ISO/IEC 27001:2022 – Certificazione dei sistemi di gestione per la sicurezza delle informazioni
Oggigiorno, le organizzazioni devono sopravvivere in un mondo pieno di minacce, come attacchi informatici, violazioni di dati e abusi di protezione dei dati. Voi avete i giusti strumenti per difendervi? Preparatevi e consolidate la sicurezza delle vostre informazioni con la norma ISO/IEC 27001:2022. Questa norma riconosciuta a livello internazionale offre un quadro sistematico volto a garantire il miglioramento continuo della sicurezza delle informazioni. Oltre a minimizzare i rischi, migliora la gestione degli incidenti di sicurezza e rafforza la fiducia dei vostri clienti e partner. Un sistema di gestione per la sicurezza delle informazioni certificato da SQS ai sensi di ISO/IEC 27001:2022 ribadisce il vostro impegno a favore di una gestione riservata dei dati sensibili. Una solida infrastruttura di sicurezza non solo soddisfa i requisiti di compliance, ma rafforza anche il vostro marchio.
ISO/IEC 27001-Responsabile di prodotto
Simon Maurer
Accreditamento da parte del Servizio di accreditamento svizzero (SAS)
I nostri certificati sono validi e riconosciuti a livello internazionale
Certifichiamo sistemi di gestione dal 1983
Più di 9 000 clienti si affidano ai nostri servizi
Gestione della sicurezza delle informazioni secondo ISO/IEC 27001:2022
La norma ISO/IEC 27001:2022 costituisce lo standard globale per i sistemi di gestione per la sicurezza delle informazioni. Il catalogo completo dei requisiti consente alla vostra organizzazione di mantenere processi e flussi di lavoro sempre al passo con la tecnica. A proposito: il numero «2022» si riferisce all’anno dell’ultima revisione. Come tutte le norme ISO, anche la ISO/IEC 27001 viene verificata e ottimizzata a intervalli regolari, con l’obiettivo di soddisfare sempre i requisiti attuali in materia di sicurezza delle informazioni.
Certificazione da parte di SQS
Il certificato SQS secondo ISO/IEC 27001:2022 trasmette ai clienti e ad altri stakeholder la certezza che la vostra organizzazione soddisfa i massimi standard in materia di sicurezza delle informazioni. Il certificato è valido per tre anni. Dopo la certificazione iniziale, ogni due anni successivi si svolge un audit di mantenimento. Tali audit verificano il rispetto dei requisiti normativi e l’ulteriore sviluppo del sistema di gestione. Tuttavia, sono molto più di semplici visite di controllo: gli auditor esperti di SQS forniscono anche preziosi approfondimenti e avvertenze sul miglioramento continuo della vostra organizzazione.
Riconoscimento e accreditamento
Non tutti i certificati ISO hanno lo stesso valore. La competenza e la reputazione dell’organismo di certificazione sono decisive per il loro riconoscimento sul mercato.
SQS è di gran lunga il principale fornitore di certificati di sistemi di gestione in Svizzera. È stato il primo a essere autorizzato dal Servizio di accreditamento svizzero (SAS). Questa autorità federale controlla gli organismi di certificazione, in altri termini verifica l’idoneità e la conformità degli esaminatori. Dopotutto, SQS è collegato in rete a livello globale.
Ed è per questi motivi che i certificati SQS per i sistemi di gestione conformi alla norma ISO/IEC 27001 e a molte altre norme ISO sono riconosciuti in tutti i continenti. Sono la porta d’accesso a nuovi mercati.
Combinazioni di certificati
Molti dei nostri clienti che lavorano con la norma ISO/IEC 27001 combinano le diverse certificazioni. La norma ISO 9001 per la gestione della qualità rappresenta la norma base. Vengono poi integrati altri argomenti e norme, come ad esempio la ISO 14001 sulla gestione ambientale, la ISO 45001 sulla salute e la sicurezza sul lavoro, la ISO 26000 sulla responsabilità sociale, la ISO 31000 sulla gestione dei rischi o la ISO 50001 sulla gestione dell’energia. Tutto ciò vi consente di creare importanti sinergie.
La struttura armonizzata delle norme ISO semplifica tali sistemi di gestione integrati, poiché le varie norme hanno gli stessi argomenti e testi fondamentali. Questo vi permette di evitare duplicazioni, di sfruttare le sinergie e di migliorare e certificare la vostra organizzazione rispetto a diversi obiettivi.
Salve, sono Simon Maurer
Desiderate migliorare il livello di sicurezza delle informazioni nella vostra organizzazione oppure richiedere la certificazione di azioni che state già attuando? Sarà un piacere potervi assistere: io personalmente in veste di responsabile di prodotto, con l’aiuto del nostro team di Account Management e dei nostri auditor. In questi tempi caratterizzati dalla crescita di minacce informatiche e dei requisiti di protezione dei dati, è strategicamente importante mantenere la sicurezza delle informazioni al massimo livello. Il nostro obiettivo è rendervi il processo di certificazione il più semplice e redditizio possibile.
Fateci sapere come possiamo assistervi. Vi aspettiamo!
Cordiali saluti,
Simon Maurer
Protezione e riduzione del rischio
Con la norma ISO/IEC 27001:2022 proteggerete i dati critici, ridurrete al minimo i rischi in fatto di sicurezza e promuoverete una gestione efficace dei rischi. Tutti aspetti essenziali per poter far fronte all’aumento degli attacchi informatici e delle fughe di dati. Un ISMS certificato promuove la produttività e la qualità dei vostri servizi creando un ambiente sicuro.
Reputazione e credibilità
I certificati ISO/IEC 27001:2022 sono riconosciuti a livello mondiale e accrescono la credibilità della vostra azienda. Questo riconoscimento internazionale, in combinazione con la «Swissness» offerta dal certificato SQS, consolida in modo sostanziale la fiducia di clienti, autorità e altri stakeholder.
Compliance e certezza del diritto
La norma promuove una gestione orientata alla sicurezza che regolamenti, monitori e migliori i processi aziendali, soddisfacendo così appieno i diversi requisiti e accrescendo la sicurezza giuridica.
Miglioramento continuo
La ISO/IEC 27001 dà la massima importanza al miglioramento continuo. In occasione degli audit annuali, il personale esperto di SQS vi fornirà preziosi consigli su come eliminare i punti deboli e potenziare ulteriormente i punti di forza. C’è sempre del potenziale di miglioramento: dopotutto, anche le tipologie di pericoli cambiano di continuo!
Leadership proattiva e lungimirante
La ISO/IEC 27001 analizza il contesto attuale consentendo il riconoscimento tempestivo di rischi e opportunità, inducendo così un atteggiamento proattivo e una migliore pianificazione strategica. Ciò, a sua volta, vi aiuta a usufruire di sviluppi rilevanti e ad agire con lungimiranza.
Uno strumento per la sicurezza delle informazioni
Un ISMS certificato contribuisce a migliorare la sicurezza delle informazioni garantendo la sicurezza dei dati e facendo fronte alle aspettative sempre crescenti degli stakeholder relativamente a una gestione dei dati più responsabile.
Se ritenete di essere idonei in termini di ISMS, potete iscrivervi per la certificazione utilizzando il modulo qui sopra. Opzionalmente, potete seguire l’iter descritto di seguito per ottenere la certificazione ISO:
#1 - Formazione/struttura dell’ISMS
I nostri auditor esperti vi trasmettono le loro conoscenze nei corsi di formazione sulla ISO/IEC 27001 orientati alla pratica. Preparatevi in modo ottimale all’introduzione dell’ISMS e alla certificazione della vostra azienda.
#2 - Iscrizione per la certificazione
Dopo l’iscrizione per la certificazione, potete beneficiare di un colloquio preliminare o di un pre-audit. Il pre-audit identifica le lacune rilevanti per il sistema e consente una certificazione efficiente.
#3 – Audit
Per prima cosa esaminiamo la documentazione del vostro sistema, valutiamo la vostra predisposizione alla certificazione e redigiamo insieme a voi un piano di audit dettagliato. In seguito, i nostri auditor si recano presso la vostra azienda per ispezionare gli oggetti di prova rilevanti e redigere un rapporto.
#4 - Certificato valido per tre anni
Se il rapporto è positivo, riceverete il certificato ISO/IEC 27001 in formato digitale e cartaceo. Potrete così divulgarlo internamente ed esternamente all’azienda per un periodo di tre anni. Gli audit annuali assicurano la conformità alla norma e consentono miglioramenti continui. La ricertificazione completa avviene dopo tre anni.
Endress+Hauser
17 000 dipendenti – Settore della tecnologia di misurazione e dell’automazione
La sfida
«Nell’ambito della trasformazione digitale, la sicurezza delle informazioni rappresenta un fattore di successo decisivo. In veste di fornitore leader di strumenti di misura e soluzioni di automazione, la Endress+Hauser deve poter garantire la sicurezza e la riservatezza dei dati dei clienti. La sempre crescente digitalizzazione dei nostri prodotti e servizi, unita alla grande attenzione posta sull’«Industrial Internet of Things», innalza il livello dei requisiti di protezione dei sistemi e dei dati sensibili.»
Soluzione
«Con l’introduzione di un sistema di gestione per la sicurezza delle informazioni (ISMS) secondo la norma ISO/IEC 27001, abbiamo creato una base solida per identificare e minimizzare i rischi in modo sistematico. La norma descrive minuziosamente le misure di protezione a livello tecnico-organizzativo che vengono integrate nello specifico per il nostro cloud Netilion dalla ISO/IEC 27017. La certificazione di SQS garantisce che i nostri standard di sicurezza vengano verificati e migliorati costantemente. In questo modo, possiamo garantire la sicurezza dei nostri dispositivi, dei servizi cloud e dell’intera organizzazione, il che non solo rafforza la fiducia dei nostri clienti, ma crea anche un vantaggio decisivo in termini di concorrenza.»
Steve North, Information Security Manager
Quanto tempo occorre per ottenere un certificato ISO/IEC 27001?
+
Il tempo necessario per la certificazione ISO/IEC 27001 dipende da vari fattori, come ad esempio le dimensioni e la complessità dell’azienda, le competenze dei dipendenti coinvolti, la soluzione software o il tempo disponibile per strutturare il sistema. Di solito, sono necessari da sei a dodici mesi per elaborare i processi e i documenti connessi e per prepararsi all’audit di certificazione. Questo richiede almeno un giorno. Per le grandi aziende, l’audit può durare diversi giorni.
Con che frequenza deve essere rinnovato il certificato ISO/IEC 27001?
+
Una volta ottenuta la certificazione iniziale, l’azienda riceve un certificato valido per tre anni. Nei due anni successivi viene effettuato un audit di mantenimento, di portata più ridotta. Questo garantisce che i requisiti della norma siano soddisfatti su base continuativa e che l’azienda continui a svilupparsi. Prima della scadenza del certificato, viene effettuato un audit di ricertificazione e il ciclo ricomincia.
Quali sono i costi associati alla certificazione ISO/IEC 27001?
+
I costi dipendono da vari fattori: ad esempio, dalle dimensioni e dalla complessità dell’azienda, dal numero di dipendenti a tempo pieno o dal numero di sedi da certificare. È necessario tenere conto dei costi una tantum o continui per la creazione e il funzionamento del sistema, come i costi del personale interno, la formazione dei dipendenti, le spese di consulenza e le licenze per il software di gestione dei processi. È consigliabile effettuare previamente una stima dei costi. La certificazione ISO/IEC 27001 è di importanza strategica e rappresenta un investimento per il futuro dell’azienda.
SQS offre anche servizi di consulenza?
+
SQS è un organismo di certificazione autorizzato dal Servizio di accreditamento svizzero (SAS). Questo ci vieta pertanto di consigliarvi in merito alla creazione di un ISMS. La separazione tra consulenza e certificazione è un fattore chiave per la nostra indipendenza e quindi per la credibilità dei nostri certificati. Tuttavia, offriamo corsi di formazione per la creazione e lo sviluppo continuo dei sistemi di gestione, tenuti dai nostri auditor esperti.
Che ruolo ha l’organismo di certificazione nella certificazione ISO/IEC 27001?
+
L’organismo di certificazione è responsabile dell’esecuzione dell’audit di certificazione in conformità ai requisiti normativi e della verifica della conformità dell’azienda ai requisiti della ISO/IEC 27001. È importante scegliere un organismo di certificazione come SQS, riconosciuto da un organismo di accreditamento nazionale. Questo è l’unico modo per garantire che il certificato sia ampiamente riconosciuto, anche a livello internazionale.
Come può un’azienda verificare la validità di un certificato ISO/IEC 27001?
+
Tutti i certificati validi rilasciati da SQS sono disponibili sul nostro sito web alla voce Organizzazioni certificate. A tale scopo, indicate il vostro numero di registrazione.
Un’azienda può avere più certificazioni contemporaneamente?
+
Sì, un’azienda può avere più certificazioni contemporaneamente: per i sistemi di gestione secondo le norme ISO 9001 (gestione della qualità), ISO 14001 (gestione ambientale), ISO 45001 (salute e sicurezza sul lavoro), ISO/IEC 27001 (sicurezza delle informazioni) e altre. Queste norme si completano e consentono alle aziende di creare un sistema di gestione integrato che tiene conto dei vari requisiti di clienti, dipendenti e altri stakeholder.
Cosa succede se un’azienda non soddisfa i requisiti della norma ISO/IEC 27001?
+
Se i requisiti della norma non sono soddisfatti e il/la Lead Auditor emette le cosiddette non conformità maggiori o minori, l’azienda deve porvi rimedio entro un determinato periodo di tempo. Se l’azienda non è in grado di farlo, l’organismo di certificazione può imporre una sospensione di massimo sei mesi o annullare la procedura di certificazione. Tuttavia, questi casi sono estremamente rari.
L’azienda deve far sì che tutti i dipendenti comprendano i requisiti della norma e che siano in grado di applicarli nelle operazioni quotidiane. I corsi e i programmi di formazione possono contribuire ad accrescere la consapevolezza della norma e dei suoi benefici e quindi a far funzionare l’ISMS in modo efficace ed efficiente.
In che modo un ISMS mi aiuta a rispettare i requisiti del GDPR?
+
Il regolamento sulla protezione dei dati (DGPR) dell’Unione europea è rilevante anche per numerose altre organizzazioni della Svizzera. Un sistema di gestione per la sicurezza delle informazioni (ISMS) secondo la norma ISO/IEC 27001 promuove il rispetto dei requisiti del GDPR sotto diversi punti di vista. Implementa solide misure di sicurezza volte a proteggere i dati personali dall’accesso non autorizzato e dalla perdita dei dati. Una gestione strutturata dei rischi permette inoltre di identificare e minimizzare in modo sistematico i potenziali rischi associati alla gestione dei dati. L’ISMS garantisce il rispetto dei requisiti legali e normativi, monitorando e migliorando costantemente i processi. Richiede inoltre una documentazione completa e trasparenza nell’elaborazione dei dati, requisito essenziale per l’osservanza del DGPR.
Cosa è stato modificato nella ISO/IEC 27001:2022 rispetto alla ISO/IEC 27001:2013?
+
La ISO/IEC 27001:2022 contiene diverse modifiche sostanziali rispetto alla ISO/IEC 27001:2013. Tra le principali modifiche rientrano l’aggiornamento dei controlli nell’Allegato A per poter far fronte allo scenario di minacce tecnologiche in costante cambiamento, l’introduzione di nuovi controlli per neutralizzare i rischi di sicurezza sui cloud e il miglioramento del processo di gestione dei rischi. Sono stati poi inseriti chiarimenti e miglioramenti volti a semplificare l’implementazione e l’utilizzo della norma. Tutte queste modifiche hanno l’obiettivo di accrescere l’efficacia della sicurezza delle informazioni, adattandola ai tempi moderni. Sono previsti 36 mesi di transizione per implementare l’ISMS ai sensi della norma modificata.
In che modo l’ISMS secondo ISO/IEC 27001 può assistere le piccole-medie imprese (PMI)?
+
Un ISMS secondo ISO/IEC 27001 è particolarmente utile per le PMI, che di norma non dispongono delle stesse risorse informatiche delle grandi aziende. Il sistema di gestione offre un approccio strutturato per la sicurezza delle informazioni che comprende soluzioni per PMI efficienti in termini di costi. Questa norma aiuta a identificare e a minimizzare in modo sistematico i rischi, garantendo così l’integrità e la riservatezza dei dati. Attraverso l’implementazione di chiare direttive di sicurezza e audit svolti a intervalli regolari, viene inoltre assicurato il rispetto dei requisiti legali necessari per rafforzare la fiducia di clienti e partner, migliorando l’efficienza a livello aziendale. Un ISMS consente alle PMI di raggiungere un livello di sicurezza elevato persino con risorse limitate, proteggendole così dalle diverse minacce informatiche.
In che modo la ISO/IEC 27001 sostiene le aziende nell’attuazione delle direttive e dei protocolli di sicurezza nel cloud?
+
La ISO/IEC 27001 offre un contesto globale dove possono integrarsi anche i requisiti di sicurezza posti agli ambienti cloud. La norma contiene controlli aggiornati dei rischi legati all’accesso non autorizzato, alla perdita di dati e alle violazioni della sicurezza nel cloud. Le organizzazioni vengono dunque spronate a sviluppare e ad attuare direttive e protocolli di sicurezza chiari che possano soddisfare persino i sofisticatissimi standard dei servizi cloud. Audit svolti a intervalli regolari aiutano poi a migliorare costantemente queste misure, adeguandole alle nuove minacce. Ciò fa sì che i dati sensibili presenti nel cloud rimangano al sicuro, garantendo inoltre la compliance con gli standard di sicurezza e con i requisiti legali pertinenti.
In che modo si completano la ISO/IEC 27001 sulla sicurezza delle informazioni e la ISO/IEC 42001 sull’intelligenza artificiale?
+
La ISO/IEC 27001 e la ISO/IEC 42001 si completano a vicenda offrendo una protezione globale e parametri etici per i sistemi di informazioni e di AI. Implementando entrambe le norme, le aziende possono far sì che i loro sistemi di AI siano non solo sicuri, ma che abbiano anche una base etica e quindi responsabile. Mentre la ISO/IEC 27001 copre la sicurezza delle informazioni in termini più generali e la protezione contro le minacce informatiche, la ISO/IEC 42001 si concentra sulle sfide specifiche della AI, quali trasparenza, correttezza ed etica. Questa combinazione rafforza la fiducia di clienti e partner garantendo il rispetto dei requisiti legali e normativi, il che a sua volta porta a un utilizzo più solido e responsabile delle tecnologie dell’informazione e della AI.