Maturità ISO 27001 e ISO 27032 · Cybersicurezza
La vostra sicurezza delle informazioni misurata su ISO 27001 e 27032, tradotta in un piano d’azione quantificato.
12 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 12 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO 27001 e ISO 27032 · Cybersicurezza
12 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO/IEC 27001:2022 e ISO/IEC 27032:2012 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 12 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
La dichiarazione di applicabilità riflette le misure realmente implementate?
- N1
Nessuna dichiarazione di applicabilità formalizzata, o un documento prodotto una volta e mai più riaperto.
- N2
La dichiarazione esiste e copre le 93 misure, ma descrive lo stato desiderato. Gli scostamenti rispetto all’implementazione reale non sono identificati.
- N3
Ogni misura è collegata a una pratica esistente e a un responsabile. Le esclusioni sono giustificate e il documento viene riesaminato almeno una volta all’anno.
- N4
La dichiarazione viene aggiornata a ogni cambiamento significativo di perimetro, rischio o organizzazione, con uno storico delle versioni e prove di implementazione associate.
- N5
La dichiarazione è collegata al piano di trattamento dei rischi e agli indicatori di sicurezza. Gli scostamenti rilevati in audit interno attivano una revisione tracciata.
Azione per passare da L2 a L3
Confrontare ogni misura dell’allegato A con la pratica osservata, nominare un responsabile per misura e registrare gli scostamenti nel piano di trattamento. Inserire il riesame della dichiarazione di applicabilità all’ordine del giorno del riesame annuale della direzione.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 27001.
Di cosa parla questo quadro di riferimento
ISO 27001 richiede un sistema di gestione della sicurezza delle informazioni: un perimetro definito, un’analisi dei rischi, una dichiarazione di applicabilità che giustifichi l’inclusione o l’esclusione di ciascuna delle 93 misure dell’allegato A, obiettivi misurati, audit interni e un riesame della direzione. La versione 2022 ha ristrutturato questo allegato in quattro temi, organizzativo, umano, fisico e tecnologico, e ha introdotto misure nuove sul monitoraggio delle minacce, la sicurezza dei servizi cloud e la protezione dei dati in sviluppo. ISO 27032 non è certificabile: descrive le pratiche di cybersicurezza che vanno oltre il perimetro dell’organizzazione, coordinamento tra le parti interessate, sicurezza delle applicazioni esposte, scambio di informazioni sugli incidenti.
Questi due testi sono difficili da presidiare perché si prestano al dichiarativo. Un SGSI può esistere sulla carta e non cambiare nulla nelle pratiche quotidiane. Le domande che si pongono realmente sono concrete: la dichiarazione di applicabilità riflette le misure realmente implementate, o lo stato desiderato al momento della certificazione iniziale? Gli indicatori di sicurezza alimentano una decisione, o riempiono una tabella? Le misure dell’allegato A si applicano alle filiali e ai fornitori, o solo al perimetro storico della sede centrale? Il riesame della direzione produce decisioni tracciate, o un semplice verbale?
La transizione verso ISO/IEC 27001:2022 ha messo in luce una confusione frequente: molte organizzazioni hanno aggiornato la propria dichiarazione di applicabilità senza rimettere in discussione le pratiche sottostanti. Il passaggio da 114 a 93 misure è un esercizio di corrispondenza, non una prova di progresso. Un’altra confusione da chiarire: ISO 27032 non è una versione estesa di 27001. Tratta un angolo che 27001 copre male, la sicurezza delle interazioni con attori che non controllate, fornitori, clienti, comunità di condivisione di informazioni sulle minacce. Le due si completano, una attraverso la gestione, l’altra attraverso il cyberspazio.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit di certificazione. L’audit conclude con una conformità o uno scostamento, su un perimetro dato, a una data data. La diagnosi colloca ciascuna pratica su una scala progressiva e indica l’azione precisa che fa passare al livello successivo. Un’organizzazione certificata può essere a un livello di maturità modesto sulla gestione dei terzi o sulla sensibilizzazione. Un’organizzazione non certificata può essere solida sull’operatività. Il punteggio per ambito rende questi scostamenti visibili prima che un auditor li rilevi.
In Datamensio, il quadro di riferimento ISO 27001 e 27032 è pronto all’uso. Potete anche adattarlo: l’IA regola gli ambiti, le domande e i livelli di maturità in base al vostro settore e al vostro perimetro, oppure costruisce una declinazione a partire dai vostri documenti, politica di sicurezza, dichiarazione di applicabilità, rapporti di audit interno.
Norma di riferimento: ISO/IEC 27001:2022 e ISO/IEC 27032:2012
Gli ambiti valutati
Contesto, perimetro e governance del SGSI
Determinazione delle problematiche interne ed esterne, aspettative delle parti interessate, perimetro documentato e giustificato, politica di sicurezza, ruoli e responsabilità, impegno della direzione.
Valutazione e trattamento dei rischi
Metodo di valutazione, criteri di accettazione, piano di trattamento, dichiarazione di applicabilità e giustificazione delle esclusioni, convalida dei rischi residui.
Misure organizzative
Politiche tematiche, gestione degli asset, classificazione delle informazioni, sicurezza nei rapporti con i fornitori, gestione degli incidenti, continuità, conformità legale.
Sicurezza delle risorse umane
Verifiche prima dell’assunzione, clausole contrattuali, sensibilizzazione e formazione, procedimento disciplinare, gestione delle uscite e delle mobilità.
Sicurezza fisica e ambientale
Perimetri e controlli di accesso fisico, protezione contro le minacce ambientali, sicurezza delle apparecchiature, postazioni di lavoro e supporti, dismissione.
Misure tecnologiche
Gestione degli accessi e delle identità, protezione contro i codici malevoli, logging e monitoraggio, gestione delle vulnerabilità tecniche, crittografia, sicurezza delle reti e dei servizi cloud.
Sicurezza dello sviluppo e delle applicazioni
Requisiti di sicurezza nei progetti, ambienti separati, test, gestione dei cambiamenti, protezione dei dati utilizzati in sviluppo e in test, sicurezza delle applicazioni esposte su Internet.
Monitoraggio delle minacce e condivisione di informazioni
Fonti di intelligence mobilitate, sfruttamento operativo dei segnali, partecipazione ai dispositivi settoriali di scambio, coordinamento con le autorità e i CERT, tema centrale di ISO 27032.
Sicurezza dell’ecosistema e dei terzi
Mappatura delle dipendenze, requisiti contrattuali, valutazione e monitoraggio dei fornitori, sicurezza della catena di approvvigionamento digitale, gestione degli accessi remoti dei terzi.
Gestione degli incidenti e continuità
Rilevamento, qualificazione, escalation, trattamento e lezioni apprese, piani di continuità e di ripristino, test ed esercitazioni, preparazione delle parti interessate esterne.
Misurazione delle prestazioni e audit interno
Indicatori e obiettivi di sicurezza, programma di audit interno, competenza degli auditor, monitoraggio dei rilievi, riesame della direzione e decisioni tracciate.
Miglioramento continuo
Trattamento delle non conformità, azioni correttive, aggiornamento del SGSI, confronto dei risultati nel tempo e tra entità.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Questa diagnosi rilascia una certificazione ISO 27001?
No. La certificazione è rilasciata da un organismo accreditato, al termine di un audit in due fasi. Datamensio misura la maturità delle vostre pratiche, individua gli scostamenti e produce il piano d’azione che prepara questo audit. ISO 27032, dal canto suo, non è certificabile: è una guida di buone pratiche.
Che differenza c’è tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza dei requisiti e conclude con una conformità o uno scostamento. La diagnosi colloca ciascuna pratica su una scala di maturità a cinque livelli e indica l’azione che fa passare al livello successivo. Un’organizzazione certificata può mostrare livelli molto disomogenei a seconda degli ambiti.
Perché valutare insieme 27001 e 27032?
ISO 27001 organizza la sicurezza all’interno del perimetro dell’organizzazione. ISO 27032 tratta ciò che accade all’esterno: i terzi, le applicazioni esposte, la condivisione di informazioni sugli incidenti. Valutarle insieme evita il classico punto cieco di un SGSI solido internamente ma debole verso il proprio ecosistema.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 o 30 minuti. La versione completa, in modalità collaborativa con più contributori, si estende generalmente su una o due settimane. La maggior parte del tempo è dedicata alla raccolta presso i team operativi, le risorse umane e gli acquisti.
È possibile adattare il quadro di riferimento al nostro perimetro?
Sì. Potete modificare le domande, i livelli, aggiungere i vostri ambiti o restringere il perimetro a una business unit. L’IA può anche generare una declinazione a partire dalla vostra politica di sicurezza e dalla vostra dichiarazione di applicabilità. Il controllo del quadro di riferimento resta vostro.
Come confrontare più entità?
Ogni entità conduce la propria valutazione sullo stesso quadro di riferimento. Il benchmark confronta i punteggi per ambito tra le business unit e rispetto alle campagne precedenti. Una roadmap trasversale consolida i piani d’azione di più audit, evitando di finanziare due volte la stessa misura.
Serve competenza tecnica per rispondere?
Le domande riguardano le pratiche di gestione e implementazione, non configurazioni. Un responsabile sicurezza o un auditor interno può rispondere. Le domande relative all’operatività o allo sviluppo vengono assegnate al contributore giusto in modalità collaborativa.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.