Lasciate che ve lo spieghiamo. La certificazione ISO 27001 non è una passeggiata e le sue sfide non sono come andare in bicicletta. Con le sfide, le sfide sorgeranno. Quando si presentano le sfide, si commettono errori. Gli errori, tuttavia, sono la prova che ci state provando. Assicuratevi solo di non commetterli due volte
Tutti commettiamo errori. Questo non è diverso dal viaggio verso la certificazione ISO 270001: la certificazione ufficiale che garantisce che la vostra organizzazione gestisca i dati in modo sicuro. Abbiamo riassunto le insidie più comuni che potreste incontrare durante l’implementazione della ISO 27001. Oggi le condivideremo con voi.
ISO 27001: gestire il campo di applicazione
“Ambito [ skohp ] – sostantivo – L’estensione dell’area o dell’argomento di cui qualcosa si occupa o per il quale è rilevante” Quando si certifica per la ISO 27001, definire il giusto ambito per l’implementazione di un ISMS (Information Security Management System) può essere complicato. È facile che sia troppo ambizioso o insufficiente. L’adozione di un approccio troppo ambizioso potrebbe portare a non raggiungere gli obiettivi e a demotivare il team. D’altro canto, le organizzazioni che restringono troppo il campo di applicazione rischiano di incorrere in non conformità durante l’audit di certificazione, non potendo dimostrare di avere il pieno controllo del proprio ISMS.
Mancanza di ruoli e responsabilità
Non considerate mai il progetto di implementazione della ISO 27001 come un progetto IT che coinvolge solo le risorse di quel dipartimento. La certificazione ISO 27001 è un progetto che ha un impatto sull’intera organizzazione e su tutti i suoi stakeholder. Tutti i soggetti coinvolti devono essere identificati e i loro ruoli e responsabilità devono essere comunicati all’interno dell’organizzazione. Inoltre, per evitare che l’ISMS vada in frantumi a causa di cambiamenti nel personale chiave, raccomandiamo a tutte le aziende di indicare un sopravvissuto designato con una comprensione generale dell’ISMS. Netflix ci ha insegnato bene.
Non conoscere il valore della ISO 27001
Purtroppo, alcune organizzazioni percepiscono la loro impronta informatica come insignificante e non vedono il valore aggiunto della certificazione ISO 27001. È un peccato. La ISO 27001 guida all’implementazione di misure appropriate per mitigare i rischi per la privacy e la sicurezza, con misure tecniche raccomandate in linea con i requisiti del GDPR. Vi aiuta a conformarvi al GDPR, in quanto fornisce un eccellente punto di partenza per le organizzazioni che desiderano implementare le misure tecniche e organizzative necessarie per ridurre il rischio di violazione dei dati.
Leggi anche: Top 10 ISO 27001 Certification Software Tools
Mancata vigilanza dopo la certificazione
È comune che le organizzazioni tirino un sospiro di sollievo quando ricevono la certificazione iniziale. Tuttavia, il rischio è quello di entrare troppo in “modalità relax” e di cadere ancora vittima delle comuni insidie della ISO 27001. La ISO 27001 è un processo continuo che deve essere attuato durante tutto l’anno, non solo durante l’audit. Tutto deve essere mantenuto per dimostrare che l’ISMS continua a funzionare.
Con un gruppo di persone brillanti, una grande motivazione e una modesta quantità di formazione, sarete in grado di sorprendere voi stessi. Prendetevi il tempo necessario per definire l’ambito di applicazione, identificare gli ostacoli, costruire un team forte, considerare l’intera organizzazione e preparare il piano di comunicazione. Non sottovalutate le vittorie del processo. Per concludere, dovete assicurarvi che l’ISMS sia un processo vivo, integrato nella cultura dell’organizzazione, in modo che continui a funzionare come previsto anche dopo il conseguimento della certificazione.
La certificazione ISO 27001 è proprio come la vita. Commettete errori, imparate da essi e rimanete in carreggiata. Ne vale la pena.
