Newsgroup: it.comp.sicurezza.varie
Titolo: BS 7799

Salve,
qualcuno di voi smanettoni sa darmi qualche dritta sulla BS 7799?
Ne esiste una traduzione in italiano? è possibile scaricarla - gratis - da
qualche parte?
Dove trovo altro materiale interessante?
Grazie in anticipo a tutti quanti.
zeno74CHIOCCIOLAemail.it
herzog74CHIOCCIOLAlibero.it
-- 
dura lex sed lex
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
Un po' dappertutto, ma se sei più preciso sui tuoi scopi
magari posso essere più specifico.
-- 
A.B.

 qualche parte?
Gli standard sono copyrighted. Se trovi da scaricarlo gratis è illegale.

 magari posso essere piů specifico.
Innanzitutto grazie per le informazioni...
.. allora, mi occupo per lavoro di "tutela dei dati personali" ai sensi
del D.Lgs. 196/2003. Sono di estrazione giuridica, quindi ho un approccio
non propriamente tecnico alla materia (mi occupo insomma di "adeguamento"
alla normativa).
Ho studiato tutto ciň che era studiabile sulla normativa italiana, e
vorrei passare di "livello"...
.. so delle certificazioni BSI e mi piacerebbe provarci, quindi mi
interessava iniziare a studiare la normativa relativa x avere le idee piů
chiare.
Consigli in merito?
Grazie ancora...
zeno


 Consigli in merito?
Sempre per quanto riguarda gli standard BSI, credo che esista la 
possibilità *almeno* di consultarli. Farei una telefonata all'UNI (Ente 
Italiano di Unificazione) di Milano.

 
Vediamo di intenderci col termine "certificazione".
Relativamente alla BS7799 esistono due tipi di "certificazione":
-1- La certificazione ad una azienda. E' una certificazione
vera e propria, nel senso "classico" del termine (a la ISO9000
per intenderci), rilasciata dai soliti noti: RINA, DNV, CSQ, ...
-2- La certificazione ad un individuo. Meglio detta "accreditamento".
Questa è personale e individuale. Il titolo esatto è "BS7799 Lead
Auditor", certifica le competenze dell'individuo sullo standard e
la sua capacità di condurre un audit BS7799 per certificare una
azienda.
Mi sono accreditato BS7799 Lead Auditor nel 2002. All'epoca eravamo 
15 italiani, ora non so, ma credo che non siano aumentati più di 
tanto. E' un investimento in formazione di un 2.000 Euro (* o -) che
si conclude con un esame. 
In Italia lo standard ha suscitato un certo interesse, ma ancora 
molto poche le aziende certificate o che stanno seriamente impegnandosi
per ottenere la certificazione. L'accreditamento può servirti se 
pensi di occuparti di sicurezza più da un punto di vista organizzativo/
manageriale che tecnologico in organizzazioni tipo grandi PA o
Forze Armate.
Lo standard puro e semplice (senza i "kit" di supporto) se ricordo bene
l'ho pagato 120/130 Sterline l'anno scorso (ne era uscita una nuova
versione rispetto a quella che mi era stata data al corso). Non è un
grosso investimento, ma al tempo stesso senza un minimo di supporto 
cartaceo o in classe, il malloppo è abbastanza indigeribile anche per
capitani di lungo corso... Anch'io sono stato molto contento di aver
scelto la via del corso (!).
-- 
A.B.



Non ne sono certo, ma forse l'UNI potrebbe avere l'ISO 17799 più che la
BS7799 (che sono collegati, ma *non* sono la stessa cosa).
-- 
A.B.


In realta', soprattutto e proprio alla luce del D. Lgs. 196/03,
opterei per lavorare in conformita' alla ISO/IEC 17799, che e' il
consolidamento ISO della BS 7799.
Non vi e' ancora alcuna traduzione in italiano; la sola versione
accreditata e' quella in lingua inglese.
La si puo' acquistare online ed avere immediatamente in formato
ACROBAT dal sito
http://www.iso.ch
Si tratta di "best practices" e quindi di consigli sul come sviluppare
specifiche procedure con buon senso, come farebbe un "buon padre di
famiglia".
Esaminando il D. Lgs. 196/03 si trovano molte convergenze di
argomenti, tanto che sono propenso nel pensare che il Garante potrebbe
indicare la ISO/IEC 17799 come prossimo riferimento per lo sviluppo
delle "misure minime".
Personalmente consiglio ai miei clienti di acquistarne la licenza e di
operare in adeguamento.
Per quanto riguarda la certificazione, per alcune norme (questa e' un
esempio) e' invalso il costume di indicare che la propria
organizzazione si conforma alla norma XXX, senza peraltro richiedere
alcuna certificazione, qualora questa non sia obbligatoria (vedi HACCP
o ISO9000 in ambito P.A.). Ritengo che questo tipo di
"autocertificazione" sia comunque un valido punto di inizio.
Un buon consulente certificato CMC e' in grado di aiutare sicuramente
nello sviluppare al meglio le condizioni specifiche aziendali nei
raffronti di norma.

 Forze Armate.
Sto lavorando presso una società che produce software in ambito sicurezza.
Mi sto occupando proprio di adeguamento (organizzativo, soprattutto) dei
clienti al D. Lgs. 196/2003. Ho voglia di continuare a studiare la materia
e credo che l'unica sia buttarmi sugli standard europei. Gli sviluppi
lavorativi, almeno all'interno della mia azienda, sembrano esserci.
Grazie per la tua attenzione.


 
Sulla prima parte sono assolutamente d'accordo, sulla seconda (almeno 
fino a quando non esisterà uno schema certificativo per la ISO 17799)
ho dei seri dubbi. In ogni caso nel precedente (e ormai desueto) DPR
318/99 i riferimenti alla BS7799 erano anche più espliciti.
-- 
A.B.


Attenzione ad un possibile "conflitto di interessi" fra l'attività di
produrre software per la sicurezza (ergo "dare la soluzione") e l'attività
consulenziale di individuare i requisiti di sicurezza (ergo "identificare
le necessità").
In sicurezza (ma credo anche nel buon senso generale) esiste un principio
detto "separazione dei ruoli" ovvero chi fa non controlla e chi controlla 
non fa. Nel vecchio DPR318/99 era citato più esplicitamente, nel nuovo
d.lgs.196/2003 è più annacquato...
Noi per esempio, facendo consulenza pura e non fornendo nessuna soluzione, 
siamo spesso invitati dai fornitori stessi di soluzioni a dare consulenza
ai loro clienti un po' per deontologia professionale, ma soprattutto per
non vedersi in futuro esclusi da gare o privative sulla base del principio
"non puoi scrivermi le specifiche, darmi la soluzione e pure avermi 
consigliato come strutturarmi per controllare che quello che mi hai detto e
dato corrisponde" (pensaci bene...).
E' un invito alla tua società per un accordo con la nostra? Perchè no? :-)
-- 
A.B.

è un consolidamento della BS, ne è la "guideline" (o best-practice).
Assolutamente d'accordo. Mi scuso per aver utilizzato erroneamente il
termine "conformi"; era voluta l'accezione linguistica semplice e non
l'accezione di glossario.

 le necessità").
. capito tutto...
epperò mi chiedo se una società che produce prodotti di sicurezza non
debba avere nella sua organizzazione un consulente che la "guidi" nella
configurazione di tali sistemi secondo i dettami di legge e gli standard
internazionali.
comunque...
.. grazie per i consigli e per il link, ne farò buon uso...
grazie ancora
zeno




Peccato "veniale" ;-)
-- 
A.B.

 
Assolutamente corretto. Io mi riferivo alla società che produce prodotti 
di sicurezza e al tempo stesso offre servizi consulenziali sulla 
sicurezza agli stessi clienti a cui offre i prodotti.
Che una società come la tua debba essere la prima ad essere sicura, ovvero
il calzolaio debba avere i figli con le scarpe..., è assolutamente
non solo corretto, ma anche auspicabile.
-- 
A.B.