Che cos’è un sistema di gestione della sicurezza delle informazioni?

È l’insieme di politiche, ruoli, processi e registrazioni con cui un’organizzazione gestisce la sicurezza delle informazioni in modo voluto e non per caso. Un sistema di gestione della sicurezza delle informazioni (SGSI) risponde di continuo ad alcune domande: quali informazioni e sistemi contano, quali rischi li minacciano, quali misure adottiamo, chi è responsabile, come sappiamo che le misure funzionano e come miglioriamo quando non funzionano. In concreto è fatto di documenti come una politica di sicurezza, una valutazione dei rischi e un piano di trattamento, una dichiarazione dei controlli applicati, procedure per incidenti e fornitori, oltre a prove che vengono seguiti: registri della formazione, riesami degli accessi, esiti degli audit e verbali del riesame della direzione. Si chiama sistema perché gira in un ciclo di pianificare, fare, verificare e agire. La ISO/IEC 27001 ne stabilisce i requisiti, ma anche le aziende che non puntano alla certificazione traggono vantaggio dalla struttura, e gli obblighi di gestione del rischio di NIS2NIS2: seconda direttiva europea sulla sicurezza delle reti e dell'informazione. La legge europea sulla cibersicurezza (direttiva (UE) 2022/2555), che impone obblighi di sicurezza e di notifica degli incidenti a molte aziende. vi si inseriscono in modo naturale. Uno strumento di monitoraggio è un controllo all’interno del sistema e una fonte di prove, non il sistema stesso.

← Tutte le 15 domande su Standard di sicurezza: ISO 27001, SOC 2Tutti i temi