ISO 27001

WHAT IS THAT

Lo standard ISO/IEC 27001 è l'unica norma internazionale soggetta a verifica e certificabile che definisce i requisiti per un SGSI (Sistema di Gestione della Sicurezza delle Informazioni) ed è progettata per garantire la selezione di controlli di sicurezza adeguati e proporzionati.
  
In questo modo è possibile proteggere le informazioni e dare fiducia agli stakeholder, in particolare ai propri clienti.
 
La famiglia delle norme ISO 27000, ad oggi pubblicate, si può raggruppare nelle seguenti aree tematiche:

1. Terminologia
   • ISO/IEC 27000 - "Information technology -- Security techniques -- Information security management systems -- Overview and vocabulary "
2. Requisiti generali
   • ISO/IEC 27001 - "Information security management system - Requirements".  È il documento normativo al quale un'organizzazione che intenda certificarsi deve far riferimento.
   • ISO/IEC 27006 - "Information technology -- Security techniques -- Requirements for bodies providing audit and certification of information security management systems ". È lo standard di riferimento per gli organismi di certificazione.
3. Linee guida generali
   • ISO/IEC 27002 - "Information technology -- Security techniques -- Code of practice for information security management". Fornisce delle indicazioni non prescrittive per proteggere il patrimonio informativo di un'azienda
   • ISO/IEC 27003 - "Information technology -- Security techniques -- Information security management system implementation guidance ". Fornisce le linee guida per definire un progetto di implementazione di un sistema di gestione della Sicurezza delle informazioni in conformità allo standard ISO 27001
   • ISO/IEC 27004 - "Information technology -- Security techniques -- Information security management -- Measurement ". Fornisce le modalità e gli esempi di costrutti per definire e misurare l'efficacia del Sistema di Gestione della Sicurezza delle Informazioni adottato dall'organizzazione e dei relativi controlli dell'Annex A 
   • ISO/IEC 27005 - "Information technology -- Security techniques -- Information security risk management ". Fornisce indicazioni sulle modalità e le fasi da adottare per una corretta valutazione del rischio aziendale, in particolare sul rischio inerente la sicurezza delle informazioni. Tale standard, nella versione 2011, è stato allineato con la norma ISO/IEC 31000 "Risk management -- Principles and guidelines "
   • ISO/IEC 27007 – “Information technology -- Security techniques -- Guidelines for information security management systems auditing”. E’ una linea guida per Organismi di Certificazione (OdC) accreditati, per internal auditors, auditors esterni/terza parte per verificare la conformità ai requisiti di un Sistema di Gestione della Sicurezza delle Informazioni secondo la norma ISO/IEC 27001
   • ISO/ IEC TR 27008 – “Information technology -- Security techniques -- Guidelines for auditors on information security controls”. Supporta la pianificazione ed esecuzione degli audit SGSI aggiungendo ulteriore valore chiudendo il gap tra revisione del Sistema e, se necessario, implementando prove di verifica dei controlli previsti dall’annex A della ISO/IEC 27001.
4. linee guida specifiche per settore
   • ISO/IEC 27010 – “Information technology -- Security techniques -- Information security management for inter-sector and inter-organizational communications”
   • ISO/IEC 27011 - "Information technology -- Security techniques -- Information security management guidelines for telecommunications organizations based on ISO/IEC 27002 "
   • ISO/IEC 27014 – “Information technology -- Security techniques -- Governance of information security”
   • ISO/IEC 27013 - "Information technology -- Security techniques -- Guidance on the integrated implementation of ISO/IEC 27001 and ISO/IEC 20000-1 "
   • ISO/IEC TR 27015 – “Information technology -- Security techniques -- Information security management guidelines for financial services”ISO/IEC 27031 - "Information technology -- Security techniques -- Guidelines for information and communication technology readiness for business continuity "
   • ISO/IEC 27032 – “Information technology -- Security techniques -- Guidelines for cybersecurity”
   • ISO/IEC 27033-1 - "Information technology -- Security techniques -- Network security -- Part 1: Overview and concept"
   • ISO/IEC 27033-2 – “ Information technology -- Security techniques -- Network security -- Part 2: Guidelines for the design and implementation of network security
   • ISO/IEC 27033-3 - "Information technology -- Security techniques -- Network security -- Part 3: Reference networking scenarios -- Threats, design techniques and control issues"
   • ISO/IEC 27034-1 – “Information technology -- Security techniques -- Application security -- Part 1: Overview and concepts”
   • ISO/IEC 27035 – “Information technology -- Security techniques -- Information security incident management”
   • ISO/IEC 27036-3 - “Information technology -- Security techniques -- Information security for supplier relationships -- Part 3: Guidelines for information and communication technology supply chain security”
   • ISO/IEC 27037 – “Information technology -- Security techniques -- Guidelines for identification, collection, acquisition and preservation of digital evidence”
   • ISO 27799 - "Health informatics -- Information security management in health using ISO/IEC 27002"

 
CSQA ha ottenuto da Accredia, con delibera del comitato settoriale di accreditamento certificazione e ispezione (CSA CI) del 16/12/2019, l’estensione dell’accreditamento per lo schema SSI allo scopo flessibile per il seguente ambito: Schema di certificazione ISO/IEC 27001:2013 con integrazione delle linee guida della serie ISO/IEC 270XX:20YY “Information Technology, Security techniques, Code of practice”.

Alla data odierna CSQA ha implementato, in tale ambito, le attività di certificazione accreditata secondo le seguenti Linee Guida:
 

• ISO/IEC 27017 “Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services”;
• ISO/IEC 27018 “Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors”;
• ISO/IEC 27037 Guidelines for identification, collection, acquisition and preservation of digital evidence
• ISO/IEC 27701 Privacy Information Management
• ISO/IEC 27035-1 Principles of Incident Management

CSQA è inoltre in fase di accreditamento per le seguenti Linee Guida: 
 

• ISO/IEC 27034-1:2011 "Information technology — Security techniques — Application security"
• ISO/IEC 27035:2016 "Information technology — Security Techniques —  Information security incident management”.

Peculiarità dell’accreditamento con "scopo flessibile" è quella di permettere al CAB di ampliare tale elenco in autonomia e quindi con tempi brevi a fronte di eventuali richieste.

KEY POINTS

• risk assessment in line with the reference context ;
• the concept of information (or information resource) with relative valorisation;
• the economic-financial aspects concerning Information Security;
• the organizational (and not only technological) aspect of Information Security;
• the effectiveness of the ISMS and the countermeasures adopted to deal with the risks .

Of fundamental importance is Annex A which contains the 114 "controls" (or countermeasures) which the organization intending to apply the standard must comply with.

They concern among other things:

• information security policy and organization
• human resource security
• asset management
• logical access control
• encryption
• physical and environmental safety
• the safety of operational activities
• communications security
• application security management
• the relationship with the suppliers involved in the management of information security
• the handling of incidents (related to information security)
• the management of Business Continuity
• regulatory compliance

ADVANTAGES

• Obtain a competitive advantage by meeting the contractual requirements of its customers with particular attention to the security of their information
• Execute impartially the identification, assessment and management of the organization's risks , while formalizing the processes, procedures and documentation related to information security
• Demonstrate impartially compliance with applicable laws and regulations
• Demonstrate the commitment of company leaders to ensure information security
• Ensure constant monitoring of company performance and activate the necessary improvement actions