>>ISO 27000 - CERTIFICAZIONE DI QUALITA' SULLA SICUREZZA DELLE INFORMAZIONI

Attualmente le informazioni custodite, in particolare, La sicurezza rappresenta dunque un fattore strutturale che si ripercuote su tutta l'organizzazione aziendale, per cui è fondamentale gestire in condizioni di sicurezza l'intero sistema delle informazioni aziendali, salvaguardandone la riservatezza, l'integrità e la disponibilità, per non incorrere in una perdita di competitività e nella riduzione delle quote di mercatocon mezzi informatici, rappresentano oltre il 60% del capitale intellettuale aziendale, ed è perciò necessario dotarsi di un sistema che ne garantisca una gestione sicura anche dai rischi informatici. I crimini e gli attacchi informatici causati dalla violazione dei sistemi di sicurezza sono infatti in costante aumento.

La Norma ISO/IEC 27000 offre gli strumenti necessari alla definizione e attuazione di un Sistema di Gestione per la Sicurezza delle Informazioni. Detta norma si concentra sugli aspetti propri della gestione della sicurezza, proponendo opportune contromisure con un livello di dettaglio tale da consentire la loro applicazione a tutte le Organizzazioni, siano esse grandi, medie o piccole con o senza struttura di Information Technology.
Il Sistema di Gestione per la Sicurezza delle Informazioni è costituito da organizzazione, processi, comportamenti, procedure e risorse/strumenti finalizzati a garantire la sicurezza sia fisica che logica delle informazioni e per essere realizzato, deve comportare i seguenti passi:

Definizione delle politiche di sicurezza aziendali

• Definizione dell'ambito di applicazione del Sistema di Gestione per la Sicurezza delle Informazioni
• Analisi del rischio
• Gestione del rischio
• Selezione degli strumenti di gestione
• Stesura della dichiarazione di applicabilità.

Pur in assenza di obblighi di legge, la certificazione di sicurezza su base volontaria, e in particolare quella effettuata secondo gli standard ISO 27000 può, in alcuni casi, essere utilizzata per dimostrare a terzi di aver ottemperato ad obblighi di legge in materia di sicurezza delle informazioni. A questo proposito, si cita l’esempio notevole del

Codice sulla Privacy (D.Lgs. n. 196/2003 - Codice in materia di protezione dei dati personali), che in presenza di un sistema di certificazione ISO 27000, ne diventa parte integrante.

I vantaggi della certificazione di sicurezza

In assenza di obblighi di legge, il processo di certificazione volontaria della sicurezza delle informazioni può essere iniziato da diversi soggetti, ognuno dei quali potrebbe avere interessi particolari e diversi ma con il fine primario di garantire a terzi (clienti, fornitori, partners, Pubblica Amministrazione, dipendenti, ecc.) il controllo dei vari fattori legati alla tutela delle informazioni, per quanto riguarda gli aspetti tecnologici, operativi, procedurali, umani, ambientali e consentire nel contempo di valorizzare e proteggere gli investimenti aziendali intrapresi.

Infatti la certificazione secondo la norma ISO 27000 consente di:

• rafforzare la sicurezza dei sistemi informativi e la fiducia dei propri partner commerciali
• valorizzare gli investimenti e rafforzare l’immagine aziendale
• dare un segnale forte verso un mercato sempre più sensibile alla problematica sicurezza
• ottenere fattori di vitalità per il sistema di gestione, migliorandone efficienza/efficacia e rispondenza ai requisiti legali e contrattuali
• influenzare positivamente il prestigio aziendale, l'immagine esterna fino ad una possibile incidenza sulla valutazione patrimoniale
• ridurre gli incidenti che comportano responsabilità legali e contrattuali
• migliorare le relazioni con la Pubblica Amministrazione
• assicurare la protezione di segreti commerciali e del know how aziendale
• continuo miglioramento del livello di controllo e di sicurezza delle informazioni.