La BS 7799:2 -Information Security Management System (ISMS)- è stata la principale norma di riferimento per l'applicazione di un Sistema di gestione per la sicurezza delle informazioni, oggi evoluta nella ISO 27001:05 (ISMS: Information technology -- Security techniques -- Information security management systems -- Requirements)
La BS 7799 era divisa in 2 parti: la parte 1 era la Linea Guida e la parte 2 era lo Standard vero e proprio.
L'ISO ha adottato la parte 1 (Linea Guida), che è pertanto diventata ISO 17799:1; e nell'ottobre 2005 la 2 parte (Standard), che è così diventata la ISO 27001:05.
In un contesto dove le violazioni dei sistemi di sicurezza (crimini ed attacchi informatici) sono in continuo aumento, è diventato necessario dotarsi di un sistema che garantisca una gestione sicura delle informazioni (rischi informatici).
Le informazioni custodite con mezzi informatici rappresentano ormai oltre il 60% del capitale intellettuale aziendale. Sono pertanto un patrimonio aziendale la cui gestione diventa strategica per la tutela e lo sviluppo aziendale.
Si tratta di garantire:
- Riservatezza
- Disponibilità
- Integrità
PUNTI D'INTERVENTO E MISURE DI ISO 17999:01
- Politica in materia di sicurezza delle informazioni
- Principi organizzativi per la gestione della sicurezza dell'informazione
- Controllo e classificazione del patrimonio informativo
- Sicurezza relativa al personale che gestisce le informazioni
- Sicurezza fisica ed ambientale
- Gestione delle comunicazioni e delle attività operative
- Controllo degli accessi alle informazioni
- Sviluppo e manutenzione dei sistemi informativi
- Gestione continuativa dei processi operativi (Business continuity, disaster recovery)
- Conformità a requisiti legislativi
PUNTI D'INTERVENTO E MISURE DI ISO 27001:05
- Delimitazione dell'ambito di competenza
- Definizione della politica di sicurezza ad alto livello
- Analisi e valutazione del rischio
- Gestione del rischio
- Scelta degli obiettivi e dei relativi controlli da realizzare
- Stesura della dichiarazione di applicabilità
IMPOSTAZIONE DELLO STANDARD ISO 27001:05
- Approccio per processi
- Politica per la sicurezza
- Identificazione, analisi dei rischi
- Valutazione e trattamento dei rischi
- Riesame e rivalutazione dei rischi
- Modello PDCA
- Utilizzo di procedure e di strumenti come audit interni, esterni di stage 1 e stage 2, non conformità, azioni correttive e preventive, sorveglianza, miglioramento continuo