Categoria: ICT

Lo standard ISO/IEC 27001 (Tecnologia delle informazioni – Tecniche di sicurezza – Sistemi di gestione della sicurezza delle informazioni – Requisiti) è una norma internazionale che contiene i requisiti per impostare e gestire un sistema di gestione della sicurezza delle informazioni (SGSI o ISMS, dall’inglese Information Security Management System).

La ISO 27001 non è (unicamente) uno standard di sicurezza informatica in quanto, oltre alla sicurezza logica, include la sicurezza fisica/ambientale e la sicurezza organizzativa.

In Italia fu pubblicata una versione della norma UNI CEI EN ISO/IEC 27001:2017, che non era altro che la versione 2013 con due rettifiche.

• In Italia fu pubblicata una versione della norma UNI CEI EN ISO/IEC 27001:2017, che non era altro che la versione 2013 con due rettifiche:
• requisito A.8.1.1: l’inventario, la classificazione e trattamento degli “asset” riguardava anche le “informazioni” cui gli asset sono associati.
• requisito 6.1.3: la Dichiarazione di Applicabilità doveva specificare se erano implementati o meno i “controlli necessari”, e non solo i controlli riferiti all’Annex A.

Non essendo stati introdotti nuovi requisiti, la norma ISO era in versione edizione 2013, per cui l’unico impatto sui certificati emessi era sul riferimento normativo nazionale in essi riportato.

ISO/IEC 27001

In Italia l’edizione 2022 è stata recepita come UNI/CEI EN ISO/IEC 27001:2024 (pubblicata il 20 febbraio 2024, in vigore dal 25 gennaio 2024). Le novità, come per qualsiasi altro recepimento continentale o nazionale della ed. 2022, riguardano i controlli dell’Annex A per cui è stato fatto un lavoro di accorpamento di controlli contigui con relativa eliminazione di ridondanze e, soprattutto, introduzione di nuovi. La terminologia è stata chiaramente aggiornata. Nessuna novità sostanziale delle clausole della norma da cap. 4 a cap. 10.

La norma ISO 27002 è una raccolta di “best practices” che possono essere adottate per soddisfare i requisiti della norma ISO 27001 al fine di proteggere le risorse informative; ISO 27001 è il documento normativo di certificazione al quale l’organizzazione deve fare riferimento per costruire un Sistema di Gestione della Sicurezza delle Informazioni che possa essere certificato da un ente indipendente, mentre la norma ISO 27002 non è certificabile in quanto è una semplice raccolta di raccomandazioni.

Dal momento che l’informazione è un bene che aggiunge valore all’organizzazione, e che ormai la maggior parte delle informazioni sono custodite su supporti informatici, ogni organizzazione deve essere in grado di garantire la sicurezza dei propri dati, in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento. L’obiettivo dello standard ISO 27001 è proprio quello di proteggere i dati e le informazioni da minacce di ogni tipo, al fine di assicurarne l’integrità, la riservatezza e la disponibilità, e fornire i requisiti per adottare un adeguato sistema di gestione della sicurezza delle informazioni (SGSI) finalizzato ad una corretta gestione dei dati sensibili dell’azienda.

La norma è applicabile a imprese operanti nella gran parte dei settori commerciali e industriali, come finanza e assicurazioni, telecomunicazioni, servizi, trasporti, settori governativi.

L’impostazione dello standard ISO/IEC 27001 è coerente con quella del Sistema di Gestione per la Qualità ISO 9001 ed il Risk management, basandosi sull’approccio per processi, strutturato in politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, modello PDCA, utilizzo di procedure e di strumenti come audit interni, non conformità, azioni correttive e preventive, sorveglianza, nell’ottica del miglioramento continuo.

La norma Standard ISO 27001 stabilisce i requisiti per il Sistema di Gestione della Sicurezza delle Informazioni (ISMS). L’obiettivo principale è quello di stabilire un sistema per la gestione del rischio, la protezione delle informazioni e degli asset aziendali, ivi inclusi gli asset IT. La norma è applicabile a tutte le imprese o aziende pubbliche, in quanto prescinde da uno specifico settore di business o dall’organizzazione dell’azienda o finalità dell’ente pubblico. Però bisogna tener presente che l’adozione e gestione di un ISMS richiede un impegno di risorse significativo e quindi deve essere seguito da un ufficio specifico, il quale in genere coincide con l’ufficio Organizzazione e Qualità. “Essa specifica i requisiti per impostare, mettere in opera, utilizzare, monitorare, rivedere, mantenere e migliorare un sistema documentato all’interno di un contesto di rischi legati alle attività centrali dell’organizzazione. Dettaglia inoltre i requisiti per i controlli di sicurezza personalizzati in base alle necessità di una singola organizzazione o di una sua parte. Il sistema è progettato per garantire la selezione di controlli di sicurezza adeguati e proporzionati.”

Lo standard ISO 27001 che come già detto presenta molti punti in comune con la ISO 9001, che definisce i requisiti di un sistema di gestione della qualità (es. adozione modello PDCA, filosofia del miglioramento continuo, ecc.), si differenzia in quanto segue un approccio basato sulla gestione del rischio. Quindi lo standard prevede:

• Pianificazione e Progettazione;
• Implementazione (processi operativi);
• Monitoraggio;
• Miglioramento.

similmente a quanto previsto dai sistemi per la gestione della qualità.

Nella fase di progettazione richiede però lo svolgimento di un risk assessment, schematizzabile in:

• Identificazione dei rischi;
• Analisi e valutazione;
• Selezione degli obiettivi di controllo e attività di controllo per la gestione dei rischi;
• Assunzione del rischio residuo da parte del management;
• Definizione dello Statement of Applicability.

L’ultimo punto specifica gli obiettivi di controllo adottati e i controlli implementati dall’organizzazione rispetto ad una lista di obiettivi di controllo previsti dalla norma. Analogamente alla norma sui sistemi di qualità, il sistema deve essere documentato, ma in aggiunta è richiesta ampia documentazione riguardo sia l’analisi del rischio sia le procedure e i controlli a supporto dell’ISMS. Come per il sistema qualità, l’organizzazione ISMS può essere certificata da enti di certificazione, che operano tramite valutatori qualificati, esaminando periodicamente lo stato delle condizioni di conformità. Tra le condizioni di conformità la norma prevede la pianificazione e realizzazione di attività di autocontrollo gestite dall’impresa, con personale proprio o esterno, purché in entrambi i casi dotato delle necessarie competenze.

Controlli

Di fondamentale importanza è l’Annex A “Control objectives and controls” che contiene i 133 “controlli” a cui l’organizzazione che intende applicare la norma deve attenersi. Il termine controllo va inteso come modalità di gestione di uno specifico argomento: non entra nel merito del “come” ma inquadra il “cosa”. Qui “controllo” non sta per “verifica” o simili, equivale a “tenere sotto controllo” (governare). Contromisura è probabilmente la parola migliore che rende il concetto di controllo della ISO 27001.

Da notare che la clausola 6.1.2 permette di individuare anche altri controlli sia di emanazione dell’organizzazione che derivanti da altre fonti (ad esempio altri framework di sicurezza). Astrattamente, di converso, si potrebbero escludere tutti i controlli dell’annex A della norma.

Essi vanno dalla politica e l’organizzazione per la sicurezza alla gestione dei beni e alla sicurezza delle risorse umane, dalla sicurezza fisica e ambientale alla gestione delle comunicazioni e dell’operativo, dal controllo degli accessi fisici e logici alla gestione di un monitoraggio e trattamento degli incidenti (relativi alla sicurezza delle informazioni).

La gestione della continuità operativa relativa alla sicurezza e il rispetto normativo, completano l’elenco degli obiettivi di controllo.

L’organizzazione deve motivare quali di questi controlli non sono applicabili all’interno del suo ISMS, per esempio un’organizzazione che non attua al suo interno ‘commercio elettronico’ può dichiarare non applicabili i controlli 1-2-3 del A.10.9 che si riferiscono appunto all’e-commerce.

Tecnicamente, essendo i controlli appartenenti ad un’appendice, essi non fanno parte delle clausole della norma: sono mandatori ma in forma subordinata.

Privacy

La conformità alla ISO 27001, pur certificata da un organismo di certificazione, accreditato, non solleva l’organizzazione dal rispetto delle misure minime di sicurezza e dalla produzione della documentazione richiesta dalla legge sulla privacy; il controllo A.18.1.4 richiede infatti che “La protezione dei dati e della privacy deve essere garantita come richiesto nella legislazione, nelle norme e, se applicabile, nelle clausole contrattuali”.

La differenza sostanziale tra legge sulla privacy e la norma ISO 27001 è che la legge sulla privacy tutela dati personali, sensibili e non, mentre la ISO 27001 pur richiedendo che ciò sia fatto, s’interessa anche dei dati di business dell’organizzazione che devono essere salvaguardati per l’interesse stesso dell’organizzazione.

Il soddisfacimento dei requisiti di legge non è condizione sufficiente al test della ISO 27001. Per esempio un impianto antincendio posto a salvaguardia di un ambiente in cui sono installati dei server o dei client, che contengono informazioni incluse nel dominio di certificazione che soddisfi i requisiti di legge, non soddisfa automaticamente le esigenze che esprime la norma ISO 27001, che si preoccupa anche della ‘correttezza’ dei ‘dati’ contenuti nei server e nei client. Senza dimenticare che tutte le informazioni di business o dei processi interni, prive di dati personali, sono know how e rientrano nel perimetro del SGSI.

Le tecnologie dell’informazione e della comunicazione (in acronimo TIC o ICT, dall’inglese information and communications technology) sono l’insieme dei metodi e delle tecniche utilizzate nella trasmissione, ricezione ed elaborazione di dati e informazioni (tecnologie digitali comprese).

L’uso della tecnologia nella gestione e nel trattamento delle informazioni ha assunto crescente importanza strategica per le organizzazioni e per i cittadini come effetto del boom di internet, avvenuto negli anni novanta. Oggi l’informatica (apparecchi digitali e programmi software) e le telecomunicazioni (le reti telematiche) sono i due pilastri su cui si regge la società dell’informazione. È possibile dividere le TIC in due sottosettori: le tecnologie dell’informazione e le telecomunicazioni (delle quali fa parte la telematica).

Fanno parte delle TIC tutti quegli ambiti professionali che riguardano la progettazione e lo sviluppo tecnico della comunicazione digitale: oggi, le professionalità legate alle TIC stanno crescendo in numero e si stanno evolvendo nelle specificità, per operare in ambiti fortemente eterogenei ma sempre più interconnessi tra di loro, come informazione on-line, cloud computing, reti sociali, commercio elettronico, marketing digitale, GIS, domotica, realtà virtuale, trasporto automatizzato, ecc.

Oggi le TIC sono impiegate in molti ambiti della vita quotidiana: essendo utilizzate in una grande varietà di ambiti pubblici e privati senza essere dedicate ad un uso specifico, le tecnologie TIC possono essere considerate general purpose technology e sono sempre più connesse allo sviluppo sociale ed economico delle comunità umane.

Possiamo inoltre identificare quattro tecnologie alla base delle TIC:

• Microelettronica e microprocessore: Per microelettronica si intendono dei circuiti integrati che vengono prima disegnati e poi impiantati tramite fotoincisione su un wafer di silicio della dimensione di alcuni millimetri quadrati. Questo pezzetto di silicio viene poi incapsulato in un supporto di ceramica o plastica dotato di piedini di collegamento; tramite la Legge di Moore si ha la possibilità di inserire un numero sempre maggiore di transistor in un singolo microprocessore. Grazie alla microelettronica è possibile inserire un intero computer all’interno di un circuito lungo poco più di 2 centimetri, il microprocessore.
• Memorie di massa: sono necessarie all’interno di un computer per conservare i programmi e i dati, sono dominate dalla tecnologia magnetica.
• Fibra ottica;
• Software.

Vengono considerati come dei veri e propri miracoli delle tecnologie TIC il computer, la rete, la Sicurezza informatica, la multimedialità, il peer-to-peer, l’automazione del lavoro e i sistemi embedded.

Storicamente, la gestione ed il trattamento automatizzato dei dati e delle informazioni, hanno assunto, dal secondo dopoguerra in poi, una crescente importanza per i cittadini, per le aziende e per le organizzazioni ed hanno assunto un ruolo sempre più determinante nella cosiddetta Terza rivoluzione industriale. In particolare, il boom di Internet a partire dalla metà degli anni novanta, ha favorito la connessione tra le persone, producendo nuove opportunità di crescita e sviluppo in molti settori dell’economia.

La trasmissione d’informazioni tra calcolatori connessi in rete, avviata a partire dagli anni sessanta, costituisce un aspetto di un fenomeno più generale, di grande portata pratica e concettuale: la progressiva convergenza e integrazione d’informatica e telecomunicazioni. Questi due settori si erano sviluppati per lungo tempo indipendentemente l’uno dall’altro, poiché le telecomunicazioni procedevano prevalentemente utilizzando tecnologie analogiche. A partire dagli anni settanta, le tecnologie proprie dell’informatica hanno cominciato ad integrarsi con le telecomunicazioni; a partire dalla metà degli anni ottanta, anche grazie alla diffusione dei personal computer, è iniziata una rivoluzione di portata epocale: la rivoluzione digitale applicata al campo audio-visivo.

Negli anni novanta la nascita del World wide web e della telefonia cellulare, contemporanea alla progressiva digitalizzazione delle reti telefoniche pubbliche e di tutti i media di comunicazione (voce, video, immagini, documenti) ha portato all’interoperabilità, all’integrazione ed alla globalizzazione di tutte le reti. La globalizzazione del mercato, la mobilità, la multimedialità e l’affermarsi di nuovi modelli di business, rendono impossibile stabilire rigidi confini tra reti private e reti pubbliche, reti cablate e reti senza fili, reti voce e reti dati, reti aziendali e reti domestiche, reti dedicate al lavoro e reti dedicate allo svago e all’informazione/formazione.

Le TIC vera e propria nasce nei primi anni del nuovo millennio dall’unione della Tecnologia dell’informazione (TI) a della Tecnologia delle comunicazioni (TC), fondendo differenti componenti, come la Computer Technology, le telecomunicazioni, l’elettronica, i media e ha dato vita all’uso moderno di internet e degli smartphone.

La rapida diffusione a livello mondiale delle Tecnologie TIC ha creato ad una vera e propria rivoluzione digitale ancora in atto nelle società moderne, caratterizzate da utenti fortemente connessi tra di loro, con le informazioni e con gli oggetti che li circondano (città intelligente). Siti web, app mobile e tecnologie Cloud rappresentano oggi le forme più conosciute ed utilizzate di TIC.

Recentemente si sono evidenziate varie applicazioni della tecnologia cloud nel settore dell’educazione:

• applicazioni cloud che facilitano il lavoro di organizzazione dell’istituto scolastico, ad esempio l’attività di segreteria e contabile, che forniscono “suite per ufficio” concepite sulle esigenze della scuola, servizi di organizzazione della biblioteca o servizi di accesso a risorse di studio virtuali, servizi di protocollo virtuale, adesione a progetti ministeriali che prevedono l’integrazione tra diverse strutture per la realizzazione di macro-trattamenti.
• applicazioni cloud ugualmente riconducibili all’area dell’amministrazione, ma che coinvolgono direttamente anche profili connessi con lo svolgimento dell’attività didattica dei docenti: si pensi ad esempio un registro online per i docenti.
• applicazioni cloud che integrano direttamente l’offerta didattica, quali applicazioni online che permettono di sviluppare percorsi di approfondimento, condividere ricerche o utilizzare particolari strumenti di organizzazione e di ripasso delle informazioni, risorse online per il calcolo e la progettazione, la consultazione di riviste e articoli, la partecipazione a gruppi di ricerca condivisa, a programmi di scambio di conoscenze linguistiche…