ISMS Information Security Management System.

Che cos'è realmente un SGSI

Un sistema di gestione della sicurezza delle informazioni è il sistema operativo che mette in funzione per proteggere gli asset informativi in modo deliberato e ripetibile. La parola che conta di più è «sistema». Non sono gli strumenti di sicurezza, e non è una cartella di politiche approvate posata su un'unità condivisa. È l'insieme di processi, ruoli, decisioni e registrazioni attraverso cui un'organizzazione identifica quali informazioni deve proteggere, decide quanto rischio è disposta ad accettare, sceglie i controlli per trattare quel rischio e poi dimostra che quei controlli funzionano davvero nel tempo. Una politica dice ciò che dovrebbe accadere. Un SGSI è il meccanismo che lo fa accadere e che genera la prova che è accaduto.

Le sue caratteristiche distintive sono che è basato sul rischio e supportato da evidenze, e che opera sotto riesame della direzione. Basato sul rischio significa che i controlli non sono scelti da una lista dei desideri ma giustificati da una valutazione documentata delle minacce a specifici asset. Supportato da evidenze significa che ogni controllo ha degli artefatti alle spalle: riesami degli accessi che sono stati eseguiti, log che sono stati monitorati, incidenti che sono stati gestiti, formazione che è stata erogata. Il riesame della direzione significa che la dirigenza è proprietaria del sistema, ne fissa gli obiettivi e verifica periodicamente se vengono raggiunti. Togliete uno qualunque di questi tre elementi e avrete un programma di sicurezza, non un sistema di gestione.

Perché gli auditor valutano le evidenze, non le politiche

Un fraintendimento comune e costoso è credere che la certificazione riguardi l'avere una buona documentazione. Non è così. Un auditor di certificazione presume che lei sappia scrivere una politica di controllo degli accessi competente. Ciò che è lì a verificare è se la sua realtà operativa corrisponde a quanto affermano i suoi documenti. Chiederà di vedere l'ultimo riesame degli accessi e verificherà che sia stato effettivamente completato, campionerà i ticket per confermare che le modifiche siano state autorizzate, e tracerà un incidente dalla rilevazione fino alle lezioni apprese. Politiche belle senza alcuna evidenza operativa alle spalle non superano gli audit. È per questo che i professionisti descrivono il SGSI come qualcosa che si mette in funzione, non qualcosa che si scrive.

Plan-Do-Check-Act: come il sistema resta vivo

Un SGSI è costruito per migliorare di continuo anziché essere perfezionato una volta sola. La maggior parte delle implementazioni segue il ciclo Plan-Do-Check-Act, che mantiene onesto il sistema:

1. Plan: stabilire il campo di applicazione, valutare i rischi, fissare gli obiettivi di sicurezza e selezionare i controlli per trattare i rischi che ha individuato.
2. Do: attuare e gestire quei controlli e i processi di supporto nel quotidiano.
3. Check: monitorare, misurare, condurre audit interni ed eseguire riesami della direzione per vedere se i controlli funzionano e se gli obiettivi vengono raggiunti.
4. Act: correggere ciò che non funziona, affrontare le cause profonde delle non conformità e reimmettere i miglioramenti nel ciclo successivo.

Quel ciclo è ciò che distingue un SGSI vivo da uno sforzo di conformità una tantum. Un registro dei rischi riesaminato una volta all'anno e poi mai più toccato non è un SGSI in alcun senso significativo, anche se a un certo punto ha prodotto un certificato.

Dove si colloca tra i concetti vicini

Il SGSI è il quadro di riferimento, certificato secondo la ISO/IEC 27001, la norma internazionale che specifica i requisiti che un sistema di gestione deve soddisfare. La ISO/IEC 27001 è la norma dei requisiti certificabile; guide di accompagnamento come la ISO/IEC 27005 supportano il lavoro di valutazione e trattamento del rischio che la alimenta. Spesso si confonde il SGSI con i controlli al suo interno, ma i controlli sono input che il sistema seleziona e gestisce. Non sono il sistema. La disciplina del SGSI sta proprio nel fatto che riconduce ogni controllo a un rischio e ogni rischio a una decisione documentata presa da persone che ne sono responsabili.