Perché la protezione dei dati è così importante

Negli ultimi anni, dapprima con l’arrivo di Internet poi con il suo sviluppo, che ha portato sempre più persone e aziende non solo a utilizzarlo quotidianamente ma a integrarlo nei loro processi di acquisto, di vendita e di gestione, proteggersi da possibili attacchi informatici è divenuta una delle preoccupazioni di quasi tutte le realtà. Si sa come una delle risorse più preziose al momento non sia una fisica bensì quella rappresentata dai dati che, consapevolmente o meno, si lasciano sul web, in qualsiasi attività. La cybersicurezza è divenuta fondamentale per privati e soprattutto per aziende, che si sono trovate sempre più in dovere di proteggere i loro sistemi informatici da possibili attacchi hacker volti a comprometterne i sistemi, magari interrompendo la produzione o allungando processi, e i dati propri e dei clienti.

La cybersicurezza è data dalla responsabilità delle organizzazioni

Col tempo è cresciuta la consapevolezza che la cybersicurezza stessa non riguarda solamente la qualità e la quantità dei sistemi che si utilizzano, ma anche e soprattutto una responsabilità gestionale di persone e, nel caso aziendale, di organizzazioni. Non basta predisporre delle possibili protezioni, è essenziale che vi sia una cultura che consenta di agire con criterio e con attenzione ogni qualvolta, e accade praticamente in ogni momento, si ha a che fare con dei dati.

Con l’avvento dell’intelligenza artificiale e di una serie di nuove incognite, pensare a come proteggersi e come prendersi cura dei propri dati è ancora più importante. Molte aziende stanno arrivando alla consapevolezza che servano strumenti e regole e desiderano non solamente acquisire dei processi che possano garantire il maggior livello di cybersicurezza possibile, ma che vogliono anche una certificazione in grado di dimostrare il loro grado di attenzione, come asset verso clienti e fornitori. Tra gli standard internazionali ISO, la norma che si occupa della protezione dei dati è la ISO 27001, che sta diventando quindi una delle più rilevanti.

BQS a fianco dei suoi clienti verso la ISO 27001

BQS Consulenze, da sempre attenta a integrare i bisogni della sua clientela nei suoi servizi e all’evolversi del mercato, offre a chi lo richiede l’accompagnamento verso l’ottenimento della certificazione ISO 27001, dai primi contatti dove far comprendere che cosa è la normativa sino al lavoro di adeguamento, per giungere poi all’audit di certificazione. Proprio come avviene per altre certificazioni, come la ISO 9001, la ISO 14001, la ISO 22000, la ISO 13485 e con altri sistemi come HACCP e IRIS, i consulenti sono al fianco delle aziende dall’inizio sino all’ottenimento della certificazione, in un lavoro che non termina una volta ottenuta la stessa: dura negli anni successivi, per continuare a rimanere conformi alle normative e per adeguarsi alle eventuali modifiche che ISO introduce per rimanere al passo coi tempi. Con la certificazione di Sofia Beretta come Lead auditor nella ISO 27001, BQS Consulenze intende avere un ruolo ancora più centrale nel supporto ai suoi clienti attraverso questa nuova normativa.

 

La nascita della ISO 27001, la normativa per la protezione dei dati

Tutte le normative ISO sono nate dal bisogno della comunità internazionale di avere degli standard comuni che potessero definire processi quali ad esempio gestione, qualità, gestione ambientale ecc. Ciascuna di loro riflette i cambiamenti avvenuti nei settori che regola e non poteva che valere lo stesso per la ISO 27001, che riguarda uno dei palcoscenici che è maggiormente mutato nel corso degli ultimi anni, come la sicurezza informatica e la protezione dei dati.

La ISO 27001 è nata ufficialmente nel 2005, dopo una storia che durava già da un decennio. Il primo standard sulla gestione della sicurezza informatica è infatti arrivato nel 1995 in Gran Bretagna. Successivamente articolato in due parti, lo standard britannico ha posto le basi per la nascita della ISO/IEC 17799:2000, dedicata alle buone pratiche, e della ISO/IEC 27001:2005, che ha definito i requisiti internazionali per un sistema di gestione della sicurezza delle informazioni. Dalla sua nascita ha già conosciuto due revisioni: nel 2013 è stata armonizzata la struttura della norma con quella degli altri sistemi di gestione ISO ed è stato rafforzato l’approccio basato su identificazione, valutazione e trattamento dei rischi, nel 2022 per adeguarsi a nuove minacce, con l’aggiornamento dei controlli di sicurezza. Nel 2024 è stato introdotto un emendamento sul cambiamento climatico.

A ciascuno il suo sistema di protezione

Come in tutte le normative ISO, un punto fondamentale è nella responsabilità dell’intera organizzazione. Per proteggere i propri dati non basta installare degli antivirus, come si potrebbe credere in una visione prettamente tecnologica, ma è ancor più importante sviluppare un sistema di gestione che sappia identificare, valutare e gestire i rischi peculiare di ognuna, i cosiddetti punti critici presenti in molte altre normative. Va da sé che ogni azienda avrà i propri, dettati dal settore in cui opera, dai sistemi che usa, dai dati che manipola, dal contesto in cui è attiva e che il sistema di gestione richiesto dalla ISO 27001 richiede una personalizzazione: ogni norma deve essere integrata nel funzionamento generale aziendale. È qui che entra in gioco BQS Consulenze, in grado di affiancare i suoi clienti nel rendere i propositi e i requisiti della norma una realtà concreta e nel produrre la documentazione necessaria a rendere i processi tracciabili, ripetibili e verificabili durante gli audit.

93 controlli, servono tutti?

La ISO 27001 parte dall’interrogare il contesto dell’organizzazione, chiedendo di comprendere le caratteristiche aziendali e le esigenze delle parti interessate. Infatti, nell’Allegato A prevede 93 controlli di sicurezza, divisi in organizzativi (relativi a politiche di sicurezza, gestione dei fornitori, classificazione delle informazioni, risposta agli incidenti), relativi alle persone (formazione, sensibilizzazione, obblighi di riservatezza e responsabilità del personale), fisici (protezione degli uffici, accessi ai locali, sicurezza delle infrastrutture tecnologiche e del supporto informatico) e tecnologici (gestione degli accessi, protezione dalle minacce informatiche, backup, crittografia e sicurezza delle reti). Non è obbligatorio ottemperare a ogni controllo: essi devono essere devono essere selezionati sulla base della valutazione e del trattamento dei rischi e la scelta deve essere motivata e documentata nella Dichiarazione di Applicabilità, che è uno degli elementi fondamentali del sistema di gestione che la norma richiede.

I principi della ISO 27001

Essi sono riservatezza, integrità e disponibilità. La riservatezza vuole impedire che le informazioni siano conosciute da persone non autorizzate, il che impone di comprendere chi deve conoscere cosa all’interno dell’organigramma societario e come comportarsi con fornitori e clienti. L’integrità chiede che le informazioni non possano essere alterate o modificate indebitamente, portando dunque a sistemi di verifica e a responsabili degli stessi. La disponibilità vuole assicurare che le informazioni e sistemi siano disponibili quando necessario, andando a toccare la gestione tecnologica e la gestione dell’infrastruttura.

Ciascuna azienda può garantirle con un connubio di tecnologie e di sistemi, scegliendo i più efficaci per il suo mercato e il suo modo di operare. Tutti i componenti, dalla leadership ai dipendenti, devono essere coinvolti, formati e sensibilizzati. Delle informazioni specifiche devono essere documentate.

Azienda, vuoi ottenere la ISO 27001? Hai domande? BQS Consulenze è al tuo fianco.