Dalla gestione informale a un ISMS governato.
ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. La readiness non consiste nel compilare modelli: richiede collegare contesto, rischi, obiettivi, responsabilità, controlli, misurazione e miglioramento continuo.
Fasi del percorso
- analisi del contesto, delle parti interessate e dei requisiti;
- definizione del perimetro dell'ISMS;
- metodologia di risk assessment e criteri di accettazione;
- valutazione e trattamento dei rischi;
- Statement of Applicability e motivazione dei controlli;
- policy, ruoli, competenze e consapevolezza;
- obiettivi, indicatori e monitoraggio;
- gestione documentale, non conformità e miglioramento;
- audit interno e riesame della direzione.
Componente tecnica
NESQ verifica che i controlli dichiarati trovino riscontro in configurazioni e processi reali: accessi, asset, patch, logging, incident response, backup, cloud e fornitori. Dove emergono gap vengono definite azioni, owner, scadenze e modalità di verifica.
Preparazione all'audit
Il percorso organizza le evidenze, simula interviste e campionamenti e aiuta a individuare incoerenze prima dell'audit esterno. NESQ non svolge attività di certificazione: la certificazione è rilasciata esclusivamente da organismi accreditati e indipendenti.
Risultati
- gap analysis e roadmap di implementazione;
- risk register e piano di trattamento;
- insieme documentale proporzionato;
- evidenze dei controlli e degli indicatori;
- piano di audit interno e miglioramento.