Risposta breve
Parte di ISO 27001 puoi configurarla tu stesso: descrivere i tuoi processi, valutare i rischi e implementare le misure. Ma il certificato vero e proprio non puoi rilasciarlo tu stesso. Lo fa una società di certificazione indipendente e accreditata che valuta la tua organizzazione rispetto alla norma. Fare da soli e affidare a terzi non sono quindi due scelte separate, ma due step dello stesso percorso.
Il fatto che tu abbia bisogno di una società di consulenza dipende soprattutto da quanto tempo, competenza e capacità interna hai a disposizione. Per una piccola azienda con un ambiente IT gestibile, l'implementazione del sistema è spesso fattibile da soli. Per un'organizzazione con più sedi, fornitori e sistemi, quel percorso di solito richiede così tante ore che la consulenza accelera il processo.
Che cosa è esattamente ISO 27001
ISO 27001 è una norma internazionale per la sicurezza delle informazioni. La norma non descrive prodotti tecnici, ma un sistema di accordi: come valutare i rischi, quali misure adottare di conseguenza e come mantenere quel sistema. Questo insieme è chiamato ISMS, il sistema di gestione della sicurezza delle informazioni. Un certificato dimostra che una terza parte indipendente ha verificato questo sistema, non che non possa mai accadere nulla di sbagliato.
Cosa potete fare voi
L'implementazione dell'ISMS stesso non è per legge un compito riservato a una terza parte. Puoi fare tu stesso: creare una panoramica di quali informazioni e sistemi proteggi, eseguire un'analisi dei rischi, stabilire politiche e procedure, implementare misure come il controllo degli accessi e i backup, e fare un audit interno per verificare che tutto accada davvero come descritto. Molte aziende lo fanno con un dipendente fisso che assume il ruolo di responsabile della sicurezza delle informazioni, integrato con un modello o un piano d'azione.
La sfida è meno nel contenuto che nella completezza. La norma richiede un gran numero di componenti interconnessi, e una società di certificazione verifica proprio che non manchi nulla. Chi lo fa per la prima volta spesso sottovaluta quanta documentazione e prove sono necessarie per dimostrare che una misura non solo esiste, ma viene anche implementata.
Quello che non puoi fare da solo: la società di certificazione
Il certificato stesso proviene da una società di certificazione accreditata per verificare rispetto alla norma ISO 27001. Questa società conduce un audit esterno, di solito in due fasi: prima una verifica della documentazione, poi una verifica nella pratica. Questo step non puoi eseguirlo internamente, nemmeno con un dipendente molto esperto: l'indipendenza della valutazione è parte di quello che rende il certificato prezioso. Scegli tu stesso quale società di certificazione accreditata incarichi.
Quello che una società di consulenza aggiunge
Una società di consulenza non sostituisce la società di certificazione, ma aiuta nello step precedente: configurare e mettere in ordine l'ISMS in modo che l'audit esterno abbia una maggiore probabilità di successo. Questo può includere la strutturazione della documentazione esistente, la formazione dei dipendenti o la guida dell'audit interno. Per aziende senza un proprio reparto IT o compliance, questo risparmia soprattutto tempo: qualcuno che conosce già la norma non deve ricercare ogni componente da zero.
Il fatto che questo risparmio di tempo giustifichi i costi di una società di consulenza varia a seconda dell'organizzazione. Un'azienda con una sola sede e un panorama applicativo gestibile ha un percorso più breve rispetto a un'azienda con più sedi e molte terze parti nella catena.
ISO 27001 è sempre necessaria, o esiste un'alternativa
Non tutti i clienti che richiedono provate misure di sicurezza delle informazioni esigono letteralmente un certificato ISO 27001. Alcuni clienti accettano un'autovalutazione, un questionario o una dichiarazione sulle principali misure, soprattutto se la vostra azienda è piccola o ha accesso limitato ai dati sensibili del cliente. È quindi consigliabile verificare innanzitutto esattamente cosa chiede il vostro cliente, prima di intraprendere un percorso di certificazione. la spiegazione per argomento nella knowledge base mostra quali concetti spesso si nascondono dietro una tale domanda e come si relazionano tra loro.
Supplia.eu non certifica né valuta nulla e quindi non può determinare se la vostra organizzazione è conforme alla norma. Quello che facciamo è riconoscere il questionario del vostro cliente e compilare le risposte da un unico fascicolo della catena, in modo che non dobbiate spiegare ogni volta quali misure avete già adottato. Con poche domande vedete dove si trova approssimativamente la vostra situazione, senza che questo dica nulla sul percorso di certificazione stesso.
Cosa potete fare ora
Iniziate verificando se il vostro cliente richiede un certificato o se è sufficiente una risposta documentata al questionario. Poi verificate quanta parte dell'ISMS avete già informalmente in ordine: i rischi, il controllo degli accessi, i backup e la gestione degli incidenti sono spesso già parzialmente implementati, anche senza che qualcuno l'abbia chiamato così. Solo quando sapete cosa manca ancora, è utile determinare se lo affrontate da soli o se portate con voi un ufficio di consulenza per il passo verso l'organismo di certificazione.
Su la pagina su come le informazioni su supplia.eu vengono create leggete da dove proviene la nostra spiegazione, in modo che possiate consultarla insieme alla norma ufficiale. Se siete ancora incerti se la vostra situazione richiede un certificato, fate la rapida scansione gratuita o consultate le domande frequenti su questionari e prove per un primo orientamento.