Valutazione della sicurezza di sistemi informatici: tools e normative

Lo standard è stato creato e pubblicato nell'ottobre 2005 a fini certificativi, in modo da costituire un sistema completo per garantire la gestione della sicurezza nella tecnologia dell'informazione: con la sua pubblicazione ha sostituito la norma inglese BS 7799:2 (che conteneva la linea guida e lo standard vero), che fino ad allora rappresentava la principale norma di riferimento per l'applicazione di un sistema di gestione per la sicurezza delle informazioni.
Il nuovo standard ha assorbito entrambe le parti: la linea guida è diventata ISO 27002 (Information Technology - Security Techniques), mentre la seconda parte, lo standard vero e proprio, è diventata nell'ottobre 2005 ISO 27001:05.
Volendo essere più precisi, ISO 27002 prescrive la conservazione e la difesa delle risorse informative di un'impresa; ISO 27001:05 è il documento normativo di certificazione al quale un'azienda deve fare riferimento.
Dal momento che l'informazione è un bene che aggiunge valore all'impresa, e che ormai la maggior parte delle informazioni sono custodite su supporti informatici, ogni organizzazione deve essere in grado di garantire la sicurezza dei propri dati, in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento.
L'obiettivo dello standard ISO 27001:05 è proprio quello di proteggere i dati e le informazioni (in ogni forma) da minacce, al fine di assicurarne l'integrità, la riservatezza e la disponibilità, e fornire i requisiti per adottare un adeguato sistema di gestione della sicurezza delle informazioni (SGSI) analizzato ad una corretta gestione dei dati sensibili dell'azienda.
La norma è applicabile a imprese operanti nella gran parte dei settori commerciali e industriali, come finanza e assicurazioni, telecomunicazioni, servizi, trasporti, settori governativi.
L'impostazione dello standard ISO 27001, coerente con quella del sistema di gestione per la qualità ISO 9001:2000 e il risk management, si basa sull'approccio per processi, strutturato in politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, utilizzo di procedure e di strumenti per l'audit interno, non conformità, azioni correttive e preventive, sorveglianza.