ISO/IEC 27002

Da Wikipedia, l'enciclopedia libera.

Lo standard ISO/IEC 27002 stabilisce che la sicurezza dell'informazione è caratterizzata da integrità, riservatezza e disponibilità. È stato emesso nel 2007 dall'Organizzazione internazionale per la normazione e dalla Commissione Elettrotecnica Internazionale, al termine di un lungo percorso evolutivo iniziato con lo standard britannico BS7799 nel 1995, attraverso anche l'ISO/IEC 17799, ritirato in concomitanza con l'emissione del nuovo documento, meglio armonizzato con la serie ISO 27000 di standard sulla sicurezza delle informazioni.

Caratteristiche[modifica | modifica wikitesto]

La norma ISO 27002:2007 è una raccolta di "best practices" che possono essere adottate per soddisfare i requisiti della norma ISO 27001:2005 al fine di proteggere le risorse informative; ISO 27001:2005 è il documento normativo di certificazione al quale l'organizzazione deve fare riferimento per costruire un Sistema di Gestione della Sicurezza delle Informazioni che possa essere certificato da un ente indipendente, mentre la norma ISO 27002:2007 non è certificabile in quanto è una semplice raccolta di raccomandazioni.

Struttura del documento[modifica | modifica wikitesto]

Il documento è organizzato in 10 aree di controllo, ogni sezione è dedicata ad una parte specifica:

  • politiche di sicurezza (Security Policy):
    • forniscono le direttive di gestione ed il supporto per le informazioni di sicurezza.
  • sicurezza organizzativa (Security Organization):
    • controllo della sicurezza delle informazioni in seno all'azienda;
    • mantenere la sicurezza e la facilità dei processi organizzativi delle informazioni anche quando accedono le terze parti;
    • monitorare la sicurezza delle informazioni quando la responsabilità dell'elaborazione dell'informazione è stata conferita in outsource.
  • controllo e classificazione dei beni (Asset Classification and Control):
    • mantenere la protezione dell'assetto organizzativo e garantire che l'assetto delle informazioni riceva un appropriato livello di protezione.
  • sicurezza del personale (Personnel Security):
    • Ridurre i rischi di errore, di furto, di frode o di abuso da parte degli operatori;
    • accertarsi che gli utenti siano informati delle possibili minacce e preoccupazioni sulla sicurezza delle informazioni e siano dotati a sostenere la politica della società sulla sicurezza nel corso del loro lavoro normale;
    • per minimizzare i danni dagli avvenimenti e dalle disfunzioni di sicurezza ed imparare da tali avvenimenti.
  • sicurezza fisica e ambientale (Physical and Environmental Security):
    • impedire l'accesso, il danneggiamento e l'interferenza di persone non autorizzate all'interno del flusso delle informazioni del business;
    • impedire perdita, danni o l'assetto del sistema e l'interruzione delle attività economiche a seguito di danneggiamenti;
    • impedire la manomissione o il furto delle informazioni.
  • gestione di comunicazioni e operazioni (Communications and Operations Management):
    • accertarsi del corretto funzionamento e facilità di elaborazione dell'informazione;
    • minimizzare il rischio di guasti dei sistemi;
    • proteggere l'integrità dei software e delle informazioni;
    • mantenere l'integrità e la validità dei processi di elaborazione dell'informazione e della comunicazione;
    • garantire la salvaguardia delle informazioni in rete e la protezione delle infrastrutture a supporto;
    • prevenire danni ai beni e le interruzioni alle attività economiche;
    • impedire perdita, modifica o abuso delle informazioni scambiate fra le organizzazioni.
  • controllo di accesso (Access Control):
    • per controllare l'accesso alle informazioni;
    • per impedire l'accesso non autorizzato ai sistemi d'informazione;
    • per accertare la protezione dei servizi in rete;
    • per impedire l'accesso non autorizzato nel calcolatore;
    • per rilevare le attività non autorizzate;
    • per accertarsi sulla sicurezza delle informazioni quando sono utilizzate le postazioni mobili rete e tele rete.
  • sviluppo e manutenzione di sistemi (System Development and Maintenance):
    • accertare che la sicurezza sia stata costruita all'interno delle operazioni di sistema;
    • per impedire la perdita, la modifica o il cattivo utilizzo dei dati dell'utente all'interno dei sistemi di applicazione;
    • per proteggere riservatezza, autenticità e l'integrità delle informazioni;
    • per accertarsi che le attività di progetto e supporto alle attività siano condotte in modo sicuro; e) per mantenere la sicurezza del software e dei dati di sistema.
  • gestione continuità operativa (Business Continuity Management):
    • neutralizzare le interruzioni alle attività economiche ed ai processi critici degli affari, dagli effetti dei guasti.
  • adeguatezza (Compliance):
    • evitare il non rispetto delle leggi civili, penali e di qualsiasi requisito di sicurezza;
    • per elevare l'efficacia e minimizzare l'interferenza da/per il processo di verifica del sistema.

Voci correlate[modifica | modifica wikitesto]

Collegamenti esterni[modifica | modifica wikitesto]