Sistemi di Gestione della Sicurezza delle Informazioni (SGSI)

Un sistema di gestione della sicurezza delle informazioni, o SGSI (ISMS in inglese), è l'insieme di politiche, processi, ruoli e misure con cui un'organizzazione decide quali informazioni vadano protette, da cosa e in che modo, e poi verifica che le decisioni reggano. La parola da notare è gestione. Un ISMS non è un prodotto da installare, ma un modo di condurre la sicurezza dei dati come responsabilità continua, con responsabili, registrazioni e riesami periodici.

Il riferimento internazionale è la famiglia ISO/IEC 27000. La ISO/IEC 27001 stabilisce i requisiti che un ISMS deve soddisfare ed è la norma rispetto alla quale le organizzazioni si certificano, mentre la ISO/IEC 27002 è un catalogo di misure di sicurezza con indicazioni di attuazione. L'obiettivo è proteggere la riservatezza, l'integrità e la disponibilità delle informazioni in ogni forma: file, database, carta, perfino conversazioni.

Poiché l'ISMS si basa sul rischio, due aziende possono soddisfare la stessa norma con insiemi di misure molto diversi. La norma non chiede una lista della spesa fissa, ma la prova che i rischi sono stati individuati, trattati con consapevolezza e riesaminati.

Un ISMS funziona come un ciclo, spesso descritto con il modello Plan-Do-Check-Act, e non come un progetto una tantum. Tutto parte dal sapere che cosa si possiede: un inventario degli asset IT aggiornato e uno schema di classificazione dei dati funzionante mostrano dove le misure valgono il loro costo. L'ordine abituale del ciclo è questo:

1. 1

   Definire il campo di applicazione

   Stabilire quali unità, sedi, sistemi e dati copre l'ISMS e chi vi ha interesse: clienti, autorità, dipendenti.

2. 2

   Valutare e trattare il rischio

   Individuare asset e minacce, valutare i rischi e decidere se ciascuno va ridotto, evitato, condiviso o accettato. Ogni rischio ha un responsabile e una decisione registrata.

3. 3

   Scegliere e gestire le misure

   Scegliere misure coerenti con i rischi, registrare la scelta e le sue ragioni nella Dichiarazione di applicabilità e portare le misure nell'operatività quotidiana.

4. 4

   Misurare e sottoporre ad audit

   Seguire le prestazioni delle misure, svolgere audit interni e riesami della direzione, perché i vertici vedano risultati e non solo politiche.

5. 5

   Migliorare

   Correggere le non conformità, imparare dagli incidenti e riportare le conclusioni nella successiva valutazione del rischio.

La norma richiede informazioni documentate, ma i documenti da soli non fanno un ISMS. La maggior parte degli elementi seguenti serve a dimostrare che il ciclo di gestione gira davvero:

Un ISMS ha bisogno di prove che le misure esistano e che le loro modifiche siano tracciabili. In Anexet Inventory, la scheda di una postazione elenca i programmi installati con versione e data di installazione, la materia prima per un inventario degli asset. Nella console dell'amministratore, la scheda Journal registra chi ha modificato quale profilo o regola, e quando.

1 / 2

• 
• 

Una sorpresa frequente per chi implementa un ISMS per la prima volta è quanto poco appartenga al team di sicurezza. La norma si aspetta il coinvolgimento dei vertici, e i responsabili del rischio devono essere le persone che possiedono davvero il processo di business. Nella pratica i ruoli sono questi:

La ISO/IEC 27001 viene spesso confusa con l'ISMS stesso. L'ISMS è ciò che l'organizzazione gestisce, la norma è il metro, e la certificazione è un audit indipendente di quel sistema entro un campo dichiarato. Un certificato dice quindi che il sistema nel suo campo soddisfa la norma. Non dice che l'intera azienda sia sicura né che una violazione sia impossibile.

Accanto esistono altri riferimenti. Il NIST Cybersecurity Framework e la NIST SP 800-53 offrono strutture e cataloghi di misure, SOC 2 è una relazione di attestazione di un revisore secondo criteri per i fornitori di servizi, e norme come il GDPR e la direttiva europea NIS2 richiedono misure di sicurezza adeguate senza prescrivere un ISMS. Un ISMS funzionante rende meno costosa questa sovrapposizione, perché un solo processo di rischio e un solo insieme di evidenze servono più requisiti tramite la gestione della conformità. Aiuta a dimostrare la diligenza, ma da solo non equivale alla conformità legale.

La maggior parte dei programmi ISMS si arena per ragioni organizzative, non tecniche. Una sequenza tipica è acquistare uno strumento, come un sistema DLP, prima che qualcuno abbia elencato che cosa va protetto, e scrivere le carte dopo. Gli schemi si ripetono:

• Un campo così ristretto che il certificato copre poco di ciò che interessa ai clienti
• Un registro dei rischi copiato da un modello, senza veri responsabili
• Una Dichiarazione di applicabilità piena di «non applicabile» senza motivazioni
• Politiche scritte una volta, mai lette e mai verificate
• Rilievi di audit chiusi sulla carta senza rimuovere la causa

Si inizi in piccolo e sul concreto: si scelga un campo che conta per i clienti, si elenchino i suoi asset informativi e i relativi responsabili e si valutino i pochi rischi che farebbero più male. Le misure vengono dopo, in ordine di rischio e non nell'ordine dell'indice della norma.

Conviene che siano i sistemi stessi a produrre le evidenze, per esempio report di sicurezza programmati e registri delle modifiche, invece di raccogliere schermate la settimana prima dell'audit. Un ISMS economico da mantenere è quello che sopravvive al secondo anno.