1
Contesto, perimetro e requisiti
Analizziamo l’organizzazione, i processi, le informazioni, le parti interessate e gli obblighi applicabili.
Definiamo il perimetro del sistema di gestione e verifichiamo la documentazione già disponibile.
Governance
Consulenza ISO/IEC 27001 e ISO 9001
La ISO/IEC 27001 permette di costruire un sistema strutturato per proteggere le informazioni, gestire i rischi e migliorare nel tempo l’efficacia delle misure di sicurezza.
Blu System accompagna l’organizzazione nell’intero percorso: dall’analisi del contesto alla valutazione dei rischi, dalla definizione dei controlli alla predisposizione della documentazione e delle evidenze necessarie per affrontare l’audit di certificazione.
Quando utile, il sistema può essere integrato con la ISO 9001 per collegare la gestione della sicurezza alla qualità dei processi, dei prodotti e dei servizi.
Sicurezza delle informazioni
Un sistema di gestione costruito sulla tua organizzazione
La ISO/IEC 27001 non richiede di applicare gli stessi controlli nello stesso modo a tutte le aziende.
Il sistema deve partire dal contesto reale dell’organizzazione, dalle informazioni trattate, dai servizi erogati, dai rischi e dai requisiti delle parti interessate.
Il nostro lavoro comprende la definizione del perimetro del sistema di gestione, l’analisi del contesto interno ed esterno, l’identificazione delle parti interessate, la verifica dei requisiti legali, normativi e contrattuali, la definizione di ruoli e responsabilità, l’identificazione degli asset e delle informazioni critiche, l’analisi e il trattamento dei rischi e la selezione dei controlli applicabili.
L’obiettivo non è produrre documenti standardizzati, ma costruire un sistema efficace anche a livello operativo, che non diventi un ingombro ma una reale opportunità di miglioramento a tutti i livelli.
ISO/IEC 27001
Analisi dei rischi e Dichiarazione di Applicabilità
L’analisi dei rischi costituisce il punto centrale del sistema di gestione della sicurezza delle informazioni.
Identifichiamo gli eventi che potrebbero compromettere la riservatezza, l’integrità e la disponibilità delle informazioni e ne valutiamo probabilità, impatto e misure di protezione già presenti.
Sulla base dei risultati viene definito il piano di trattamento dei rischi.
La Dichiarazione di Applicabilità, o Statement of Applicability, raccoglie i controlli considerati applicabili, le eventuali esclusioni motivate e il loro stato di attuazione.
Per ogni controllo viene chiarito:
- perché è applicabile o escluso;
- come viene attuato;
- quali evidenze ne dimostrano l’applicazione;
- quali carenze devono essere risolte;
- quali azioni devono essere pianificate.
Documentazione e processi
Politiche e procedure realmente applicabili
Un sistema di gestione efficace deve descrivere ciò che l’organizzazione fa realmente e non un modello teorico difficile da mantenere.
Partiamo dai processi e dai documenti già presenti, li analizziamo e li adattiamo ai requisiti applicabili.
Il percorso non si basa sulla produzione di documentazione standardizzata, ma sulla costruzione di un insieme coerente di regole operative che riflettano il funzionamento reale dell’organizzazione, integrando dove necessario gli elementi richiesti dal sistema di gestione.
Sistema integrato
Integrare sicurezza e qualità con la ISO 9001
La ISO 9001 può essere integrata con la ISO/IEC 27001 per costruire un unico sistema di gestione, capace di unire la protezione delle informazioni con il controllo e il miglioramento dei processi aziendali.
La priorità rimane la sicurezza delle informazioni, ma l’integrazione con la qualità consente di estendere il modello alla gestione complessiva dell’organizzazione, rendendo più coerenti e governabili attività, responsabilità e obiettivi.
Le due norme condividono infatti diversi elementi strutturali: per questo motivo è possibile evitare duplicazioni e gestire in modo unificato aspetti come politiche, audit, obiettivi e riesami, semplificando la gestione complessiva del sistema e migliorandone l’efficacia.
Quando è utile avviare il percorso
La consulenza è indicata quando:
clienti o partner richiedono la certificazione ISO/IEC 27001;
l’organizzazione vuole dimostrare una gestione strutturata della sicurezza;
i processi di sicurezza sono presenti ma non formalizzati;
responsabilità e modalità operative non sono chiaramente definite;
la documentazione esistente non è aggiornata o non rispecchia le attività reali;
manca un metodo condiviso per valutare e trattare i rischi;
si vuole integrare la gestione della sicurezza con la ISO 9001;
l’organizzazione deve prepararsi a un audit di certificazione.
Il nostro metodo
Come funziona il servizio
Un percorso completo dalla definizione del sistema alla preparazione dell’audit.
2
Analisi dei rischi e Gap Analysis
Valutiamo i principali scenari di rischio e confrontiamo le misure esistenti con quanto richiesto dal percorso di adeguamento.
Distinguiamo ciò che è già attuato, ciò che deve essere migliorato e ciò che risulta assente.
Prepariamo la Dichiarazione di Applicabilità e individuiamo le carenze rispetto ai controlli selezionati.
3
Attuazione del sistema
Predisponiamo o revisioniamo politiche, procedure, registri e strumenti di controllo.
Affianchiamo i referenti interni nell’applicazione delle misure e nella raccolta delle evidenze. Possiamo inoltre fornire direttamente le soluzioni tecniche necessarie, occupandoci della loro progettazione, implementazione e configurazione operativa, così da garantire continuità tra la fase consulenziale e la concreta realizzazione delle misure di sicurezza.
4
Verifica e preparazione alla certificazione
Supportiamo l’esecuzione dell’audit interno, la gestione delle eventuali non conformità e il riesame della Direzione.
Prepariamo l’organizzazione all’audit svolto dall’ente di certificazione indipendente.
Dalla documentazione alle misure tecniche
La conformità documentale non è sufficiente se i controlli descritti non sono realmente applicati.
Blu System può occuparsi anche della progettazione e dell’implementazione tecnica delle misure individuate durante l’analisi.
Gli interventi possono riguardare:
Protezione degli endpoint
Sistemi di protezione, rilevazione e risposta per workstation e server, inclusa la configurazione sicura di server, endpoint, apparati di rete e servizi cloud (Hardening).
Scopri il servizio Protezione degli endpointFirewall e segmentazione
Separazione delle reti, controllo del traffico e protezione degli accessi interni e remoti.
Scopri il servizio Firewall e segmentazioneBackup e continuità operativa
Progettazione delle copie di sicurezza, monitoraggio, test di ripristino e strategie di disaster recovery.
Scopri il servizio Backup e continuità operativaEmail security
Protezione della posta elettronica contro phishing, malware, spoofing e compromissione degli account.
Scopri il servizio Email securityLogging e monitoraggio
Centralizzazione dei log, controllo degli eventi e conservazione delle evidenze.
Scopri il servizio Logging e monitoraggioOffensive security
Attività di simulazione e verifica attiva della sicurezza dei sistemi che permettono di valutare la sicurezza dal punto di vista di un potenziale attaccante.
- Vulnerability Assessment (VA): analisi delle vulnerabilità presenti su sistemi, reti e applicazioni;
- Penetration Test (PT): simulazione controllata di attacchi per verificare l’effettiva esposizione;
- Red Team: simulazioni avanzate e realistiche di attacco per testare la resilienza complessiva dell’organizzazione.
Vulnerability management e Threat Intelligence
Processo continuo di identificazione, valutazione e gestione delle vulnerabilità, integrato con la raccolta e l’analisi di informazioni sulle minacce emergenti che possono coinvolgere l’organizzazione.
Scopri il servizio di Threat IntelligenceFormazione e consapevolezza
Formazione del personale e attività finalizzate a ridurre il rischio umano.
Le attività tecniche vengono definite e quotate separatamente sulla base delle priorità emerse dal piano di trattamento.
FAQ
Domande sulla consulenza ISO
La consulenza comprende anche il rilascio della certificazione?
No. Blu System progetta e implementa il sistema di gestione e prepara l’organizzazione all’audit.
La certificazione viene rilasciata da un organismo di certificazione indipendente, scelto dal cliente.
È possibile certificarsi soltanto ISO/IEC 27001?
Sì. La ISO 9001 non è obbligatoria.
Il percorso può riguardare esclusivamente il sistema di gestione della sicurezza delle informazioni oppure essere impostato fin dall’inizio come sistema integrato sicurezza e qualità.
Dobbiamo creare tutti i documenti da zero?
Non necessariamente.
Analizziamo ciò che è già presente e utilizziamo i processi e i documenti esistenti quando risultano adeguati. La documentazione viene integrata o riscritta soltanto dove necessario.
Quanto dura il percorso?
La durata dipende dalle dimensioni dell’organizzazione, dal perimetro scelto, dal livello di maturità iniziale e dalla disponibilità dei referenti interni.
Dopo la prima analisi viene predisposto un piano con attività, responsabilità e tempistiche.
La consulenza comprende tutte le implementazioni tecniche?
La consulenza comprende l’analisi, la definizione delle priorità e il supporto previsto dal progetto.
Le attività tecniche, come l’installazione di sistemi di sicurezza o la modifica dell’infrastruttura, vengono progettate e quotate separatamente in base al piano approvato.
Chi deve essere coinvolto?
Il progetto non può essere affidato esclusivamente al reparto IT.
Devono essere coinvolte la Direzione e le funzioni che gestiscono processi, personale, fornitori, contratti, informazioni e tecnologie comprese nel perimetro.
La certificazione garantisce che non si verificheranno incidenti?
No. La certificazione dimostra che l’organizzazione ha adottato un sistema strutturato per individuare, gestire e riesaminare i rischi.
Non elimina completamente la possibilità di incidenti, ma migliora la capacità di prevenirli, affrontarli e imparare da quanto accaduto.
Potete continuare ad affiancarci dopo la certificazione?
Sì. Il sistema di gestione deve essere mantenuto e migliorato nel tempo.
Possiamo supportare l’organizzazione negli audit interni, nei riesami, nell’aggiornamento dell’analisi dei rischi, nella gestione delle azioni correttive e nell’evoluzione dei controlli.
In sintesi
Benefici per la tua azienda
Costruisci un sistema di gestione applicabile e verificabile, nel quale sicurezza, responsabilità e miglioramento continuo diventano parte dei processi aziendali.
- Gestisci i rischi attraverso un metodo strutturato e ripetibile
- Definisci responsabilità, processi e controlli verificabili
- Dimostri a clienti e partner l’impegno nella protezione delle informazioni
- Prepari l’organizzazione ad affrontare l’audit di certificazione
- Colleghi documentazione, processi organizzativi e misure tecniche
- Mantieni il sistema aggiornato attraverso audit, riesami e indicatori
Cosa ricevi
Analisi del contesto e del perimetroGap analysisAnalisi e piano di trattamento dei rischiDichiarazione di Applicabilità+3
Analisi del contesto e del perimetro • Gap analysis • Analisi e piano di trattamento dei rischi • Dichiarazione di Applicabilità • Politiche, procedure e registri • Piano delle azioni prioritarie • Supporto ad audit interno e certificazione.
Vuoi avviare un percorso ISO/IEC 27001?
Analizziamo il tuo contesto e costruiamo un sistema di gestione adeguato alla tua organizzazione, accompagnandoti dalla valutazione iniziale fino alla preparazione dell’audit.
