Source: http://docplayer.it/1169934-Sistemi-di-gestione-integrati-come-la-iso-iec-20000-puo-essere-di-supporto-alla-iso-iec-27001.html
Timestamp: 2016-10-27 01:12:24+00:00
Document Index: 145455067

Matched Legal Cases: ['art 1', 'art 2', 'art 3', 'art 4', 'art 5', 'arte 1', 'arte 1']

⭐Sistemi di gestione integrati Come la ISO/IEC può essere di supporto alla ISO/IEC 27001
Sistemi di gestione integrati Come la ISO/IEC può essere di supporto alla ISO/IEC 27001
Download "Sistemi di gestione integrati Come la ISO/IEC 20000 può essere di supporto alla ISO/IEC 27001"
1 Seminario associazioni: Seminario a cura di itsmf Italia Sistemi di gestione integrati Come la ISO/IEC può essere di supporto alla ISO/IEC Cesare Gallotti Milano, 14 marzo 20112 Agenda Presentazione Le norme ISO/IEC , ISO/IEC e ISO/IEC Confronto tra le norme Alcune considerazioni3 Presentazione Le norme ISO/IEC , ISO/IEC e ISO/IEC Confronto tra le norme Alcune considerazioni4 Cesare Gallotti Cesare Gallotti: dal 1999 nel campo della sicurezza delle informazioni, della qualità e dell IT Management System. Dal 2008 è libero professionista: consulenza, formazione, Lead Auditor ISO/IEC e ISO 9001 per DNV Italia. Precedentemente, ha collaborato in Quint, in DNV Italia, in Intesis e Securteam. Ha pubblicato numerosi articoli e un libro (2002) Dal 2008 cura la newsletter IT Service Management News Per sito web, blog e newsletter:5 Presentazione Le norme ISO/IEC , ISO/IEC e ISO/IEC Confronto tra le norme Alcune considerazioni6 ISO/IEC ISO/IEC :2005: Information technology Service management Part 1: Specification Le altre parti: part 2: Code of Practice part 3: Guidance on scope definition and applicability of ISO/IEC part 4: Process reference model part 5: Exemplar implementation plan for ISO/IEC Il Final Draft della nuova ISO/IEC è stato approvato a inizio 2011 e quindi la norma dovrebbe essere pubblicata come ISO/IEC :2011 estesi alcuni requisiti per renderli più chiari tolte alcune incongruenze e refusi7 Struttura della ISO/IEC La classica figura per presentare come è strutturata la ISO/IEC8 ISO/IEC 27001:2005 ISO/IEC 27001:2005 Information technology Security techniques Information security management systems Requirements La famiglia delle norme ISO/IEC 270xx comprende anche: ISO/IEC 27000:2009 Overview and vocabulary ISO/IEC 27002:2005 Code of practice for information security management altre linee guida Stato di aggiornamento: a novembre 2010 il ISO/IEC JTC 1/SC 27 ha emesso il 4WD della ISO/IEC (il percorso non si prevede breve) la nuova versione si baserà sulla Common Structure for Management Systems della ISO9 Struttura della ISO/IEC 27001:2005 La ISO/IEC 27001:2005 è suddivisa in più parti La prima parte (capitoli 0-3) è un introduzione La seconda parte (capitoli 4-8) presenta i requisiti di sistema riconoscibile l impostazione sul ciclo PDCA requisiti simili a quelli della ISO 9001:2000 La terza parte (Annex A) presenta i controlli di sicurezza 133 controlli suddivisi in 11 capitoli (da A.5 a A.15) alcune ridondanze con i requisiti di sistema Infine, vi sono 2 allegati informativi e la bibliografia10 ISO/IEC ISO/IEC Information technology -- Security techniques -- Guidance on the integrated implementation of ISO/IEC and ISO/IEC Novembre 2010: emissione del 3WD del ISO/IEC JTC 1/SC 27 basato sulle versioni del 2005 della 27k e 20k Il numero di contributi è abbastanza ridotto (i partecipanti saranno più interessati agli standard di requisiti...)11 Presentazione Le norme ISO/IEC , ISO/IEC e ISO/IEC Confronto tra le norme Alcune considerazioni12 Nota La presentazione segue lo schema del 3WD della ISO/IEC Una parte delle riflessioni sono tratte dal 3WD della ISO/IEC e riassunte La sintesi esposta è necessariamente incompleta Un altra parte delle riflessioni non sono riferibili al 3WD ISO/IEC La redazione di uno standard come la ISO/IEC deve prendere necessariamente in considerazione e consolidare il parere di molte parti interessate: in alcuni punti è generico e alcuni temi non sono ancora stati affrontati compiutamente13 Benefici di un integrazione Dal 3WD della ISO/IEC 27013: credibilità nei confronti dei clienti interni ed esterni di un organizzazione e di un servizio corretto, eccellente e sicuro l abbassamento dei costi a fronte di due sistemi di gestione (da progettare, da implementare e da mantenere) integrati la riduzione del tempo necessario per lo sviluppo e il mantenimento nel tempo di processi conformi ai due standard l eliminazione di duplicazioni non necessarie una migliore relazione tra il personale dedicato alla gestione dei servizi e di quello dedicato alla sicurezza, grazie alla condivisione dei punti di vista utilizzo delle best practices di tutti e due gli standard14 Diversi punti di partenza 1. Nessun Management System basato su uno dei due standard 2. Un Management System basato su uno dei due standard 3. Due Management System basati sui due standard ma non integrati Da considerare: la presenza di altri Management System (es. QMS) i servizi, i processi e le loro interdipendenze gli elementi di ciascun standard e come questi possono essere condivisi o rimanere separati gli impatti sulla tecnologia utilizzata gli impatti e i rischi sui servizi e sulla loro gestione, sulla sicurezza e sulla sua gestione le fasi di transizione gli ambiti (scope): alcuni ISMS escludono la progettazione, alcuni ITSMS includono solo alcuni servizi15 Potenziali conflitti (1/2) Gli asset ISO/IEC 27001:2005: Anything that has value to the organization ITILv3: Risorse e capacità. Gli asset includono ogni cosa che può contribuire alla gestione di un servizio. ISO/IEC :2005: Configuration item (CI) - Component of an infrastructure or an item which is, or will be, under the control of configuration management un asset per l ITSMS è ben diverso da un information asset. Progettazione e messa in produzione dei servizi IT Quasi assente dalla 27k (è richiesta un opportuna interpretazione dei controlli di sicurezza). Nel 3WD della ISO/IEC c è un controllo Information security in projects Presente nella 20k e molto migliorato nella versione ora approvata La base della ISO 9001 (versione 2000 e 2008) è stata ignorata La base fornita dalla 20k dovrebbe essere presa come base per gli analoghi processi della 27k, visto che si parte dalla RFC alla chiusura del change (Post Implementation Review), passando dalla determinazione dei requisiti e dai test16 Potenziali conflitti (2/2) Risk Assessment Il risk assessment della ISO/IEC 27001:2005 (capitolo 4) è difficilmente correlabile alla gestione dei rischi presente nella ISO/IEC :2005. I risk assessment sono visti da diversi punti di vista (rischi gestionali rispetto alla sicurezza, rischi tecnologici, rischi di sostenibilità, eccetera) Incident management ISO/IEC 27001:2005: Information security incident - A single or a series of unwanted or unexpected information security events that have a significant probability of compromising business operations and threatening information security ISO/IEC :2005: Incident - Any event which is not part of the standard operation of a service and which causes or may cause an interruption to, or a reduction in, the quality of that service FDIS ISO/IEC :2010: Incident - Unplanned interruption to a service, a reduction in the quality of a service or a failure of a configuration item that has not yet impacted a service Domanda: quale incidente di servizio non è un incidente di sicurezza?17 Requisiti comuni (1/5) Uso del ciclo PDCA tutti e due gli standard fanno esplicito riferimento al ciclo di Deming deve essere posta attenzione ai diversi tempi di completamento dei diversi cicli Ruoli e responsabilità i ruoli e le responsabilità descritti dalle due norme non sono in conflitto tra loro Service Level Management non discusso dalla ISO/IEC 27001, ma è evidente come una contrattazione tra le diverse aree aziendali possa portare benefici nell implementazione di controlli e processi di sicurezza Service reporting la ISO/IEC :2005 prevede un processo di service reporting la ISO/IEC 27001:2005 richiede di misurare (fortunatamente, l attuale 4WD è meno stringente) l efficacia dei controlli il requisito della ISO20k può integrare efficacemente quello della 27k, dandogli migliore significato18 Requisiti comuni (2/5) Continuity & Availability Management I due standard affontano l argomento da due punti di vista diversi ma coerenti tra loro La ISO/IEC tratta l availability in modo generale e come diretta conseguenza dei requisiti di disponibilità delle informazioni, e tratta la continuity come subordinata al business continuity management La ISO/IEC restringe apparentemente l ottica ai soli servizi e dettaglia bene alcuni aspetti, tra cui i punti minimi che devono essere coperti dai piani di continuità Ulteriori considerazioni su questi aspetti possono essere tratti dalla ISO/IEC E comunque evidente come l uso dei due standard possa condurre ad adottare valide best practices19 Requisiti comuni (3/5) Budgeting and accounting la ISO/IEC si limita a parlare di risorse è noto che ogni progetto o attività ha dei costi l impostazione del budgeting e della rendicontazione proposta dalla 20k può portare indubbi benefici nella valutazione dell accettabilità dei rischi e nella pianificazione del trattamento del rischio Capacity Management il processo di Capacity Management della ISO/IEC comprende diversi requisiti e controlli della ISO/IEC è facile immaginare come alcuni requisiti della ISO/IEC possano aiutare nell implementazione dei (sintetici) requisiti e controlli della ISO/IEC 27001, dando loro una più ampia prospettiva una visione del Capacity Management come processo (requisito 20k) può portare maggiori benefici di una sua visione come controllo (requisito 27k) Information Security Management il processo descritto dalla ISO/IEC è coerente con i requisiti della ISO/IEC 27001, ma è descritto in modo più sintetico20 Requisiti comuni (4/5) Business relationship management La ISO/IEC nomina diverse volte contractual security obligations Tradizionalmente, chi si occupa di sicurezza (imprese, specialisti, consulenti e auditor) non approfondisce gli aspetti contrattuali, se non su specifiche richieste. Anche nella pubblicistica in ambito sicurezza il cliente è poco nominato La ISO/IEC è molto più orientata alla soddisfazione dei clienti e propone processi per questo obiettivo, certamente condivisibile anche quando si parla di sicurezza Supplier management Partendo da due punti di vista diversi, i requisiti delle due norme sono indubbiamente complementari e una loro gestione integrata può portare benefici a chi li volesse adottare L approccio per SLAs (nominati UC) della 20k può essere utilmente integrato con i requisiti più specifici della sicurezza. Clienti e management commitment la ISO/IEC è orientata ai clienti; la ISO/IEC agli stakeholders (più generale) l approccio ISO20k impone di trattare la sicurezza dando importanza ai requisiti dei clienti in fase iniziale e durante i riesami periodici (fasi importanti ma trascurate nell ambito dell ISMS)21 Requisiti comuni (5/5) Incident e Problem management I potenziali problemi sono già stati discussi Questi aspetti sono trattati in modo implicito dalla 27k. L approccio più strutturato, rigoroso, efficace e, se ben gestito, efficiente, proposto dalla 20k dovrebbe essere adottato per un ISMS in tutti i casi Configuration management La 20k tratta compiutamente il processo di configuration management La ISO/IEC richiede di identificare gli asset in fase di risk assessment e di gestire gli asset come controllo di sicurezza (A.7) Appare ovvio come il requisito della ISO/IEC possa dare benefici alla sicurezza delle informazioni Change Management Già trattato Release and deployment management Ognuno di questi può dare elementi aggiuntivi ai requisiti della ISO/IEC22 Presentazione Le norme ISO/IEC , ISO/IEC e ISO/IEC Confronto tra le norme Alcune considerazioni23 Terminologia Le due norme, nella versione del 2005 presentano dei problemi: nella appaiono le azioni correttive e preventive senza una definizione di non conformità, probabilmente per inserire i punti comuni ad altre norme ISO nella 27001, i requisiti sulla misurazione dell efficacia dei controlli, oltre ad essere discutibili, sono posti in modo erroneo rispetto alle fasi del ciclo PDCA nella sono utilizzati termini non definiti o incoerenti con altre norme ISO (per esempio, i termini di verifica, riesame e validazione sono ignorati in favore di altri; in modo simile, il termine plan è utilizzato in modi non sempre tra loro omogenei) nella 20k alcuni requisiti comuni ad altre norme sono stati trasformati e il risultato non sempre è apprezzabile (p.e. gestione delle registrazioni e dei documenti) La terminologia, troppo spesso, ignora altre esperienze; ad esempio: la definizione di sistema di gestione nella 27k è incoerente con altre norme la definizione di documentazione nella 20k è incoerente con altre norme Le nuove versioni superano questi punti24 Tabelle di correlzione Non è facile mappare i requisiti della ISO/IEC con quelli della ISO/IEC Ciascuna delle due norme ha due punti di vista diversi e alcune intersezioni non sono ben interpretabili se non approfondendo le due materie Meglio provare a leggere i requisiti dell una confrontandoli di volta in volta con quelli della seconda e viceversa. Esempi: il capacity management della 20k non è confrontabile con il A della 27k i requisiti della 27k sulla conduzione e sullo sviluppo dei sistemi (A.10 e A.12) sono difficilmente inquadrabili nei requisiti della 20k Le due norme partono da due storie diverse e i requisiti vanno letti anche tenendo conto di quelle storie. Rischiano di perdersi: l attenzione ai clienti e inquadramento di alcuni processi della 20k l estensione di alcuni controlli e il significato del risk assessment della 27k In altre parole: Tabelle di correlazione? No, grazie (meglio usare la testa)25 Per partecipare - UNINFO Ente di normazione federato all UNI per le norme delle serie 15408, 20000, Mantiene contatti con ISO, ISO/IEC JTC, CEN E attivo un GDL dedicato alle norme della serie 27000, con quote di iscrizione ridotte I soci hanno accesso ai draft degli standard per sottoporre i propri commenti ai Working Group dell ISO Chiunque voglia contribuire alla redazione degli standard è benvenuto.26 Grazie! Cesare Gallotti Web: Blog: Mail: Documenti analoghi
ICT E DIRITTO Rubrica a cura di Antonio Piva, David D Agostini Scopo di questa rubrica è di illustrare al lettore, in brevi articoli, le tematiche giuridiche più significative del settore ICT: dalla tutela Dettagli La metodologia si basa sull analisi dei servizi offerti dall ente che intende condurre il Risk Assessment.
UN METODO DI RISK ASSESSMENT SEMPLICE In uno dei primi numeri di ICT Security, nel 2002, Giulio Carducci lanciava un appello perché si discutesse di metodologie di Risk Assessment. Io risposi a suo tempo Dettagli Usare il Cloud in sicurezza: spunti tecnici
Usare il Cloud in sicurezza: spunti tecnici Cesare Gallotti Milano, 24 gennaio 2012 Sotto licenza Creative Commons creativecommons.org/licenses/by-nc/2.5/it/ 1 Agenda Presentazione relatore Definizioni Dettagli Continua evoluzione dei modelli per gestirla
Governance IT Continua evoluzione dei modelli per gestirla D. D Agostini, A. Piva, A. Rampazzo Con il termine Governance IT si intende quella parte del più ampio governo di impresa che si occupa della Dettagli LE NOVITÀ DELL EDIZIONE 2011 DELLO STANDARD ISO/IEC 20000-1 E LE CORRELAZIONI CON IL FRAMEWORK ITIL
QUADERNI CONSIP Ricerche, analisi, prospettive ricerche, analisi, prospettive III[2007] Diffusione dei processi ITIL e degli strumenti informatici per la gestione delle attività dei CED Applicazione delle Dettagli ITIL Versione 3: un contributo all importanza crescente del Business Service Management
BEST PRACTICES WHITE PAPER ITIL Versione 3: un contributo all importanza crescente del Business Service Management Sharon Taylor, Presidente di Aspect Group, Chief Architect e Chief Examiner per ITIL Ken Dettagli La gestione dei progetti software
Via Turati 4/3, 16128 Genova Tel. 348/4103643 Fax 010/8932429 ITIL (Information Technology Infrastructure Library) 1.1 ITIL e la gestione dei servizi IT In un mercato in cui il successo delle aziende è Dettagli numerazione potrebbe differire nella versione finale.
e atteso entro il 2011, è quello che assorbirà lo standard BS 25999-2 in uno standard internazionale, dando così notevole ulteriore impulso alla certificazione della CO. 3.6.1 Gli standard ISO 22399 e Dettagli IT Risk Management a 360
IT Risk Management a 360 Politecnico di Torino Fabio Guasconi 26/05/ 1 Indice Risk Management, norme e metodologie internazionali Cenni all analisi quantitativa Tecniche e strumenti per la raccolta delle Dettagli ITIL v3, il nuovo framework per l ITSM
UNIVERSITÀ DEGLI STUDI DI GENOVA FACOLTÀ DI SCIENZE MATEMATICHE FISICHE E NATURALI CORSO DI LAUREA IN INFORMATICA Prova Finale GESTIONE DELLA TRANSIZIONE SECONDO LO STANDARD ITIL ITIL SERVICE TRANSITION Dettagli Valutazione della conformità A cura di Marco Cibien - Funzionario Tecnico UNI
Valutazione della conformità A cura di Marco Cibien - Funzionario Tecnico UNI dossier La locuzione valutazione della conformità (conformity assessment) cela, dietro la sua apparente semplicità, uno spettro Dettagli Introduzione ad ITIL. Information Technolgy Infrastructure Library. Che cos è ITIL. Una situazione critica. La sfida GOVERNO ICT GOVERNO ICT
Che cos è ITIL Sessione didattica su ITIL per Studenti di Ingegneria Informatica Politecnico di Torino Introduzione ad ITIL 17 Ottobre 2006 Information Technolgy Infrastructure Library COGITEK s.r.l. Via Dettagli Manuale del Sistema di Gestione Integrato Ambiente & Sicurezza per PMI
SISTEMA GESTIONALE INTEGRATO Ambiente Sicurezza con la collaborazione di: e di: pag. 1 di 272 INDICE Cap. 1 Introduzione... 12 1.1 Premessa... 12 1.2 Perché i sistemi gestionali... 12 1.3 Elementi principali Dettagli ROSI Return on Security Investments: un approccio pratico
ROSI Return on Security Investments: un approccio pratico Come ottenere Commitment sulla Security versione 2.0 AIEA CLUSIT Deloitte Ernst & Young KPMG Oracle PricewaterhouseCoopers LICENZA D USO Il testo Dettagli CATALOGO FORMAZIONE 2015
CATALOGO FORMAZIONE 2015 www.cogitek.it Sommario Introduzione... 4 Area Tematica: Information & Communication Technology... 5 ITIL (ITIL is a registered trade mark of AXELOS Limited)... 6 Percorso Formativo Dettagli Linee guida per il reporting di sostenibilità
RG Linee guida per il reporting di sostenibilità 2000-2011 GRI Versione 3.1 2000-2011 GRI Versione 3.1 Linee guida per il reporting di sostenibilità RG Indice Prefazione Lo sviluppo sostenibile e l imperativo Dettagli SOA è solo tecnologia? Consigli utili su come approcciare un progetto SOA. Service Oriented Architecture
SOA è solo tecnologia? Consigli utili su come approcciare un progetto SOA Service Oriented Architecture Ormai tutti, nel mondo dell IT, conoscono i principi di SOA e i benefici che si possono ottenere Dettagli Linee guida per il riuso delle applicazioni informatiche nelle Amministrazioni pubbliche Parte 1 Riuso di applicazioni esistenti
Linee guida per il riuso delle applicazioni informatiche nelle Amministrazioni pubbliche Parte 1 Riuso di applicazioni esistenti Pagina 1 Documento a cura di: Paola Minasi (CNIPA) Pagina 2 INDICE 1. INTRODUZIONE------------------------------------------------------------------------------------------ Dettagli Fac simile di RAPPORTO DI VALUTAZIONE. Predisposto da un Team di Valutatori CAF per una
Fac simile di RAPPORTO DI VALUTAZIONE Predisposto da un Team di Valutatori CAF per una Istituzioni Scolastica TEAM di VALUTAZIONE Data Consenso Data Visita sul posto Data Rapporto Il presente documento Dettagli DATI DI COPERTINA E PREMESSA DEL PROGETTO
DATI DI COPERTINA E PREMESSA DEL PROGETTO Attività professionali non regolamentate Professionista della Security Requisiti di conoscenza, abilità e competenza Non-regulated professions Professionals operating Dettagli La nuova ISO/IEC 27001:2013 ed il quadro normativo italiano. Ing. Salvatore D Emilio Roma 27/05/2014
ed il quadro normativo italiano Ing. Salvatore D Emilio Roma 27/05/2014 About me Salvatore D Emilio Laurea in Ing. TLC e master TILS Information & Communication Technology Consulente free-lance in ambito Dettagli A vele spiegate verso il futuro
I I [ 2011] Cl ouds e c ur i t y : unas f i dape ri l f ut ur o quaderni consip ricerche, analisi, prospettive Matteo Cavallini II [2011] Cloud Security: una sfida per il futuro I Quaderni Consip sono Dettagli Gli Standard hanno lo scopo di:
STANDARD INTERNAZIONALI PER LA PRATICA PROFESSIONALE DELL INTERNAL AUDITING (STANDARD) Introduzione agli Standard L attività di Internal audit è svolta in contesti giuridici e culturali diversi, all interno Dettagli Corso Base ITIL V3 2008