ISO 27001: Foundation, Lead Implementer, Lead Auditor, quale scegliere?

La decisione che conta davvero: stai costruendo o facendo audit?

Le tre credenziali ISO 27001 non sono un'unica scala da salire in ordine. Foundation è la base condivisa, ma al di sopra di essa il percorso si biforca in due lavori diversi. Un lavoro consiste nel progettare e gestire un sistema di gestione della sicurezza delle informazioni (ISMS) all'interno di un'organizzazione. L'altro consiste nell'esaminare l'ISMS di qualcun altro rispetto allo standard e formulare un giudizio indipendente. I titoli lo segnalano: Lead Implementer è un costruttore, Lead Auditor è un esaminatore. Scegliere quello sbagliato spreca una settimana di formazione e ti dà un certificato che non corrisponde al lavoro che hai davanti.

Poniti una domanda prima di prenotare qualunque cosa: nei prossimi dodici mesi, sarai responsabile del fatto che un ISMS esista e funzioni, oppure responsabile di valutare se funziona? Se sei tu a possedere lo Statement of Applicability, il piano di trattamento del rischio e il riesame della direzione, stai costruendo. Se entri, campioni le evidenze e scrivi i rilievi, stai facendo audit. Il verbo che fai più spesso ogni giorno è l'intera decisione.

In entrambi i casi parti dallo stesso punto. Il corso ISO 27001 Foundation ti fornisce il vocabolario, la struttura dei controlli dell'Annex A e la logica del sistema di gestione che entrambi i percorsi senior danno per scontato tu già possieda.

Cosa valuta realmente ogni esame (oltre la brochure)

Le descrizioni dei livelli ti dicono la durata. Non ti dicono cosa premia la valutazione, ed è proprio questo a determinare come dovresti prepararti.

Foundation

Foundation è un esame sulle conoscenze. Verifica che tu sappia leggere lo standard senza perderti: i punti da 4 a 10, il ciclo Plan-Do-Check-Act, la differenza tra un controllo e un obiettivo di controllo, e dove si colloca l'Annex A rispetto ai requisiti principali. Non ti chiede di applicare nulla sotto pressione. Se sai spiegare perché la SoA deve giustificare sia le inclusioni sia le esclusioni, sei pronto.

Lead Implementer

Lead Implementer è un esame sulle competenze costruito attorno a scenari. Ti viene data un'organizzazione fittizia e ti si chiede cosa faresti: come definiresti il campo di applicazione dell'ISMS, come condurresti la valutazione del rischio, cosa metteresti nel piano di trattamento del rischio, come gestiresti un controllo non conforme. Le domande premiano il giudizio, non la memoria. Il corso Lead Implementer è strutturato attorno all'intero progetto di implementazione, così gli scenari d'esame sembrano un lavoro che hai già svolto.

Lead Auditor

Lead Auditor mette alla prova un muscolo diverso: la metodologia di audit ISO 19011 applicata a ISO 27001. Gli scenari ti collocano nella sala di audit. Decidi quali evidenze dimostrano che un punto è soddisfatto, come campionare, come formulare un rilievo e come classificarlo come non conformità maggiore o minore. La trappola in cui cadono i candidati è fare audit nel modo in cui implementerebbero, dicendo all'auditato come sistemare le cose invece di dichiarare cosa non è conforme. Il corso Lead Auditor allena la disciplina dell'evidenza-prima, del giudizio-non-del-consiglio, che sia l'esame sia gli audit reali richiedono.

I tre livelli a confronto

Prerequisiti e cosa ti offre realmente il passo successivo

Foundation è il prerequisito per le credenziali senior, ma leggilo con precisione: la maggior parte degli schemi di accreditamento richiede conoscenze di livello Foundation, non necessariamente un certificato Foundation separato conseguito in anticipo. In pratica i corsi senior si aprono con un ripasso compresso dei fondamentali, poi li danno per acquisiti. Se arrivi senza quella base, passi il primo giorno a recuperare invece di imparare il metodo, e il lavoro sugli scenari nel resto della settimana poggia su un terreno fragile. Sostenere prima Foundation non è una formalità burocratica; è ciò che permette al corso di cinque giorni di insegnare alla massima profondità.

Ciò che il passo successivo ti offre è leva, non solo una riga sul CV. Foundation ti dà la capacità di partecipare a una conversazione sull'ISMS senza perderti. Lead Implementer ti dà la capacità di essere responsabile dell'esistenza del sistema: sai definirne il campo di applicazione, difendere la SoA davanti a un auditor e gestire il ciclo. Lead Auditor ti dà l'indipendenza: puoi firmare rilievi su cui un organismo di certificazione o un consiglio di amministrazione faranno affidamento. Sono forme di autorità realmente diverse, ed è per questo che fare entrambi nell'arco di dodici-diciotto mesi è comune e utile. Un implementer che si è formato anche come auditor costruisce un ISMS che supera l'audit, perché sa cosa cercherà l'auditor.

Errori comuni che costano una settimana

Alcuni schemi ricorrono di frequente quando si scelgono o si sostengono questi corsi. Sono evitabili.

1. Trattare Lead Auditor come la versione di status più elevato di Lead Implementer. Non è al di sopra di esso; è di fianco. Prenotarlo per prestigio quando il tuo lavoro è costruire l'ISMS ti dà una competenza che userai raramente.
2. Saltare la base Foundation per risparmiare due giorni, poi perderne più di due all'interno del corso senior recuperando il vocabolario mentre tutti gli altri lo applicano.
3. Implementer che fanno audit dando consigli, e auditor che fanno audit scrivendo piani di miglioramento. L'auditor dichiara cosa non è conforme e indica il punto; la correzione spetta all'auditato. Oltrepassare quella linea fa fallire gli scenari d'esame e compromette gli audit reali.
4. Confondere lo standard con i controlli. L'Annex A è un insieme di riferimento da cui selezionare tramite la SoA. I requisiti certificabili risiedono nei punti da 4 a 10. I candidati che memorizzano i controlli ma non sanno spiegare i punti relativi al sistema di gestione faticano in entrambi gli esami senior.

La realtà della sala di audit, e perché plasma entrambi i percorsi

Per quale che sia il lato per cui ti formi, immagina l'audit di certificazione, perché è lì che i due ruoli si incontrano. L'auditor chiede le evidenze che un punto è soddisfatto e che un controllo selezionato opera come dichiara la SoA. L'implementer deve produrre quelle evidenze su richiesta: le registrazioni della valutazione del rischio, le decisioni di trattamento, i verbali del riesame della direzione, i risultati dell'audit interno, le azioni correttive. Nulla impressiona un auditor; solo le evidenze lo fanno. Un controllo che esiste ma non lascia traccia è, ai fini dell'audit, un controllo che non esiste.

Ecco perché i professionisti più solidi comprendono entrambe le prospettive anche quando svolgono un solo lavoro. L'implementer progetta l'ISMS in modo che svolgere il lavoro crei anche la traccia. L'auditor legge quella traccia senza che gli venga raccontata una storia. Se stai scegliendo il tuo primo corso, scegli il ruolo in cui vivrai, poi pianifica il secondo corso per quando vorrai l'altra metà del quadro. Lo standard è un unico sistema visto da due sedie, e la credenziale che scegli dovrebbe corrispondere alla sedia su cui ti siedi.