ISO/IEC 27001, il sistema di gestione che si vede
Il percorso completo verso la certificazione: rischi, procedure, Dichiarazione di Applicabilità, audit interni e riesame della direzione, in un posto solo.
Chi ha bisogno della ISO 27001
La ISO/IEC 27001 è lo standard internazionale per il sistema di gestione della sicurezza delle informazioni (SGSI, in inglese ISMS). Non è un obbligo di legge: la scelgono le aziende che la vedono chiesta nei contratti, nelle gare e nei questionari dei clienti, o che vogliono un metodo riconosciuto per governare la sicurezza.
È anche il riferimento più usato per dimostrare di rispettare obblighi come NIS2 e GDPR: un SGSI ben costruito copre gran parte di quello che quelle norme chiedono.
La certificazione la rilascia un ente accreditato dopo un audit. Il lavoro che viene prima, e quello che deve continuare dopo, è tutto tuo: ed è quello che Dottor Box organizza.
Checklist ISO 27001: i requisiti principali
Le clausole da 4 a 10 descrivono il sistema di gestione; l'Allegato A elenca i controlli di sicurezza, che nella versione 2022 sono 93, raggruppati in organizzativi, sulle persone, fisici e tecnologici.
- Contesto dell'organizzazione e campo di applicazione
- Leadership, politica per la sicurezza, ruoli e responsabilità
- Valutazione e trattamento del rischio (clausole 6.1 e 8.2)
- Dichiarazione di Applicabilità sui controlli dell'Allegato A
- Competenza, consapevolezza e comunicazione
- Informazioni documentate, controllate e versionate
- Pianificazione e controllo operativo
- Monitoraggio, misurazione e audit interni
- Riesame della direzione (clausola 9.3)
- Non conformità, azioni correttive e miglioramento continuo
La norma su cui il modulo Compliance è costruito
L'autovalutazione misura quanto manca. Il modulo Compliance e GRC è modellato sulla ISO 27001 e copre l'intero ciclo del sistema di gestione.
| Requisito ISO 27001 | Come lo copre Dottor Box |
|---|---|
| Gap analysis iniziale | Autovalutazione ISO 27001 su copertura e maturità, con simulazione dei servizi da attivare |
| Rischio (6.1, 8.2) | Risk Assessment in stile ISO 27005: probabilità per impatto, piano di trattamento, rischio residuo, campagne datate |
| Politiche e informazioni documentate | Compliance e GRC: procedure con frontespizio in stile ISO, revisioni confrontabili, classificazione TLP |
| Dichiarazione di Applicabilità | SOA dedotta dallo stato dei task collegati, con la decisione del cliente che prevale sempre; esportabile in PDF |
| Audit interni (9.2) | Cicli di audit secondo ISO 19011, con checklist generata da requisiti e controlli |
| Non conformità (10) | Non conformità aperte dai rilievi, con un ciclo che non si chiude se l'azione è "non efficace" |
| Riesame della direzione (9.3) | Verbale con gli elementi in ingresso e in uscita, approvato da una persona e poi immutabile |
| Consapevolezza e competenza | Formazione con registro dei corsi e Cyber Awareness |
| Controlli tecnologici dell'Allegato A | Vulnerability Assessment, Asset Management, Log accessi e posture cloud |
| Fornitori | Supply Chain: questionari di qualifica con evidenze allegate |
Un SGSI che vive anche dopo la certificazione
Rischi con il prima e il dopo
Il confronto fra rischio inerente e residuo che l'auditor chiede, con un responsabile per ogni rischio.
SOA sempre allineata
La Dichiarazione di Applicabilità segue lo stato reale dei task, e si esporta in PDF quando serve.
Audit che girano
Checklist costruite sulla norma, esiti per punto e non conformità tracciate fino alla chiusura.
Evidenze che scadono
I task periodici si riaprono da soli: un'evidenza approvata una volta non vale per sempre.
Lo stesso percorso, l'abbiamo fatto noi
Dottor Marc, l'azienda che sviluppa e gestisce Dottor Box, è certificata ISO/IEC 27001 e ISO 9001. Chi ti fornisce la piattaforma è sottoposto agli stessi controlli che la piattaforma ti aiuta a costruire, con audit periodici di un ente terzo.
Per te vale due volte: conosciamo il percorso dall'interno, e quando un tuo cliente ti chiede se i tuoi fornitori ICT sono certificati, la risposta è documentata.
Certificarsi non è scrivere le procedure: è dimostrare che gli audit interni girano, che le non conformità si chiudono e che la direzione riesamina.
I moduli che lavorano per la ISO 27001
Compliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareRisk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più DimostrareDocumenti di conformità
SOA, verbali di riesame, fascicoli delle evidenze, rapporti di audit e registri.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di più GovernareFormazione
E-learning per il personale, con il registro dei corsi svolti da esibire.
Scopri di più ConformitàISO/IEC 27017
I controlli di sicurezza specifici per i servizi cloud.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.