Maturità ISO/IEC 27000 · Sistemi di gestione della sicurezza delle informazioni (SMSI)
Il vostro sistema di gestione della sicurezza delle informazioni, posizionato sulla famiglia ISO 27000 e tradotto in piano d’azione.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO/IEC 27000 · Sistemi di gestione della sicurezza delle informazioni (SMSI)
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO/IEC 27000:2018 (famiglia ISO/IEC 27000) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) a trasformare una constatazione in traiettoria.
La dichiarazione di applicabilità è aggiornata e coerente con le misure realmente in atto?
- N1
Nessuna dichiarazione di applicabilità utilizzabile. Le misure in atto non sono collegate a un elenco di riferimento.
- N2
Esiste una dichiarazione, redatta in occasione del fascicolo iniziale. Non è stata riesaminata da allora e diverse voci non corrispondono più alla realtà.
- N3
La dichiarazione è riesaminata periodicamente, ogni misura adottata o esclusa reca una motivazione e un responsabile identificato.
- N4
I riesami sono sistematici, alimentati dalla valutazione dei rischi e dagli audit interni. Gli scostamenti rilevati danno luogo a un’azione tracciata.
- N5
La dichiarazione viene aggiornata a ogni evoluzione del perimetro o del contesto di rischio, con storico delle versioni e dei motivi di revisione.
Azione per passare da N2 a N3
Riprendere la dichiarazione di applicabilità misura per misura con i responsabili interessati, indicare per ciascuna una motivazione e un titolare, e collegare il suo riesame al riesame di direzione semestrale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 27000.
Di cosa parla questo quadro di riferimento
ISO/IEC 27000 è la norma di ingresso della famiglia dedicata alla sicurezza delle informazioni. Definisce i termini e i principi condivisi da ISO 27001 per i requisiti, ISO 27002 per le misure, ISO 27005 per i rischi e i testi settoriali associati. Descrive cosa sia un SMSI: un perimetro definito, una politica sostenuta dalla direzione, una valutazione dei rischi, un insieme di misure selezionate e motivate, prove di funzionamento, riesami e miglioramento continuo. Non si audita di per sé, fornisce il quadro di lettura dell’insieme.
In pratica, un SMSI si lascia difficilmente governare perché attraversa tutta l’organizzazione. Il perimetro dichiarato corrisponde ancora alle attività reali, dopo le riorganizzazioni e i nuovi servizi digitali? La dichiarazione di applicabilità riflette misure effettivamente in atto, o intenzioni ereditate dal fascicolo di certificazione iniziale? I riesami di direzione producono decisioni tracciate, o un semplice verbale di riunione? Queste domande si pongono raramente nello stesso punto, e nessuno detiene la risposta completa.
Una confusione frequente merita di essere chiarita: la famiglia ISO 27000 non è un accumulo di norme concorrenti. ISO 27000 fornisce il vocabolario, ISO 27001 porta i requisiti certificabili, ISO 27002 propone il catalogo di misure riorganizzato in quattro temi dalla versione 2022, ISO 27005 tratta la valutazione dei rischi. Un SMSI maturo sa dire quale norma serve a cosa nel proprio dispositivo. Molte organizzazioni utilizzano il vocabolario di ISO 27000 senza aver allineato questi mattoni tra loro.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit di conformità. L’audit conclude con uno scostamento, una non conformità minore o maggiore, oppure una conformità. La diagnosi posiziona ogni pratica su una scala progressiva e indica l’azione che fa passare al livello successivo. Non rilascia alcuna certificazione: misura lo stato reale del dispositivo e prepara l’audit, mostrando dove l’SMSI reggerà e dove non reggerà.
In Datamensio, il quadro di riferimento è pronto all’uso e resta adattabile. L’IA regola gli ambiti, riformula le domande e affina i livelli secondo il metodo CMMI, oppure costruisce una declinazione a partire dai vostri documenti: politica di sicurezza, dichiarazione di applicabilità, verbali di riesame.
Norma di riferimento: ISO/IEC 27000:2018 (famiglia ISO/IEC 27000)
Gli ambiti valutati
Contesto e perimetro dell’SMSI
Definizione del campo di applicazione, attività e siti coperti, interfacce e dipendenze, identificazione delle parti interessate e dei loro requisiti.
Leadership e politica
Impegno della direzione, politica di sicurezza delle informazioni formalizzata e diffusa, ruoli e responsabilità attribuiti, risorse allocate.
Valutazione e trattamento dei rischi
Metodo di valutazione, criteri di valutazione e accettazione, piano di trattamento, dichiarazione di applicabilità e motivazione delle misure adottate o escluse.
Misure organizzative
Gestione degli asset, classificazione delle informazioni, gestione degli accessi, relazioni con i fornitori, requisiti contrattuali e clausole di sicurezza.
Sicurezza delle persone
Verifiche pre-assunzione, sensibilizzazione e formazione, impegni di riservatezza, procedure di uscita e mobilità, lavoro da remoto.
Sicurezza fisica e ambientale
Aree sicure, controllo degli accessi fisici, protezione delle apparecchiature, gestione dei supporti e smaltimento.
Misure tecnologiche
Hardening delle configurazioni, registrazione e monitoraggio, gestione delle vulnerabilità e delle patch, crittografia, backup, sicurezza dello sviluppo.
Gestione degli incidenti e continuità
Rilevamento e qualificazione, procedure di risposta, notifica alle parti interessate, lezioni apprese, continuità operativa e relativi test.
Documentazione e prove
Controllo delle informazioni documentate, gestione delle versioni, conservazione delle registrazioni, tracciabilità delle decisioni di sicurezza.
Monitoraggio, riesame e miglioramento
Indicatori di prestazione, audit interni, riesami di direzione, gestione delle non conformità, azioni correttive e monitoraggio nel tempo.
È disponibile una versione breve del quadro di riferimento, con 27 domande, per l’autovalutazione online.
Domande frequenti
ISO 27000 si certifica?
No. ISO/IEC 27000 fornisce il vocabolario e i principi della famiglia. La certificazione riguarda ISO/IEC 27001, di cui ISO 27000 fornisce il quadro di lettura. La diagnosi misura la maturità del vostro SMSI e prepara l’audit, non rilascia alcun attestato.
Che differenza c’è tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza dei requisiti e conclude con una conformità o uno scostamento. La diagnosi posiziona ogni pratica su una scala di maturità e indica l’azione che fa progredire. I due si completano: la diagnosi prepara, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in un’unica sessione di lavoro. La versione completa, in modalità collaborativa con più contributori, si estende su una o due settimane, con la maggior parte del tempo dedicata alla raccolta presso i team coinvolti.
Bisogna già essere certificati per usare questo quadro di riferimento?
No. Si rivolge sia alle organizzazioni che stanno costruendo il proprio SMSI sia a quelle già certificate che vogliono oggettivare il proprio livello reale tra due audit, o estendere il proprio perimetro.
Si può adattare il quadro di riferimento alla nostra organizzazione?
Sì. Potete modificare le domande, i livelli e gli ambiti, oppure partire da una base vuota. L’IA può anche costruire una declinazione a partire dalla vostra politica di sicurezza e dalla vostra dichiarazione di applicabilità. Il controllo del quadro di riferimento resta vostro.
Come confrontare più entità?
Ogni business unit svolge la stessa diagnosi. I punteggi per ambito si confrontano tra entità e con le valutazioni precedenti. Una roadmap trasversale consolida gli audit e raggruppa le azioni comuni.
Come si articola questa diagnosi con NIS 2 o DORA?
Questi testi si basano in gran parte sugli stessi principi di gestione della sicurezza. Un SMSI valutato costituisce una base riutilizzabile. La roadmap trasversale permette di incrociare i quadri di riferimento senza duplicare le azioni.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.