La ISO/IEC 27001 è diventata un requisito commerciale. Non la chiede un auditor: la chiede il cliente grosso che sta per affidarti un lavoro, o il bando a cui vuoi partecipare. Questa è, quasi sempre, la ragione onesta per certificarsi.
Che cos’è e che cosa non è
Non è un elenco di misure tecniche da installare. È un sistema di gestione: un modo per individuare quali informazioni hai, quali rischi corrono, cosa fai al riguardo e come verifichi che si continui a fare. La parte tecnica è una conseguenza, non il punto di partenza.
Cosa comporta nella pratica
- Definire l’ ambito: quale parte dell’azienda si certifica. Partire da tutto di solito è un errore.
- Un analisi dei rischi reale, non copiata da un modello.
- Politiche e procedure che verranno davvero rispettate. Quelle che non si rispettano saltano fuori alla prima verifica.
- Applicare i controlli che emergono dall’analisi: accessi, backup, registrazione degli eventi, gestione dei fornitori, formazione.
- Audit interno, riesame della direzione e audit di certificazione con un ente accreditato.
- E poi: audit di sorveglianza annuali. Un sistema chiuso in un cassetto crolla da solo.
ISO 27001, ENS e NIS2: come si intrecciano
- ISO 27001 è volontaria e serve come argomento commerciale in qualsiasi settore.
- ENS (Esquema Nacional de Seguridad, lo schema spagnolo di sicurezza) è obbligatorio per lavorare con la Pubblica Amministrazione spagnola.
- NIS2 è la direttiva europea, e riguarda più aziende di quanto sembri: a molte si applica perché sono fornitrici di un’altra che invece ci rientra.
Condividono buona parte del lavoro. Se sai che te ne serviranno due, conviene impostarle insieme fin dall’inizio invece di fare due volte la stessa fatica.
La domanda utile non è «mi certifico?», ma «quanto giro d’affari perdo perché non sono certificato?». Con quel numero la decisione si prende da sola.
