L’elenco delle informazioni documentate per la certificazione ISO 27001 è lungo. Tuttavia, non tutta la documentazione è obbligatoria e il vostro auditor non vorrà necessariamente esaminare tutto ciò che avete compilato. Ma, come diciamo sempre, meglio essere sicuri, protetti e certificati che dispiaciuti.
Abbiamo compilato un elenco di documenti obbligatori per aiutarvi a fare il primo passo nel vostro percorso di certificazione.
Ma prima, rispondiamo ad alcune domande su altri elementi obbligatori della ISO 27001.
Quanti requisiti obbligatori sono necessari per la ISO 27001?
Secondo l’elenco di Compleye, ci sono 8 requisiti per la certificazione ISO 27001:
- Implement a security management system (ISMS)
- Condurre una valutazione del rischio
- Sviluppare politiche e procedure di sicurezza
- Implementare i controlli per mitigare i rischi identificati
- Monitorare e rivedere l’efficacia dell’ISMS
- Mantenere le registrazioni dell’ISMS
- Comunicare il SGI a tutti i dipendenti
- Formare i dipendenti sull’ISMS
Quante clausole obbligatorie ci sono nella ISO 27001?
Per quanto riguarda le clausole, la ISO 27001 è composta da due sezioni. La Parte 1 (che è la sezione obbligatoria) è composta da 11 clausole che vanno dalla clausola 0 alla clausola 10
La Parte 2, nota anche come Allegato A, contiene 114 (sì, avete letto bene, centoquattordici!) controlli. Questi controlli sono ciò su cui strutturerete la vostra Dichiarazione di Applicabilità (SoA).
Un audit interno è obbligatorio per la ISO 27001?
Si. E, se ci pensate (o anche se non ci pensate) questo ha assolutamente senso perché un audit vi aiuta anche a verificare che il vostro ISMS funzioni come dovrebbe.
Nel nostro articolo “È tempo di audit interno“, approfondiamo i dettagli dell’audit interno;
Il manuale ISMS è un documento obbligatorio?
Non è obbligatorio avere un manuale ISMS, ma è altamente raccomandato. Un manuale ISMS fa parte di una strategia completa di gestione del rischio. È una soluzione all-in-one per archiviare tutti i documenti per una rapida e facile consultazione.
E a proposito di documenti, ecco l’elenco che vi avevamo promesso:
Documentazione obbligatoria ISO 27001
Sebbene non esista un elenco ufficiale di documenti obbligatori per la ISO 27001, abbiamo voluto delineare quali documenti dovreste assolutamente considerare di raccogliere. L’elenco su cui ci concentreremo è il seguente:
- Campo dell’ISMS
- Politica e obiettivi della sicurezza delle informazioni
- Metodologia di valutazione e trattamento del rischio
- Dichiarazione di applicabilità
- Piano di trattamento del rischio
- Rapporto di valutazione del rischio
- Definizione dei ruoli e delle responsabilità di sicurezza
- Inventario dei beni
- Uso accettabile dei beni
- Politica di controllo degli accessi
- Procedure operative per la gestione dell’IT
- Principi di ingegneria dei sistemi sicuri
- Politica di sicurezza del fornitore
- Procedura di gestione degli incidenti
- Procedure di continuità aziendale
- Requisiti statutari, normativi e contrattuali
Diamo un’occhiata più da vicino a questi documenti e forniamo un contesto per ciascuno di essi. In questo modo avrete un’idea più precisa di cosa aspettarvi.
Scope of the ISMS (Clause 4.3)
Questa clausola indica agli stakeholder esattamente quali aree della vostra attività sono coperte dal vostro ISMS. Per fornire chiarezza ai vostri stakeholder, potreste fornire una dichiarazione di visione e/o una strategia accanto al campo di applicazione del vostro ISMS. Ricordate che il campo di applicazione del vostro ISMS documentato è l’ingrediente chiave per il successo della certificazione;
Politica e obiettivi di sicurezza delle informazioni
L’alta direzione deve stabilire una politica di sicurezza delle informazioni che sia rilevante per lo scopo della vostra specifica organizzazione (quindi non copiate dal vostro amico!). La politica dimostra che l’alta dirigenza è impegnata negli obiettivi dell’ISMS e nel loro continuo miglioramento;
Metodologia di valutazione e trattamento dei rischi
Dovete dimostrare come identificate, analizzate, valutate e date priorità ai vostri rischi informatici. Decidete cosa è appropriato per la vostra organizzazione e scrivetelo in un rapporto, in un elenco, in una matrice o in qualsiasi altro documento convincente che mostri come i rischi vengono controllati.
Dichiarazione di applicabilità
Una SoA renderà il vostro auditor felice come una pasqua. Nel suo articolo ‘The Benefits of the Statement of Applicability in ISMS Projects’, Jayakumar Sundaram spiega che il SoA è “il principale collegamento tra la valutazione e il trattamento del rischio. Il SoA è un documento continuamente aggiornato e controllato che fornisce una panoramica dell’implementazione della sicurezza delle informazioni” Non avremmo potuto dirlo meglio.
Piano di trattamento dei rischi
La clausola 6.1.3 spiega cosa occorre fare per creare un piano di trattamento dei rischi. In breve, dovrete fornire un processo/procedura per il trattamento dei rischi informatici e dimostrare che il processo funziona in modo efficace. È facile!
Rapporto sulla valutazione dei rischi
Una volta identificati i rischi, è necessario capire quali necessitano di un’ulteriore valutazione e come questa viene attivata. Secondo Info-Savvy, “Un’ampia valutazione dei rischi per la sicurezza delle informazioni dovrebbe essere eseguita almeno una volta all’anno.”
Definizione dei ruoli e delle responsabilità in materia di sicurezza
Esistono vari modi per indicare chiaramente ruoli e responsabilità. Si potrebbe dare un’occhiata al grafico RASCI nel toolkit ISO27001.
Inventario dei beni
Non è necessario elencare la macchina del caffè e il dispenser dell’acqua, ma solo gli asset del sistema IT e i relativi gestori/proprietari;
Uso accettabile degli asset
È fondamentale disporre di linee guida (e di formazione) su come utilizzare le risorse IT dell’azienda e su chi le può utilizzare. Tutti, compresi gli appaltatori e gli interinali, devono essere in grado di accedere alle regole di utilizzo delle risorse informatiche. Potreste anche appuntare delle linee guida su come utilizzare la macchina del caffè e il distributore d’acqua;
Politica di controllo degli accessi/Politica di gestione degli accessi
Combinare una politica generale di controllo degli accessi con linee guida specifiche sull’accesso controllato relative a password, firewall, VPN ecc. è un’idea eccellente. Tutte queste linee guida devono essere riviste e aggiornate regolarmente;
Procedure operative per la gestione dell’IT
È necessario generare, diffondere e mantenere procedure operative di alta qualità e di facile lettura e comprensione.
Principi di ingegneria dei sistemi sicuri
Il controllo 8.27 è un controllo preventivo. Garantisce l’eliminazione delle minacce alla CIA. No, non quella! La riservatezza, l’integrità e la disponibilità delle vostre risorse informative;
Politica di sicurezza dei fornitori, alias politica di gestione dei fornitori
Mentre potete controllare (quasi) tutto ciò che accade all’interno dei confini della vostra organizzazione, la sicurezza dei vostri fornitori è qualcosa che sfugge al vostro controllo. Assicuratevi quindi di verificare che abbiano le loro politiche di sicurezza.
Procedura di gestione degli incidenti
La ISO 27001 definisce un incidente di sicurezza come “un evento indesiderato che potrebbe mettere in pericolo la riservatezza, l’integrità o la disponibilità delle informazioni” Che si tratti di unevento di phishing o di una violazione del sistema informatico, la procedura per gestire un incidente deve includere la rapida raccolta di prove, un’analisi forense, la comunicazione sull’incidente e, come per tutte le cose ISO, la conservazione dei documenti;
Procedure di continuità aziendale
Indipendentemente dalla gravità dell’incidente o dell’evento di sicurezza che colpisce la vostra azienda, dovete essere in grado di mantenere le funzioni essenziali e continuare a percorrerela strada della certificazione. La gestione della continuità aziendale è una derivazione della gestione delle crisi e deve essere documentata attraverso strategie, politiche, piani, procedure e rapporti;
Requisiti statutari, normativi e contrattuali
Ah, l’Allegato A.18.1, quella clausola spinosa che fa inciampare molti aspiranti ISO! Le aziende non si rendono conto della quantità di leggi e regolamenti che le riguardano. Ma il vostro auditor amichevole vuole sapere come avete affrontato i vostri obblighi legali, normativi e contrattuali;
Registri obbligatori ISO 27001
Registrazioni di formazione, competenze, esperienza e qualifiche
Gestire un ISMS non è un gioco da ragazzi. È necessario un team che abbia le competenze e la formazione necessarie non solo dal punto di vista della sicurezza, ma anche dal punto di vista delle risorse umane, legale, commerciale, informatico (l’elenco continua). Per dimostrare la conformità a questo punto, si può (abbastanza) facilmente redigere una tabella che mostri chi è coinvolto, cosa fa e la sua esperienza.
Risultati del monitoraggio e della misurazione
Questo articolo dell’ICT Institute spiega al meglio la clausola 9.1. “Il monitoraggio consiste nell’osservare i dati creati durante un processo o da un sistema. La misurazione, invece, richiede la raccolta di dati attraverso un’azione. È possibile, ad esempio, monitorare la disponibilità del proprio sito web controllando la percentuale di uptime del server web tramite un dashboard, oppure misurare la disponibilità contando quante segnalazioni di crash del server sono state create nel sistema di ticketing” Ha senso, no?
Programma di audit interno
Come già detto, avete bisogno di un audit interno come il deserto ha bisogno della pioggia (c’è una canzone da qualche parte). E ne avete bisogno regolarmente per garantire che il vostro ISMS (Information Security Management System) continui a soddisfare gli standard ISO 27001 e per facilitare il miglioramento continuo.
Risultati degli audit interni
Non ha senso condurre un audit interno se non si registrano i risultati. Il rapporto deve contenere:
- Revisioni della documentazione
- Campionamento delle evidenze
- Interviste con il personale chiave dell’ISMS
- Interviste con altro personale e persino con appaltatori esterni
- Valutazioni dei risultati
Risultati del riesame della direzione
Va da sé (ma lo diremo comunque) che lo scopo di un riesame della direzione è quello di informare e fornire prove al top management che l’ISMS implementato e i suoi obiettivi continuano a mostrare segni di efficacia, trasparenza e integrità;
Risultati delle azioni correttive
Una volta identificato un rischio, è necessario intraprendere un’azione correttiva. Le azioni (dalla scoperta alla correzione) devono essere documentate, talvolta attraverso registri, in modo da dimostrare che le azioni correttive intraprese sono state efficaci.
Log delle attività degli utenti, delle eccezioni e degli eventi di sicurezza
Quando si registrano le attività, le eccezioni e gli eventi, è bene ricordare che nei registri degli eventi potrebbero essere utilizzate informazioni private, sensibili e/o personali, per cui è necessario adottare misure di tutela della privacy. Nessuna eccezione!
Aiutare a raccogliere i documenti ISO 27001 obbligatori
Siate consapevoli che il vostro auditor sceglierà cosa vedere. Quindi, per rendere l’audit il più semplice possibile, è meglio prepararsi assicurandosi di avere tutti i documenti giusti e che siano ordinati, archiviati e indicizzati per un facile accesso.
Il modo migliore per assicurarsi di avere tutte le basi coperte è utilizzare una piattaforma online che fornisca la guida e gli strumenti necessari per ottenere la certificazione;
Prenota una demo con Compleye per vedere come possiamo aiutarti a raccogliere i tuoi documenti obbligatori ISO 27001.
