Che cos’è un ISMS? Il sistema di gestione alla base della norma ISO 27001

Un ISMS, acronimo di “sistema di gestione della sicurezza delle informazioni”, è l’insieme delle politiche, dei processi, dei ruoli e dei controlli con cui un’organizzazione gestisce in modo mirato i propri rischi legati alla sicurezza delle informazioni. È il modo in cui si decide cosa va protetto, chi ne è responsabile, quali misure applicare e come verificare che tutto funzioni correttamente. Il termine “sistema” può creare confusione in questo contesto: un ISMS è un modo di operare, non un programma da installare.

Questa distinzione è più importante di quanto possa sembrare, perché determina ciò che si finisce per acquistare e ciò che si finisce per realizzare. Di seguito analizziamo perché questo malinteso sul software è così persistente, in cosa consiste effettivamente un ISMS, come si collega alle norme ISO 27001 e NEN 7510, come si implementa e quale sia la fase in cui la maggior parte dei progetti si arena silenziosamente.

Un ISMS non è un software

Cercate “ISMS” e troverete tantissimi strumenti che promettono di esserlo. Sono utili, e uno strumento valido consente di risparmiare tempo nella gestione dei documenti, nei registri dei rischi e nella raccolta delle prove. Ma lo strumento è solo l’armadio degli archivi, non il sistema. Un’organizzazione con uno strumento impeccabile ma priva di processi funzionanti dispone di una documentazione molto ordinata di ciò che in realtà non sta facendo.

Il motivo per cui la confusione persiste è che un SGSI è in gran parte invisibile. Non è possibile indicarlo con un dito come si fa con un firewall. Ciò che si può indicare sono i suoi risultati: una valutazione dei rischi che viene aggiornata, una serie di politiche che le persone seguono effettivamente, i registri dei corsi di formazione, i verbali di una revisione della direzione, un audit interno che ha individuato un problema e ha portato a un cambiamento. Un revisore cerca proprio queste tracce, perché sono l’unica prova che il sistema è vivo e non solo sulla carta.

In cosa consiste effettivamente un SGSI

Gli elementi riportati di seguito sono comuni praticamente a tutti i framework, indipendentemente dal fatto che si intenda ottenere o meno una certificazione. Nel loro insieme formano un ciclo piuttosto che una lista di controllo: ogni parte alimenta quella successiva e il ciclo si ripete.

• Ambito di applicazione. Quali parti dell’organizzazione, quali sedi, quali sistemi e quali informazioni sono coperti dal sistema. Un ambito di applicazione troppo ampio rallenta il progetto; uno troppo ristretto non riesce a coprire i rischi che contano.
• Valutazione e gestione dei rischi. Individuare cosa potrebbe andare storto, quanto sia probabile che ciò accada e quale sia l’entità del danno, e decidere per ciascun rischio se ridurlo, accettarlo, trasferirlo o evitarlo. Il nostro manuale sull’analisi dei rischi secondo la norma ISO 27001 illustra come affrontare questi aspetti nella pratica.
• Politiche e procedure. Le regole scritte relative all’accesso, alle password, ai fornitori, agli incidenti, ai dispositivi e al trattamento dei dati. Hanno valore solo se le persone riescono a individuarle e a riconoscerle nella pratica quotidiana.
• Ruoli e responsabilità. Chi è responsabile di quale rischio, chi approva le eccezioni, chi riferisce cosa alla direzione. La mancanza di attribuzione delle responsabilità è l’aspetto più ricorrentemente riscontrato in qualsiasi audit.
• Misure di controllo. Le misure concrete, sia tecniche che organizzative, volte a ridurre i rischi individuati.
• Consapevolezza e competenza. Assicurarsi che le persone interessate sappiano cosa ci si aspetta da loro e siano in grado di dimostrarlo. Si tratta di un requisito indispensabile, non di un semplice extra.
• Monitoraggio, audit interno e revisione da parte della direzione. Verificare che le misure siano efficaci, che i risultati emersi siano oggetto di follow-up e che la dirigenza esamini periodicamente il quadro complessivo e decida quali modifiche apportare.
• Miglioramento continuo. Il ciclo Plan-Do-Check-Act che mantiene il sistema in movimento, invece di bloccarlo al momento della certificazione.

In che modo un SGSI si rapporta alla norma ISO 27001 e alla norma NEN 7510

La norma ISO 27001 è lo standard internazionale che definisce i requisiti per un Sistema di Gestione della Sicurezza delle Informazioni (ISMS). Questo è il punto fondamentale: la norma descrive il sistema di gestione, non un elenco di prodotti. Le sue clausole coprono l’intero ciclo sopra descritto, dall’ambito di applicazione e dalla leadership, passando per la valutazione dei rischi, fino all’audit interno e alla revisione da parte della direzione. La certificazione significa che un auditor esterno ha accertato che il vostro sistema soddisfa tali requisiti e funziona nella pratica.

A corredo di tali clausole vi è l’Allegato A, un elenco di controlli tra cui scegliere in base alla propria valutazione dei rischi, registrando le proprie scelte e le motivazioni in una dichiarazione di applicabilità. Le linee guida sull’implementazione di tali controlli sono contenute nella norma complementare ISO 27002, e la differenza tra le due è spiegata nel nostro articolo sulla differenza tra ISO 27001 e ISO 27002. Non è necessario applicare tutte le misure di controllo; è invece necessario giustificare la propria selezione.

Nel settore sanitario olandese lo stesso concetto si concretizza nella norma NEN 7510, che si basa sulla struttura ISO e aggiunge requisiti specifici relativi ai dati dei pazienti. Anche le organizzazioni che rientrano nell’ambito di applicazione della direttiva NIS2 riconosceranno questo schema: la direttiva prevede misure di gestione del rischio e una formazione dimostrabile, che è proprio ciò che un SGSI funzionante produce come risultato collaterale.

Come implementare un SGSI in sei passaggi

1. Assicurati che la dirigenza si impegni, per iscritto e nel bilancio. Un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) assegna le responsabilità a livello dell’intera organizzazione. Senza una chiara assunzione di responsabilità da parte dei vertici, il progetto rischia di diventare un’iniziativa secondaria di una sola persona, e tali iniziative non sopravvivono al trambusto di un trimestre intenso.
2. Definisci l’ambito in modo trasparente. Metti per iscritto cosa rientra e cosa no, spiegandone i motivi. Escludere qualcosa è giustificabile; scoprire una lacuna inosservata durante un audit non lo è.
3. Effettuare la valutazione dei rischi prima di scegliere le misure di controllo. L’ordine è importante. Se si scelgono prima le misure di controllo e poi se ne giustificano la scelta, si ottiene un sistema che protegge ciò che era conveniente anziché ciò che era rischioso.
4. Scrivete linee guida che le persone possano seguire. Brevi, specifiche e in linea con la realtà lavorativa. Una linea guida in contrasto con la pratica quotidiana trasmette ai dipendenti l’idea che le regole siano solo di facciata.
5. Formate il personale interessato e documentate la formazione. Tutti devono conoscere le regole che li riguardano e voi dovete essere in grado di dimostrare che sono stati formati e che il messaggio è stato recepito. Il nostro corso di sensibilizzazione sulla norma ISO 27001 è strutturato proprio in base a questo requisito.
6. Verifica, revisione, adeguamento. Effettua una verifica interna, sottoponi i risultati a una revisione da parte della direzione e, di conseguenza, apporta delle modifiche. È proprio quest’ultimo aspetto che un revisore esterno verifica: non se sono stati individuati dei problemi, ma se la loro individuazione ha portato a dei cambiamenti. Cosa comporta una verifica di questo tipo è descritto nel nostro articolo su cosa sia una verifica.

Dove la maggior parte dei progetti ISMS si blocca

Non sulla tecnologia, e raramente sulle pratiche burocratiche. La maggior parte delle organizzazioni è in grado di redigere una serie di politiche in poche settimane. I problemi iniziano nel momento in cui il sistema deve raggiungere persone che non ne hanno mai fatto richiesta: il collega che condivide le credenziali di accesso perché la soluzione alternativa è più veloce, il manager che approva un’eccezione tramite chat, il nuovo assunto che non ha mai visto il modulo di inserimento.

I revisori se ne accorgono subito, perché le loro domande vertono sulla pratica piuttosto che sui documenti. Non chiedono: «Avete una politica di accesso?», ma: «Mi mostri come è stato revocato l’accesso a una persona che se n’è andata il mese scorso». Non chiedono: «Formate il vostro personale?», ma: «Mi mostri chi è stato formato, su cosa, e cosa avete fatto con le persone che non hanno completato il percorso formativo». Se la risposta è un foglio di presenza firmato relativo a una sessione annuale, il sistema esiste solo sulla carta.

Le organizzazioni che superano questa fase senza difficoltà considerano la sensibilizzazione come un processo continuo piuttosto che come un evento annuale. Corsi di formazione brevi e ricorrenti generano un flusso costante di documentazione, mantengono vive le regole nella mente delle persone e trasformano la clausola sulla sensibilizzazione da una corsa frenetica prima dell’audit in qualcosa che si autoalimenta.

In che modo Guardey supporta la componente umana del vostro SGSI

La formazione sulla consapevolezza in materia di sicurezza di Guardey copre proprio quella parte dell’ISMS che è più difficile da dimostrare: sfide settimanali della durata di circa tre minuti, gamification con classifiche e serie di risultati consecutivi, e contenuti che tengono conto dell’attuale panorama delle minacce. I dipendenti seguono la formazione tramite l’app mobile per iOS e Android o direttamente dal browser, in modo da coinvolgere anche i colleghi che non dispongono di una postazione fissa.

Per quanto riguarda l’ISMS stesso, il punto fondamentale è proprio la reportistica. La partecipazione, i punteggi e i progressi di ciascun team possono essere esportati come documentazione pronta per l’audit ai fini delle norme ISO 27001, NEN 7510 e NIS2, mentre le simulazioni integrate di phishing mettono in luce il comportamento piuttosto che la semplice presenza. La configurazione richiede pochi minuti e oltre 500 organizzazioni operano in questo modo, tra cui il Parlamento europeo.

Domande frequenti sul sistema di gestione della sicurezza delle informazioni (ISMS)

L'ISMS è obbligatorio?

Non di per sé. Ciò che sta diventando sempre più obbligatorio è il risultato: la direttiva NIS2 prevede misure adeguate di gestione del rischio e una formazione documentabile, gli operatori sanitari operano in conformità alla norma NEN 7510, mentre i clienti e gli assicuratori richiedono prove concrete. Un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) è il metodo più consolidato per organizzare tutto ciò, e la certificazione è il modo per dimostrarlo a terzi.

È necessaria la certificazione ISO 27001 per disporre di un SGSI?

No. Molte organizzazioni gestiscono un sistema di gestione della sicurezza dell’informazione (ISMS) in linea con le norme ISO senza mai ricorrere a un auditor, perché sono interessate alla struttura piuttosto che al certificato. La certificazione diventa utile quando i clienti la richiedono, quando i bandi di gara la prevedono o quando si ha bisogno di un soggetto esterno che garantisca il rispetto delle regole.

Quanto tempo occorre per implementare un SGSI?

Per una piccola organizzazione con un ambito di applicazione ben definito, è realistico prevedere diversi mesi di lavoro a tempo parziale prima di un primo audit interno. A determinare i tempi non è quasi mai la stesura dei documenti, bensì la rapidità con cui vengono prese le decisioni relative all’ambito di applicazione, all’accettazione del rischio e alle responsabilità.

A chi dovrebbe appartenere l’ISMS?

Una figura con l’autorità necessaria per garantire che le decisioni vengano attuate, supportata dalle persone che si assumono i singoli rischi. Affidare la responsabilità esclusivamente al reparto IT è un errore comune: gran parte di un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) riguarda i contratti, i processi delle risorse umane e la gestione dei fornitori, ambiti in cui un team IT non ha alcuna influenza.

Un SGSI dimostra il proprio valore nel momento stesso in cui determina un cambiamento nelle decisioni: un fornitore a cui viene posta una domanda che prima non sarebbe stata posta, un’eccezione che viene registrata anziché ignorata, un rischio a cui viene assegnato un responsabile. Tutto il resto – i documenti, gli strumenti e, infine, il certificato – non è che una formalità a corredo di tutto ciò.