Un collaboratore lascia l’azienda, ma il suo accesso al gestionale rimane attivo. Un documento viene modificato e nessuno sa quale sia la versione corretta. Un servizio si interrompe e le persone non riescono più a consultare ordini, progetti o informazioni dei clienti.
Sono situazioni diverse, accomunate da una domanda: quanto dipende il lavoro dell’azienda dalla sicurezza delle sue informazioni?
Per rispondere occorre conoscere i processi, individuare le dipendenze e stabilire chi interviene quando qualcosa non funziona. È da questa prospettiva che diventa utile parlare di ISO/IEC 27001 e del suo rapporto con la NIS2.
Che cos’è la ISO 27001
La ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Offre un riferimento per affrontare i rischi in modo organizzato, coinvolgendo persone, processi e tecnologie.
Al centro ci sono tre esigenze: riservatezza, integrità e disponibilità. In termini aziendali, significa sapere chi può accedere alle informazioni, quanto sono affidabili e se possono essere utilizzate quando servono.
Il sistema va costruito considerando dimensioni, attività e necessità dell’organizzazione. Il percorso può anche essere sottoposto a certificazione.
Riservatezza: chi può accedere alle informazioni?
Immaginiamo che un consulente esterno abbia ricevuto accesso a una cartella contenente documenti commerciali. Il progetto termina, ma l’autorizzazione resta attiva.
L’azienda dovrebbe riuscire a rispondere a domande molto concrete: chi ha autorizzato quell’accesso? Chi deve revocarlo? Esiste un controllo periodico sulle utenze?
Un possibile punto di partenza è ricostruire il percorso delle autorizzazioni, dall’ingresso di una persona fino al cambio di mansione o alla conclusione del rapporto. Questo esercizio permette di far emergere passaggi che, nella quotidianità, possono restare affidati alla memoria dei singoli.
Integrità: possiamo fidarci dei dati che utilizziamo?
Consideriamo un ufficio amministrativo che riceve una richiesta di modifica delle coordinate bancarie di un fornitore.
Prima di aggiornare l’anagrafica, come viene verificata la richiesta? Chi approva il cambiamento? Quali riscontri rimangono disponibili?
L’esempio mostra quanto la sicurezza delle informazioni si intrecci con le decisioni operative. Un dato inesatto può produrre un pagamento errato anche quando il software funziona regolarmente.
Per questo è utile esaminare i passaggi nei quali un’informazione viene creata, modificata, approvata e utilizzata.
Disponibilità: cosa succede quando un servizio si ferma?
Un gestionale indisponibile può impedire di elaborare ordini. Una cartella condivisa irraggiungibile può rallentare una consegna. Un servizio esterno non funzionante può interrompere le comunicazioni con i clienti.
Per capire le conseguenze, si può partire da uno scenario semplice: quel servizio rimane fermo per un’intera giornata.
Quali attività si bloccano? Quali possono proseguire? Chi contatta il fornitore? Quali informazioni servono per ripartire?
Anche la presenza di copie di sicurezza merita una verifica pratica: l’azienda ha provato a recuperare i dati necessari? Con quali risultati e in quanto tempo?
ISO 27001 e NIS2: come si collegano?
ISO 27001 e NIS2 hanno natura e finalità differenti. La prima è uno standard per un sistema di gestione; la seconda introduce obblighi normativi per le organizzazioni comprese nel proprio ambito di applicazione.
La NIS2 affronta, tra gli altri aspetti, le responsabilità degli organi di amministrazione e direzione, la gestione del rischio, la sicurezza della catena di fornitura e la notifica degli incidenti significativi.
Un sistema ISO 27001 può offrire elementi utili per affrontare questo percorso. La certificazione non determina però, da sola, la conformità a tutti gli obblighi NIS2.
Occorre verificare l’applicabilità della normativa e confrontare quanto già presente nell’organizzazione con i requisiti specifici da soddisfare. Anche il perimetro del sistema certificato deve essere considerato nell’analisi.
Da dove può partire un’azienda?
Una prima ricognizione può concentrarsi su cinque domande:
Quali informazioni e servizi sono indispensabili per lavorare?
Chi ne ha la responsabilità?
Quali persone e fornitori possono accedervi o modificarli?
Quali conseguenze avrebbe un errore, una perdita o un’interruzione?
È chiaro chi deve intervenire e quali decisioni deve prendere?
Le risposte aiutano a costruire un quadro iniziale delle priorità. Per ogni criticità individuata diventa poi possibile definire un intervento, assegnare un responsabile e stabilire come verificarne l’efficacia.
Il supporto di Ellegi Consulting
In Ellegi Consulting affianchiamo le imprese nell’analisi dei rischi e nella costruzione dei sistemi di gestione, collegando requisiti, processi e responsabilità.
Partiamo dal funzionamento reale dell’organizzazione: informazioni utilizzate, attività essenziali, persone coinvolte e misure già presenti. L’obiettivo è individuare le integrazioni necessarie e definire un percorso proporzionato alle esigenze dell’impresa.
Vuoi capire da dove partire per organizzare la sicurezza delle informazioni nella tua azienda? Contatta Ellegi Consulting per un primo confronto.
Competenza per trovare la soluzione. Persone per farla funzionare.
