificazione ISO 27001

Da fare #1 – Audi internat

L’obiettivo dell’audit interno è assicurarsi che l’ISMS sia conforme ai requisiti dell’organizzazione (politica, procedure, obiettivi di sicurezza, ecc.) e ai requisiti della ISO 27001 e valutare se l’ISMS è effettivamente implementato e mantenuto. Consultate il nostro articolo “È tempo di audit interni” per saperne di più. 

Fare #2 – Riesame della direzione

Il riesame della direzione viene eseguito su base annuale e sarà necessario assegnare una persona responsabile del riesame. Il processo, benché complesso, può essere sintetizzato in tre fasi:

• E’ prevista una riunione MT/CEO per discutere tutti gli argomenti e i suggerimenti per il miglioramento.
• MT/CEO definisce e accetta i miglioramenti finali.
• MT/CEO definisce e accetta i miglioramenti finali
• MT/CEO finalizza e approva il rapporto di riesame della direzione da mostrare come evidenza durante l’audit esterno.

Da fare #3 – Documentazione

Oltre alle politiche, alle procedure e alle registrazioni obbligatorie, ci sono 4 documenti obbligatori che devono essere disponibili e pronti per la certificazione di audit esterno: 

• Revisione della gestione
• Rapporto di revisione interna
• Scope of ISMS 
• Scope of ISMS 
• Dichiarazione di applicabilità

Fare #4 – Dichiarazione di Applicabilità

La SoA è una sintesi dello stato di implementazione della vostra organizzazione su ciascuno dei 114 controlli dell’Allegato A della ISO 27001 e deve definire quali controlli sono identificati dalla vostra organizzazione per affrontare i rischi coinvolti nell’attività. Questo può essere fatto conducendo una ISO 27001 gap analysis e una valutazione dei rischi.

10. Organizzare in tempo reale l’audit di certificazione ISO 27001 

Da fare #1 – Lead Auditor accreditato

Una volta che siete pronti per l’audit, assegnate un lead auditor accreditato. I lead auditor hanno seguito una formazione approfondita, quindi siete in buone mani.

Fare #2 – Pianificare il mantenimento della certificazione

Una volta ottenuta la certificazione ISO 27001, è importante mantenere il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) su base continuativa per garantire che rimanga efficace, pertinente e allineato con gli obiettivi dell’organizzazione. È qui che entra in gioco il pacchetto di manutenzione Compleye ISO 27001. 

Siete pronti per iniziare a spuntare la lista di controllo completa per la conformità ISO 27001 (2023)

Per saperne di più su come Compleye può aiutarvi con la vostra conformità ISO 27001.

Chatta con uno dei nostri super venditori e inizia a spuntare la tua lista di controllo completa per la conformità ISO 27001.

• Verificare i fornitori esistenti.
• Assegnare a ogni fornitore una valutazione di sicurezza.
• Rispondere ai rischi per la sicurezza e definire le metriche di performance del fornitore.
• Continuare a monitorare i fornitori.

Fare #4 – Classificazione dei dati

Nel contesto della sicurezza delle informazioni, la classificazione dei dati si basa sul loro livello di riservatezza e sull’impatto sull’organizzazione nel caso in cui tali dati vengano divulgati, alterati o distrutti senza autorizzazione. Considerate le seguenti domande quando classificate le vostre informazioni:

• Quali dati sugli stakeholder raccoglie la vostra organizzazione?
• Quali dati create nell’ambito delle operazioni quotidiane?
• Quali dati, se persi, avrebbero un impatto particolare sulla vostra organizzazione?
• Quali dati sarebbero classificati come confidenziali?
• Quali dati si qualificano come dati personali?
• Chi è responsabile dell’integrità e dell’accuratezza dei dati?
• Chi è responsabile dell’integrità e della precisione dei dati?
• Chi può e deve accedere ai dati?

Per fare #5 – Piano di continuità aziendale

A Compleye consigliamo di eseguire il BCP prima dell’audit interno e del riesame della direzione, poiché questa valutazione probabilmente porterà agli ultimi miglioramenti da apportare per essere pronti per la certificazione. In alternativa, eseguite il BCP due volte: la prima, quando iniziate a implementare il vostro ISMS e la seconda, prima dell’audit esterno. 

Da fare #6 – ISRA

La valutazione del rischio per la sicurezza delle informazioni (ISRA) è la valutazione del rischio più importante dell’ISMS e deve essere eseguita con il vostro team ISMS. Dovrete eseguire un ISRA su base annuale utilizzando lo stesso metodo ogni anno, in modo da poter confrontare i risultati.  

Fare #7 – Test DRP e PEN

Ecco un rapido esercizio per definire il vostro DRP crisi/disastro: 

Definire ciò che voi (per la vostra azienda) considerate: 

• Un evento 
• Un incidente
• Un disastro/crisi

Quando si parla di pentesting, Breachlock lo dice meglio con questa fantastica infografica:

Da fare #8 – Valutazione GDPR

I rischi e le opportunità del GDPR abbondano. Tre di queste possono essere esplorate in questo articolo completo di Comforte: “Tre rischi e opportunità del GDPR”.

Compleye Online fornisce un modello di valutazione del GDPR a 22 domande. 

Da fare #9 – Valutazione d’impatto sulla privacy

Una DPIA potrebbe essere necessaria se avete più prodotti: eseguite una DPIA per ogni prodotto (o servizio). Se lavorate con diversi tipi di progetti (ad esempio Proof of Concept) dovrete anche eseguire una nuova DPIA per ogni progetto. Quando fate affari con organizzazioni governative, ad esempio, è probabile che vi chiedano di condividere una copia della vostra DPIA.

5. Decidete le politiche e le procedure di sicurezza

Da fare #1 – Politiche e procedure di sicurezza

Prima di poter aggiungere record, è necessario adottare politiche e procedure. Una delle politiche obbligatorie della ISO 27001 è la Politica di sicurezza, che descrive le intenzioni e le ambizioni (obiettivi) che avete definito per il vostro ISMS

Da fare #2 – Modelli

Ci sono numerose politiche e procedure obbligatorie che devono essere implementate nel vostro ISMS. Creare questa documentazione può richiedere molto tempo e potreste non essere sicuri di aver coperto tutti gli elementi necessari. L’utilizzo di modelli come quelli forniti da uno strumento online come Compleye Online fornirà la guida necessaria per soddisfare i requisiti per ottenere la certificazione

Da fare #3 – Liste di controllo

Il vostro ISMS ha bisogno di un miglioramento e di una manutenzione continui. 

Creare liste di controllo è un modo snello per tenere traccia delle attività e dei passaggi quando si seguono le procedure di miglioramento e manutenzione. 

6. Impostare un sistema di misure e controlli

Fare #1 – Metriche di sicurezza

Le metriche di sicurezza sono “KPI” definiti per verificare se il sistema di gestione della sicurezza delle informazioni sta funzionando efficacemente. 

E’ necessario:

• Definire che cos’è un incidente;
• Tenere traccia dei vostri incidenti;
• Assolvi gli incidenti con azioni correttive ;
• Affrontate la causa principale per definire il modo in cui la preverrete in futuro.
• Tenete traccia dei vostri livelli di servizio.

Fare #2 – Gestione delle risorse

Gli asset hardware che trasportano le informazioni, i server e i dati sono tutti asset. Per gestirli è necessario tenere traccia di tutte le risorse e sapere quali sono quelle utilizzate e se sono di proprietà dell’azienda. È inoltre necessario tenere traccia delle modifiche e degli spostamenti delle risorse.

Fare #3 – Controlli

L’Allegato A consiste di 114 controlli. Dovrete adottare, implementare e mantenere i controlli.  Ci sono 2 modi per definire e implementare i controlli: 

• Prendere l’elenco ISO 27001 Allegato A e definire tutti i controlli all’inizio;  
• Definire gradualmente i controlli man mano che si lavora per la certificazione e si adottano politiche/procedure o si eseguono valutazioni. Verificare che tutti i controlli dell’Allegato A siano in atto alla fine.  

Fare #4 – Gestione degli accessi

La gestione degli accessi in generale è un argomento importante per il vostro ISMS. Non avere il controllo degli accessi al software può facilmente causare incidenti che si trasformano in violazioni dei dati.  
Avrete bisogno di una politica di gestione degli accessi e dovrete avere il controllo dei diversi tipi di accesso:  

• Accesso alla sede dell’ufficio 
• Accesso all’hardware 
• Accesso al software 
• Accesso alla documentazione 
• Accesso ai dati in generale 

7. Implementare i punti di controllo operativi e i follow-up

Fare #1 – Riunioni di sicurezza

Durante le riunioni di sicurezza con il vostro team ISMS, potete prendere decisioni su tutti gli argomenti relativi al vostro ISMS. Dovrete assegnare un proprietario della riunione di sicurezza, documentare le modifiche, controllare i controlli e valutare i miglioramenti.

Da fare #2 – Inviti all’azione per i follow-up

Le riunioni di sicurezza sono una parte obbligatoria dell’ISMS operativo in cui il team si allinea, esegue controlli periodici, lavora in modo collaborativo su compiti, pianificazione, ecc. Tutti i compiti di follow-up richiesti al team ISMS sono definiti con inviti all’azione dopo la riunione di sicurezza

8. Occuparsi dei ruoli, delle responsabilità, della leadership e della gestione

Fare #1 – Assegnare i ruoli ISMS

La ISO 27001 richiede la presenza di un team ISMS per la creazione, l’implementazione e la manutenzione. È inoltre necessario avere una visione d’insieme di tutti i membri del team, in modo da poter creare sicurezza e privacy intorno a persone e processi.

Fare #2 – Assegnare i ruoli di sicurezza obbligatori

Consigliamo di iniziare assegnando un minimo di 2 membri del team responsabili del vostro ISMS.assicuratevi sempre che all’interno del vostro ISMS vi sia una conoscenza della tecnologia e del business.  

Assegnate anche un responsabile della sicurezza (SO), della privacy (PO) e della conformità (CO).  

Da fare #3 – Sicurezza dell’ufficio

Se avete un ufficio, siete responsabili della sicurezza fisica del vostro ufficio e di tenere traccia di chi ha accesso all’ufficio (tramite chiave/carta/codice).

Da fare #4 – Nuove assunzioni e contratti

Se si assumono persone, la ISO 27001 prevede che si abbia il controllo del numero di membri del team, dei loro titoli di lavoro e di chi guiderà/guida ciascuna persona.dovrete avere il controllo dei vostri contratti di lavoro. Se siete in fase di scalata, è utile avere le date di scadenza ecc. in un unico posto.

Fare #5 – Formazione

Dovrete:

• Dimostrare come supportate lo sviluppo delle competenze dei membri del vostro team (ISMS).
• Organizzare la formazione annuale di sensibilizzazione alla sicurezza. 
• Organizzare la formazione annuale sulla sicurezza
• Provare cosa c’era all’ordine del giorno e chi ha partecipato alla formazione. 
• Eseguire la valutazione della formazione.

Da fare #6 – HR & Organizzazione

I requisiti specifici delle Risorse Umane/Organizzazione ISO includono:

Capitolo 5: Responsabilità dell’alta direzione

• Dimostrare leadership e impegno 
• Stabilire la politica di sicurezza
• Stabilire e comunicare le responsabilità e le autorità per i ruoli ISMS

Capitolo 7: Risorse- Determinare e fornire le risorse necessarie per l’implementazione, il mantenimento e il miglioramento continuo dell’ISMS.

• Focalizzarsi sulle competenze necessarie per svolgere il lavoro
• Tutti i membri del team ISMS devono riconoscere le proprie responsabilità e il proprio contributo per un ISMS efficace
• Determinare cosa, quando e come comunicare le priorità dell’ISMS sia internamente che esternamente
• Determinare e mantenere ciò che deve essere documentato (in conformità con questo standard).

9. Preparare la certificazione ISO 27001

Da fare #1 – Audi internat

L’obiettivo dell’audit interno è assicurarsi che l’ISMS sia conforme ai requisiti dell’organizzazione (politica, procedure, obiettivi di sicurezza, ecc.) e ai requisiti della ISO 27001 e valutare se l’ISMS è effettivamente implementato e mantenuto. Consultate il nostro articolo “È tempo di audit interni” per saperne di più. 

Fare #2 – Riesame della direzione

Il riesame della direzione viene eseguito su base annuale e sarà necessario assegnare una persona responsabile del riesame. Il processo, benché complesso, può essere sintetizzato in tre fasi:

• E’ prevista una riunione MT/CEO per discutere tutti gli argomenti e i suggerimenti per il miglioramento.
• MT/CEO definisce e accetta i miglioramenti finali.
• MT/CEO definisce e accetta i miglioramenti finali
• MT/CEO finalizza e approva il rapporto di riesame della direzione da mostrare come evidenza durante l’audit esterno.

Da fare #3 – Documentazione

Oltre alle politiche, alle procedure e alle registrazioni obbligatorie, ci sono 4 documenti obbligatori che devono essere disponibili e pronti per la certificazione di audit esterno: 

• Revisione della gestione
• Rapporto di revisione interna
• Scope of ISMS 
• Scope of ISMS 
• Dichiarazione di applicabilità

Fare #4 – Dichiarazione di Applicabilità

La SoA è una sintesi dello stato di implementazione della vostra organizzazione su ciascuno dei 114 controlli dell’Allegato A della ISO 27001 e deve definire quali controlli sono identificati dalla vostra organizzazione per affrontare i rischi coinvolti nell’attività. Questo può essere fatto conducendo una ISO 27001 gap analysis e una valutazione dei rischi.

10. Organizzare in tempo reale l’audit di certificazione ISO 27001 

Da fare #1 – Lead Auditor accreditato

Una volta che siete pronti per l’audit, assegnate un lead auditor accreditato. I lead auditor hanno seguito una formazione approfondita, quindi siete in buone mani.

Fare #2 – Pianificare il mantenimento della certificazione

Una volta ottenuta la certificazione ISO 27001, è importante mantenere il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) su base continuativa per garantire che rimanga efficace, pertinente e allineato con gli obiettivi dell’organizzazione. È qui che entra in gioco il pacchetto di manutenzione Compleye ISO 27001. 

Siete pronti per iniziare a spuntare la lista di controllo completa per la conformità ISO 27001 (2023)

Per saperne di più su come Compleye può aiutarvi con la vostra conformità ISO 27001.

Chatta con uno dei nostri super venditori e inizia a spuntare la tua lista di controllo completa per la conformità ISO 27001.

• Esecuzione di accordi contrattuali con ciascun fornitore. 
• Mantenere un elenco aggiornato e facilmente accessibile dei fornitori.
• Formulare un documento di politica e procedure per la gestione dei fornitori.
• Implementazione dei processi e dei controlli di gestione del cambiamento dei fornitori.
• Assicurare che i fornitori soddisfino i requisiti contrattuali di sicurezza delle informazioni. 
• Determinare e documentare adeguatamente, se applicabile, se i fornitori hanno accesso alla vostra infrastruttura IT
• Determinare e documentare adeguatamente, se applicabile, se i fornitori possono essere coinvolti nelle procedure di sicurezza.
• Eseguire la valutazione del rischio di sicurezza dei fornitori.

Fare #2 – Valutazione dei fornitori

La valutazione dei fornitori è un argomento molto importante nella ISO 27001, soprattutto per le aziende tecnologiche che si avvalgono di un gran numero di fornitori. Dovrete avere il controllo dei vostri fornitori e valutare annualmente i fornitori ad alto rischio su una serie di argomenti. Il proprietario del fornitore dovrà esaminare il fornitore sulle informazioni di base e sui contratti. 

Fare #3 – Valutazione del fornitore

Seguire i seguenti passi:

• Verificare i fornitori esistenti.
• Assegnare a ogni fornitore una valutazione di sicurezza.
• Rispondere ai rischi per la sicurezza e definire le metriche di performance del fornitore.
• Continuare a monitorare i fornitori.

Fare #4 – Classificazione dei dati

Nel contesto della sicurezza delle informazioni, la classificazione dei dati si basa sul loro livello di riservatezza e sull’impatto sull’organizzazione nel caso in cui tali dati vengano divulgati, alterati o distrutti senza autorizzazione. Considerate le seguenti domande quando classificate le vostre informazioni:

• Quali dati sugli stakeholder raccoglie la vostra organizzazione?
• Quali dati create nell’ambito delle operazioni quotidiane?
• Quali dati, se persi, avrebbero un impatto particolare sulla vostra organizzazione?
• Quali dati sarebbero classificati come confidenziali?
• Quali dati si qualificano come dati personali?
• Chi è responsabile dell’integrità e dell’accuratezza dei dati?
• Chi è responsabile dell’integrità e della precisione dei dati?
• Chi può e deve accedere ai dati?

Per fare #5 – Piano di continuità aziendale

A Compleye consigliamo di eseguire il BCP prima dell’audit interno e del riesame della direzione, poiché questa valutazione probabilmente porterà agli ultimi miglioramenti da apportare per essere pronti per la certificazione. In alternativa, eseguite il BCP due volte: la prima, quando iniziate a implementare il vostro ISMS e la seconda, prima dell’audit esterno. 

Da fare #6 – ISRA

La valutazione del rischio per la sicurezza delle informazioni (ISRA) è la valutazione del rischio più importante dell’ISMS e deve essere eseguita con il vostro team ISMS. Dovrete eseguire un ISRA su base annuale utilizzando lo stesso metodo ogni anno, in modo da poter confrontare i risultati.  

Fare #7 – Test DRP e PEN

Ecco un rapido esercizio per definire il vostro DRP crisi/disastro: 

Definire ciò che voi (per la vostra azienda) considerate: 

• Un evento 
• Un incidente
• Un disastro/crisi

Quando si parla di pentesting, Breachlock lo dice meglio con questa fantastica infografica:

Da fare #8 – Valutazione GDPR

I rischi e le opportunità del GDPR abbondano. Tre di queste possono essere esplorate in questo articolo completo di Comforte: “Tre rischi e opportunità del GDPR”.

Compleye Online fornisce un modello di valutazione del GDPR a 22 domande. 

Da fare #9 – Valutazione d’impatto sulla privacy

Una DPIA potrebbe essere necessaria se avete più prodotti: eseguite una DPIA per ogni prodotto (o servizio). Se lavorate con diversi tipi di progetti (ad esempio Proof of Concept) dovrete anche eseguire una nuova DPIA per ogni progetto. Quando fate affari con organizzazioni governative, ad esempio, è probabile che vi chiedano di condividere una copia della vostra DPIA.

5. Decidete le politiche e le procedure di sicurezza

Da fare #1 – Politiche e procedure di sicurezza

Prima di poter aggiungere record, è necessario adottare politiche e procedure. Una delle politiche obbligatorie della ISO 27001 è la Politica di sicurezza, che descrive le intenzioni e le ambizioni (obiettivi) che avete definito per il vostro ISMS

Da fare #2 – Modelli

Ci sono numerose politiche e procedure obbligatorie che devono essere implementate nel vostro ISMS. Creare questa documentazione può richiedere molto tempo e potreste non essere sicuri di aver coperto tutti gli elementi necessari. L’utilizzo di modelli come quelli forniti da uno strumento online come Compleye Online fornirà la guida necessaria per soddisfare i requisiti per ottenere la certificazione

Da fare #3 – Liste di controllo

Il vostro ISMS ha bisogno di un miglioramento e di una manutenzione continui. 

Creare liste di controllo è un modo snello per tenere traccia delle attività e dei passaggi quando si seguono le procedure di miglioramento e manutenzione. 

6. Impostare un sistema di misure e controlli

Fare #1 – Metriche di sicurezza

Le metriche di sicurezza sono “KPI” definiti per verificare se il sistema di gestione della sicurezza delle informazioni sta funzionando efficacemente. 

E’ necessario:

• Definire che cos’è un incidente;
• Tenere traccia dei vostri incidenti;
• Assolvi gli incidenti con azioni correttive ;
• Affrontate la causa principale per definire il modo in cui la preverrete in futuro.
• Tenete traccia dei vostri livelli di servizio.

Fare #2 – Gestione delle risorse

Gli asset hardware che trasportano le informazioni, i server e i dati sono tutti asset. Per gestirli è necessario tenere traccia di tutte le risorse e sapere quali sono quelle utilizzate e se sono di proprietà dell’azienda. È inoltre necessario tenere traccia delle modifiche e degli spostamenti delle risorse.

Fare #3 – Controlli

L’Allegato A consiste di 114 controlli. Dovrete adottare, implementare e mantenere i controlli.  Ci sono 2 modi per definire e implementare i controlli: 

• Prendere l’elenco ISO 27001 Allegato A e definire tutti i controlli all’inizio;  
• Definire gradualmente i controlli man mano che si lavora per la certificazione e si adottano politiche/procedure o si eseguono valutazioni. Verificare che tutti i controlli dell’Allegato A siano in atto alla fine.  

Fare #4 – Gestione degli accessi

La gestione degli accessi in generale è un argomento importante per il vostro ISMS. Non avere il controllo degli accessi al software può facilmente causare incidenti che si trasformano in violazioni dei dati.  
Avrete bisogno di una politica di gestione degli accessi e dovrete avere il controllo dei diversi tipi di accesso:  

• Accesso alla sede dell’ufficio 
• Accesso all’hardware 
• Accesso al software 
• Accesso alla documentazione 
• Accesso ai dati in generale 

7. Implementare i punti di controllo operativi e i follow-up

Fare #1 – Riunioni di sicurezza

Durante le riunioni di sicurezza con il vostro team ISMS, potete prendere decisioni su tutti gli argomenti relativi al vostro ISMS. Dovrete assegnare un proprietario della riunione di sicurezza, documentare le modifiche, controllare i controlli e valutare i miglioramenti.

Da fare #2 – Inviti all’azione per i follow-up

Le riunioni di sicurezza sono una parte obbligatoria dell’ISMS operativo in cui il team si allinea, esegue controlli periodici, lavora in modo collaborativo su compiti, pianificazione, ecc. Tutti i compiti di follow-up richiesti al team ISMS sono definiti con inviti all’azione dopo la riunione di sicurezza

8. Occuparsi dei ruoli, delle responsabilità, della leadership e della gestione

Fare #1 – Assegnare i ruoli ISMS

La ISO 27001 richiede la presenza di un team ISMS per la creazione, l’implementazione e la manutenzione. È inoltre necessario avere una visione d’insieme di tutti i membri del team, in modo da poter creare sicurezza e privacy intorno a persone e processi.

Fare #2 – Assegnare i ruoli di sicurezza obbligatori

Consigliamo di iniziare assegnando un minimo di 2 membri del team responsabili del vostro ISMS.assicuratevi sempre che all’interno del vostro ISMS vi sia una conoscenza della tecnologia e del business.  

Assegnate anche un responsabile della sicurezza (SO), della privacy (PO) e della conformità (CO).  

Da fare #3 – Sicurezza dell’ufficio

Se avete un ufficio, siete responsabili della sicurezza fisica del vostro ufficio e di tenere traccia di chi ha accesso all’ufficio (tramite chiave/carta/codice).

Da fare #4 – Nuove assunzioni e contratti

Se si assumono persone, la ISO 27001 prevede che si abbia il controllo del numero di membri del team, dei loro titoli di lavoro e di chi guiderà/guida ciascuna persona.dovrete avere il controllo dei vostri contratti di lavoro. Se siete in fase di scalata, è utile avere le date di scadenza ecc. in un unico posto.

Fare #5 – Formazione

Dovrete:

• Dimostrare come supportate lo sviluppo delle competenze dei membri del vostro team (ISMS).
• Organizzare la formazione annuale di sensibilizzazione alla sicurezza. 
• Organizzare la formazione annuale sulla sicurezza
• Provare cosa c’era all’ordine del giorno e chi ha partecipato alla formazione. 
• Eseguire la valutazione della formazione.

Da fare #6 – HR & Organizzazione

I requisiti specifici delle Risorse Umane/Organizzazione ISO includono:

Capitolo 5: Responsabilità dell’alta direzione

• Dimostrare leadership e impegno 
• Stabilire la politica di sicurezza
• Stabilire e comunicare le responsabilità e le autorità per i ruoli ISMS

Capitolo 7: Risorse- Determinare e fornire le risorse necessarie per l’implementazione, il mantenimento e il miglioramento continuo dell’ISMS.

• Focalizzarsi sulle competenze necessarie per svolgere il lavoro
• Tutti i membri del team ISMS devono riconoscere le proprie responsabilità e il proprio contributo per un ISMS efficace
• Determinare cosa, quando e come comunicare le priorità dell’ISMS sia internamente che esternamente
• Determinare e mantenere ciò che deve essere documentato (in conformità con questo standard).

9. Preparare la certificazione ISO 27001

Da fare #1 – Audi internat

L’obiettivo dell’audit interno è assicurarsi che l’ISMS sia conforme ai requisiti dell’organizzazione (politica, procedure, obiettivi di sicurezza, ecc.) e ai requisiti della ISO 27001 e valutare se l’ISMS è effettivamente implementato e mantenuto. Consultate il nostro articolo “È tempo di audit interni” per saperne di più. 

Fare #2 – Riesame della direzione

Il riesame della direzione viene eseguito su base annuale e sarà necessario assegnare una persona responsabile del riesame. Il processo, benché complesso, può essere sintetizzato in tre fasi:

• E’ prevista una riunione MT/CEO per discutere tutti gli argomenti e i suggerimenti per il miglioramento.
• MT/CEO definisce e accetta i miglioramenti finali.
• MT/CEO definisce e accetta i miglioramenti finali
• MT/CEO finalizza e approva il rapporto di riesame della direzione da mostrare come evidenza durante l’audit esterno.

Da fare #3 – Documentazione

Oltre alle politiche, alle procedure e alle registrazioni obbligatorie, ci sono 4 documenti obbligatori che devono essere disponibili e pronti per la certificazione di audit esterno: 

• Revisione della gestione
• Rapporto di revisione interna
• Scope of ISMS 
• Scope of ISMS 
• Dichiarazione di applicabilità

Fare #4 – Dichiarazione di Applicabilità

La SoA è una sintesi dello stato di implementazione della vostra organizzazione su ciascuno dei 114 controlli dell’Allegato A della ISO 27001 e deve definire quali controlli sono identificati dalla vostra organizzazione per affrontare i rischi coinvolti nell’attività. Questo può essere fatto conducendo una ISO 27001 gap analysis e una valutazione dei rischi.

10. Organizzare in tempo reale l’audit di certificazione ISO 27001 

Da fare #1 – Lead Auditor accreditato

Una volta che siete pronti per l’audit, assegnate un lead auditor accreditato. I lead auditor hanno seguito una formazione approfondita, quindi siete in buone mani.

Fare #2 – Pianificare il mantenimento della certificazione

Una volta ottenuta la certificazione ISO 27001, è importante mantenere il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) su base continuativa per garantire che rimanga efficace, pertinente e allineato con gli obiettivi dell’organizzazione. È qui che entra in gioco il pacchetto di manutenzione Compleye ISO 27001. 

Siete pronti per iniziare a spuntare la lista di controllo completa per la conformità ISO 27001 (2023)

Per saperne di più su come Compleye può aiutarvi con la vostra conformità ISO 27001.

Chatta con uno dei nostri super venditori e inizia a spuntare la tua lista di controllo completa per la conformità ISO 27001.

Richiede attenzione ai dettagli e processi accurati e sistematici. Ecco perché una lista di controllo per la conformità ISO 27001 è proprio quello che vi serve per semplificare il processo di certificazione.

Come conformarsi alla ISO 27001

“Gli standard ISO sono concordati a livello internazionale da esperti. Pensate a loro come a una formula che descrive il modo migliore di fare qualcosa.” Questo secondo le stesse ISO. 

Per essere conformi agli standard ISO, è necessario seguire una formula che garantisca che tutti i protocolli di sicurezza e protezione siano in vigore e che i dipendenti ne siano a conoscenza. 

Il processo inizia con una chiara comprensione del vostro Sistema di Gestione della Sicurezza delle Informazioni (ISMS). 

Abbiamo fornito una lista di controllo ISO 27001 completa che potete utilizzare per assicurarvi di avere tutte le basi coperte, nonché un assaggio di alcuni dei contenuti del nostro Wiki (la guida che supporta il nostro strumento online, Compleye Online). 

Lista di controllo completa per la conformità ISO 27001

1. Definire la strategia e le ambizioni ISO 27001

Fare #1 – Organizzazione & contesto 

Organizzazione e contesto è un argomento obbligatorio. Un buon modo per ottenere approfondimenti per i contenuti di Organizzazione & Contesto è quello di definire i vostri prodotti definendo (per prodotto): 

• Descrizione di alto livello
• Tipo di clienti 
• Terze parti coinvolte. 

Questo vi porterà a chiedere:

• Qual è la sfida della conformità?
• Quali sono i requisiti di sicurezza? 

Se siete in grado di rispondere (e documentare) a queste domande, siete conformi alla ISO 27001.

Da fare #2 – Obiettivi ISMS

Dovrete definire, implementare e rivedere (almeno su base annuale) gli obiettivi del vostro ISMS  Nel loro articolo Obiettivi di sicurezza delle informazioni nella ISO 27001, ISO27001guide.com afferma che “gli obiettivi di sicurezza delle informazioni nella ISO 27001 consentono alle organizzazioni di definire i propri requisiti fin dall’inizio e di effettuare un monitoraggio continuo per garantire il loro raggiungimento”

2. Determinare i requisiti legali e di conformità

Fare #1 – Parti interessate e requisiti legali

In questo caso, vi addentrerete nei requisiti legali che dovrete soddisfare per le vostre terze parti e definirete le aspettative di entrambe le parti. Il revisore esterno si aspetterà che abbiate documentato come avete stabilito questo processo.

Esempi di parti interessate (https://www.iso9001help.co.uk/)

Fare #2 – Proprietà intellettuale

La proprietà intellettuale (IP) è una categoria di proprietà che comprende le creazioni immateriali dell’intelletto umano. La proprietà intellettuale tipica delle aziende tecnologiche può essere il codice sorgente, i modelli di intelligenza artificiale, alcuni database o un metodo di lavoro. In breve, la PI è tutto ciò che si vuole tenere segreto per i clienti e i concorrenti e che deve essere protetto quando il team lo utilizza.  

Fare #3 – Contratti 

Assicuratevi di avere una cartella con tutti i vostri contratti, in modo da avere una buona visione d’insieme, e utilizzate cartelle diverse all’interno di quella cartella per i diversi tipi di contratti (o di stakeholder). Limitate l’accesso a questi contratti all’interno della vostra organizzazione. Il revisore esterno può chiedere di visionare 1 o 2 contratti (campioni) durante l’audit. 

Fare #4 – Impatto globale

L’ingresso in nuovi mercati richiederà una ricerca sui requisiti di privacy e sicurezza. Le normative sulla privacy dei dati personali devono essere prese in considerazione quando si contrae o ci si espande al di fuori dell’area geografica del GDPR. Ulteriori requisiti per il vostro ISMS possono essere regolati da:

• Clienti 
• Legge 

Da fare #5 – GDPR

Se siete un’azienda con sede in – o che svolge attività in –  Europa, avete bisogno di essere conformi al GDPR. Mentre vi preparate alla certificazione, dovrete:

• Definire su quale base giuridica state raccogliendo i dati.
• Dare una panoramica di tutta la documentazione per gli utenti.
• Avere un registro per tenere traccia delle richieste degli utenti finali, ad esempio la cancellazione dei dati
• Creare una panoramica di tutte le violazioni dei dati.
• Avere una panoramica di tutti gli accordi sul trattamento dei dati.

3. Definire l’ambito

Fare #1 – Definire i componenti dell’infrastruttura IT

La ISO 27001 richiede un campo di applicazione per il vostro ISMS, quindi dovrete definire cosa prenderete nel campo di applicazione. Definire i componenti della vostra infrastruttura IT vi aiuterà a definire il vostro campo di applicazione. 

Fare #2 – Definire il campo di applicazione dell’ISMS

Vedi l’articolo di Compleye,  ‘Come scrivere una dichiarazione di ambito ISO 27001 (+3 esempi)’.

4. Grafico di tutti i rischi e le opportunità

Fare #1 – Panoramica dei fornitori

Quando si implementa una serie di controlli e processi per affrontare i rischi dei fornitori, si può prendere in considerazione quanto segue:

• Esecuzione di accordi contrattuali con ciascun fornitore. 
• Mantenere un elenco aggiornato e facilmente accessibile dei fornitori.
• Formulare un documento di politica e procedure per la gestione dei fornitori.
• Implementazione dei processi e dei controlli di gestione del cambiamento dei fornitori.
• Assicurare che i fornitori soddisfino i requisiti contrattuali di sicurezza delle informazioni. 
• Determinare e documentare adeguatamente, se applicabile, se i fornitori hanno accesso alla vostra infrastruttura IT
• Determinare e documentare adeguatamente, se applicabile, se i fornitori possono essere coinvolti nelle procedure di sicurezza.
• Eseguire la valutazione del rischio di sicurezza dei fornitori.

Fare #2 – Valutazione dei fornitori

La valutazione dei fornitori è un argomento molto importante nella ISO 27001, soprattutto per le aziende tecnologiche che si avvalgono di un gran numero di fornitori. Dovrete avere il controllo dei vostri fornitori e valutare annualmente i fornitori ad alto rischio su una serie di argomenti. Il proprietario del fornitore dovrà esaminare il fornitore sulle informazioni di base e sui contratti. 

Fare #3 – Valutazione del fornitore

Seguire i seguenti passi:

• Verificare i fornitori esistenti.
• Assegnare a ogni fornitore una valutazione di sicurezza.
• Rispondere ai rischi per la sicurezza e definire le metriche di performance del fornitore.
• Continuare a monitorare i fornitori.

Fare #4 – Classificazione dei dati

Nel contesto della sicurezza delle informazioni, la classificazione dei dati si basa sul loro livello di riservatezza e sull’impatto sull’organizzazione nel caso in cui tali dati vengano divulgati, alterati o distrutti senza autorizzazione. Considerate le seguenti domande quando classificate le vostre informazioni:

• Quali dati sugli stakeholder raccoglie la vostra organizzazione?
• Quali dati create nell’ambito delle operazioni quotidiane?
• Quali dati, se persi, avrebbero un impatto particolare sulla vostra organizzazione?
• Quali dati sarebbero classificati come confidenziali?
• Quali dati si qualificano come dati personali?
• Chi è responsabile dell’integrità e dell’accuratezza dei dati?
• Chi è responsabile dell’integrità e della precisione dei dati?
• Chi può e deve accedere ai dati?

Per fare #5 – Piano di continuità aziendale

A Compleye consigliamo di eseguire il BCP prima dell’audit interno e del riesame della direzione, poiché questa valutazione probabilmente porterà agli ultimi miglioramenti da apportare per essere pronti per la certificazione. In alternativa, eseguite il BCP due volte: la prima, quando iniziate a implementare il vostro ISMS e la seconda, prima dell’audit esterno. 

Da fare #6 – ISRA

La valutazione del rischio per la sicurezza delle informazioni (ISRA) è la valutazione del rischio più importante dell’ISMS e deve essere eseguita con il vostro team ISMS. Dovrete eseguire un ISRA su base annuale utilizzando lo stesso metodo ogni anno, in modo da poter confrontare i risultati.  

Fare #7 – Test DRP e PEN

Ecco un rapido esercizio per definire il vostro DRP crisi/disastro: 

Definire ciò che voi (per la vostra azienda) considerate: 

• Un evento 
• Un incidente
• Un disastro/crisi

Quando si parla di pentesting, Breachlock lo dice meglio con questa fantastica infografica:

Da fare #8 – Valutazione GDPR

I rischi e le opportunità del GDPR abbondano. Tre di queste possono essere esplorate in questo articolo completo di Comforte: “Tre rischi e opportunità del GDPR”.

Compleye Online fornisce un modello di valutazione del GDPR a 22 domande. 

Da fare #9 – Valutazione d’impatto sulla privacy

Una DPIA potrebbe essere necessaria se avete più prodotti: eseguite una DPIA per ogni prodotto (o servizio). Se lavorate con diversi tipi di progetti (ad esempio Proof of Concept) dovrete anche eseguire una nuova DPIA per ogni progetto. Quando fate affari con organizzazioni governative, ad esempio, è probabile che vi chiedano di condividere una copia della vostra DPIA.

5. Decidete le politiche e le procedure di sicurezza

Da fare #1 – Politiche e procedure di sicurezza

Prima di poter aggiungere record, è necessario adottare politiche e procedure. Una delle politiche obbligatorie della ISO 27001 è la Politica di sicurezza, che descrive le intenzioni e le ambizioni (obiettivi) che avete definito per il vostro ISMS

Da fare #2 – Modelli

Ci sono numerose politiche e procedure obbligatorie che devono essere implementate nel vostro ISMS. Creare questa documentazione può richiedere molto tempo e potreste non essere sicuri di aver coperto tutti gli elementi necessari. L’utilizzo di modelli come quelli forniti da uno strumento online come Compleye Online fornirà la guida necessaria per soddisfare i requisiti per ottenere la certificazione

Da fare #3 – Liste di controllo

Il vostro ISMS ha bisogno di un miglioramento e di una manutenzione continui. 

Creare liste di controllo è un modo snello per tenere traccia delle attività e dei passaggi quando si seguono le procedure di miglioramento e manutenzione. 

6. Impostare un sistema di misure e controlli

Fare #1 – Metriche di sicurezza

Le metriche di sicurezza sono “KPI” definiti per verificare se il sistema di gestione della sicurezza delle informazioni sta funzionando efficacemente. 

E’ necessario:

• Definire che cos’è un incidente;
• Tenere traccia dei vostri incidenti;
• Assolvi gli incidenti con azioni correttive ;
• Affrontate la causa principale per definire il modo in cui la preverrete in futuro.
• Tenete traccia dei vostri livelli di servizio.

Fare #2 – Gestione delle risorse

Gli asset hardware che trasportano le informazioni, i server e i dati sono tutti asset. Per gestirli è necessario tenere traccia di tutte le risorse e sapere quali sono quelle utilizzate e se sono di proprietà dell’azienda. È inoltre necessario tenere traccia delle modifiche e degli spostamenti delle risorse.

Fare #3 – Controlli

L’Allegato A consiste di 114 controlli. Dovrete adottare, implementare e mantenere i controlli.  Ci sono 2 modi per definire e implementare i controlli: 

• Prendere l’elenco ISO 27001 Allegato A e definire tutti i controlli all’inizio;  
• Definire gradualmente i controlli man mano che si lavora per la certificazione e si adottano politiche/procedure o si eseguono valutazioni. Verificare che tutti i controlli dell’Allegato A siano in atto alla fine.  

Fare #4 – Gestione degli accessi

La gestione degli accessi in generale è un argomento importante per il vostro ISMS. Non avere il controllo degli accessi al software può facilmente causare incidenti che si trasformano in violazioni dei dati.  
Avrete bisogno di una politica di gestione degli accessi e dovrete avere il controllo dei diversi tipi di accesso:  

• Accesso alla sede dell’ufficio 
• Accesso all’hardware 
• Accesso al software 
• Accesso alla documentazione 
• Accesso ai dati in generale 

7. Implementare i punti di controllo operativi e i follow-up

Fare #1 – Riunioni di sicurezza

Durante le riunioni di sicurezza con il vostro team ISMS, potete prendere decisioni su tutti gli argomenti relativi al vostro ISMS. Dovrete assegnare un proprietario della riunione di sicurezza, documentare le modifiche, controllare i controlli e valutare i miglioramenti.

Da fare #2 – Inviti all’azione per i follow-up

Le riunioni di sicurezza sono una parte obbligatoria dell’ISMS operativo in cui il team si allinea, esegue controlli periodici, lavora in modo collaborativo su compiti, pianificazione, ecc. Tutti i compiti di follow-up richiesti al team ISMS sono definiti con inviti all’azione dopo la riunione di sicurezza

8. Occuparsi dei ruoli, delle responsabilità, della leadership e della gestione

Fare #1 – Assegnare i ruoli ISMS

La ISO 27001 richiede la presenza di un team ISMS per la creazione, l’implementazione e la manutenzione. È inoltre necessario avere una visione d’insieme di tutti i membri del team, in modo da poter creare sicurezza e privacy intorno a persone e processi.

Fare #2 – Assegnare i ruoli di sicurezza obbligatori

Consigliamo di iniziare assegnando un minimo di 2 membri del team responsabili del vostro ISMS.assicuratevi sempre che all’interno del vostro ISMS vi sia una conoscenza della tecnologia e del business.  

Assegnate anche un responsabile della sicurezza (SO), della privacy (PO) e della conformità (CO).  

Da fare #3 – Sicurezza dell’ufficio

Se avete un ufficio, siete responsabili della sicurezza fisica del vostro ufficio e di tenere traccia di chi ha accesso all’ufficio (tramite chiave/carta/codice).

Da fare #4 – Nuove assunzioni e contratti

Se si assumono persone, la ISO 27001 prevede che si abbia il controllo del numero di membri del team, dei loro titoli di lavoro e di chi guiderà/guida ciascuna persona.dovrete avere il controllo dei vostri contratti di lavoro. Se siete in fase di scalata, è utile avere le date di scadenza ecc. in un unico posto.

Fare #5 – Formazione

Dovrete:

• Dimostrare come supportate lo sviluppo delle competenze dei membri del vostro team (ISMS).
• Organizzare la formazione annuale di sensibilizzazione alla sicurezza. 
• Organizzare la formazione annuale sulla sicurezza
• Provare cosa c’era all’ordine del giorno e chi ha partecipato alla formazione. 
• Eseguire la valutazione della formazione.

Da fare #6 – HR & Organizzazione

I requisiti specifici delle Risorse Umane/Organizzazione ISO includono:

Capitolo 5: Responsabilità dell’alta direzione

• Dimostrare leadership e impegno 
• Stabilire la politica di sicurezza
• Stabilire e comunicare le responsabilità e le autorità per i ruoli ISMS

Capitolo 7: Risorse- Determinare e fornire le risorse necessarie per l’implementazione, il mantenimento e il miglioramento continuo dell’ISMS.

• Focalizzarsi sulle competenze necessarie per svolgere il lavoro
• Tutti i membri del team ISMS devono riconoscere le proprie responsabilità e il proprio contributo per un ISMS efficace
• Determinare cosa, quando e come comunicare le priorità dell’ISMS sia internamente che esternamente
• Determinare e mantenere ciò che deve essere documentato (in conformità con questo standard).

9. Preparare la certificazione ISO 27001

Da fare #1 – Audi internat

L’obiettivo dell’audit interno è assicurarsi che l’ISMS sia conforme ai requisiti dell’organizzazione (politica, procedure, obiettivi di sicurezza, ecc.) e ai requisiti della ISO 27001 e valutare se l’ISMS è effettivamente implementato e mantenuto. Consultate il nostro articolo “È tempo di audit interni” per saperne di più. 

Fare #2 – Riesame della direzione

Il riesame della direzione viene eseguito su base annuale e sarà necessario assegnare una persona responsabile del riesame. Il processo, benché complesso, può essere sintetizzato in tre fasi:

• E’ prevista una riunione MT/CEO per discutere tutti gli argomenti e i suggerimenti per il miglioramento.
• MT/CEO definisce e accetta i miglioramenti finali.
• MT/CEO definisce e accetta i miglioramenti finali
• MT/CEO finalizza e approva il rapporto di riesame della direzione da mostrare come evidenza durante l’audit esterno.

Da fare #3 – Documentazione

Oltre alle politiche, alle procedure e alle registrazioni obbligatorie, ci sono 4 documenti obbligatori che devono essere disponibili e pronti per la certificazione di audit esterno: 

• Revisione della gestione
• Rapporto di revisione interna
• Scope of ISMS 
• Scope of ISMS 
• Dichiarazione di applicabilità

Fare #4 – Dichiarazione di Applicabilità

La SoA è una sintesi dello stato di implementazione della vostra organizzazione su ciascuno dei 114 controlli dell’Allegato A della ISO 27001 e deve definire quali controlli sono identificati dalla vostra organizzazione per affrontare i rischi coinvolti nell’attività. Questo può essere fatto conducendo una ISO 27001 gap analysis e una valutazione dei rischi.

10. Organizzare in tempo reale l’audit di certificazione ISO 27001 

Da fare #1 – Lead Auditor accreditato

Una volta che siete pronti per l’audit, assegnate un lead auditor accreditato. I lead auditor hanno seguito una formazione approfondita, quindi siete in buone mani.

Fare #2 – Pianificare il mantenimento della certificazione

Una volta ottenuta la certificazione ISO 27001, è importante mantenere il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) su base continuativa per garantire che rimanga efficace, pertinente e allineato con gli obiettivi dell’organizzazione. È qui che entra in gioco il pacchetto di manutenzione Compleye ISO 27001. 

Siete pronti per iniziare a spuntare la lista di controllo completa per la conformità ISO 27001 (2023)

Per saperne di più su come Compleye può aiutarvi con la vostra conformità ISO 27001.

Chatta con uno dei nostri super venditori e inizia a spuntare la tua lista di controllo completa per la conformità ISO 27001.