Che cos’è la ISO/IEC 27001, in parole semplici?

La ISO/IEC 27001 è la norma internazionale per gestire un sistema di gestione della sicurezza delle informazioni: un modo ripetibile con cui un’organizzazione decide quali rischi di sicurezza contano, li tratta e migliora di continuo. Non impone un insieme di strumenti. Chiede invece di comprendere contesto e obblighi, coinvolgere la direzione e assegnare responsabilità, valutare i rischi, scegliere controlli per trattarli, applicarli, misurarne l’efficacia, svolgere audit interni e riesami della direzione e correggere ciò che non va. Il suo allegato elenca controlli di riferimento, dalle politiche e dalla gestione dei fornitori fino a registrazione, monitoraggio e sicurezza delle reti, e Lei motiva quali applica. Un’organizzazione può farsi verificare da un organismo di certificazione accreditato che rilascia un certificato, ed è ciò che i clienti chiedono di solito. La certificazione copre un campo di applicazione definito, quindi verifichi sempre quali sedi, servizi e team il certificato include davvero. Per un’azienda media è un progetto serio, che riguarda soprattutto persone e processi più che la tecnologia.

← Tutte le 15 domande su Standard di sicurezza: ISO 27001, SOC 2Tutti i temi