Certificazione ISO 27001: cos’è e quando ottenerla

La ISO 27001 non è una certificazione qualsiasi. Per molte imprese si tratta di un vero e proprio acceleratore per le vendite. 

Immagina lo scenario. Stai per chiudere con un grosso cliente, ma all’ultimo, un intoppo: il cliente si preoccupa della sicurezza dei suoi dati. Quanto sarebbe bello potergli dimostrare così, su due piedi, che non ha nulla da temere?

Probabilmente se stai leggendo quest’articolo ti sei trovato in una situazione di questo tipo e hai pensato alla certificazione ISO 27001 come soluzione. Vediamo quindi nel dettaglio di cosa si tratta.

Cos’è la certificazione ISO/IEC 27001

La ISO/IEC 27001 è uno standard internazionale che nasce dal lavoro congiunto della Organizzazione internazionale per la normazione (ISO) e della Commissione elettrotecnica internazionale (IEC). 

La ISO 27001, in particolare, certifica la capacità di impostare un sistema di gestione della sicurezza delle informazioni (ISMS) che si basi su:

• Analisi del rischio
• Norme procedurali
• Monitoraggio
• Miglioramento continuo

La principale caratteristica della ISO 27001 è quella di essere riconosciuta globalmente e perciò usata come riferimento per valutare quanto un’azienda sia affidabile. 

La certificazione non è a livello individuale o di prodotto, ma aziendale, a sottolineare che adottare un sistema di questo tipo non significa “costruire un prodotto invulnerabile”, ma utilizzare una procedura rodata e verificabile.

In parole povere, questa certificazione decreta la capacità di un’azienda di gestire con delle procedure standardizzate tutti i dati sensibili che l’azienda si trova a maneggiare, come:

• Dati dei clienti, collaboratori e dipendenti
• Credenziali d’accesso
• Informazioni finanziarie
• Proprietà intellettuali

Perché fare la certificazione ISO 27001

Ottenere la ISO 27001 richiede un investimento non indifferente di tempo e soldi. Quali sono quindi i vantaggi che derivano da questa certificazione che spingono molti founder a perseguirla? 

Per molte aziende, specialmente in ambito digitale e B2B, il motivo più ovvio per ottenere la certificazione è quello di un vantaggio competitivo. Infatti, ottenere che un ente terzo certifichi una gestione ottimale in ambito di sicurezza aiuta a conquistare agevolmente la fiducia di clienti, partner e investitori.

Ma non si tratta solamente di fiducia, che può altrimenti essere compensata con buone doti di vendita. L’ISO 27001 apre anche a opportunità commerciali con grandi aziende e PA, che potrebbero scegliere di affidarsi solamente a fornitori dotati della certificazione.

Al di là di ciò che la certificazione offre sulla carta, però, ci sono anche dei concreti benefici sulla sicurezza dell’azienda. Applicare realmente la normativa implica cambiare il modo di gestire il rischio: obbliga a mappare le vulnerabilità, a introdurre nuovi sistemi di controllo e a conoscere preventivamente la maniera migliore di reagire a eventuali violazioni e perdite di dati.

In pratica, seguire questa norma consente di essere preparati alle minacce e, nel caso di incidenti, permette di intervenire tempestivamente e contenere i danni, anche quelli economici.

Inoltre, seguire dei protocolli definiti consente di mettere in ordine processi, responsabilità e documentazione, aspetti spesso carenti specialmente nelle PMI, dove la gestione della sicurezza è spesso informale.

Ciò che viene appreso dalla certificazione crea una cultura aziendale della sicurezza, che si riversa su altri aspetti procedurali, come la documentazione di ruoli e responsabilità. A cascata, ciò si riflette anche sulla compliance con altre normative vigenti, come il GDPR.

Quando ha senso ottenere la ISO 27001

Nonostante i numerosi aspetti positivi legati all’ottenimento della ISO 27001, non è per tutti ottenere questa certificazione; non perché non a tutti sia possibile, quanto più perché non sempre i costi sono compensati dai benefici.

Se ti stai chiedendo se la tua azienda dovrebbe o meno ottenere questa certificazione, nei prossimi paragrafi cercheremo di dare una panoramica delle situazioni nelle quali la certificazione può portare veramente beneficio, ma anche di quelle nelle quali non è conveniente o è prematuro pensare di fare questo investimento.

Per chi ha senso certificarsi

I parametri da valutare per scegliere se richiedere la ISO 27001 sono principalmente due: il livello di maturità dell’azienda e l’esposizione al rischio.

Aziende che trattano con i dati digitali dei clienti o che gestiscono grandi quantità di dati personali (specialmente se sensibili, come quelli legati a finanza e salute) sono le migliori candidate per la certificazione ISO 27001. In questa categoria rientrano:

• Software house, SaaS, cloud provider e fornitori IT
• Aziende in ambito sales, fintech, sanitario, HR
• Organizzazioni soggette a regolamenti settoriali particolarmente stringenti in ambito di sicurezza, come GDPR o NIS

Ma tutte le aziende di queste categorie dovrebbero ottenere la ISO 27001? Ovviamente, dipende. Quel che è certo è che tutte le aziende di questi settori dovrebbero adottare delle procedure interne finalizzate all’ottenimento della certificazione, anche in assenza di una richiesta formale di quest’ultima.

L’indicatore migliore della necessità della certificazione ufficiale ISO 27001 è spesso dato dalle richieste dei clienti: quando in maniera ricorrente i nuovi clienti iniziano a richiedere di compilare questionari sulla sicurezza, di avere informazioni sul piano di continuità operativa oppure chiedono informazioni su backup, data center ecc. allora è probabilmente giunto il momento di certificarsi.

Quando non ha senso ottenere il certificato

Ci sono aziende, e soprattutto startup, per le quali ottenere la certificazione non è necessario, solitamente perché rientrano in queste casistiche:

• Hanno ancora pochi clienti
• Non trattano dati sensibili né sono in settori strettamente regolamentati
• Non hanno ancora processi strutturati di gestione della sicurezza

In questo caso, spesso, il primo step è quello di costruire prima dei processi interni conformi, e solo in futuro, se si rendesse necessario, ottenere la certificazione.

La ISO 27001 non è un impegno una tantum, ma un percorso da vivere ogni giorno. Al di là dei costi iniziali per ottenere la certificazione, che sono dati da:

• Pagamento dell’ente certificatore e dei consulenti
• Investimento in tempo per le figure coinvolte (management, IT, ecc.)

Bisogna anche tenere conto dei costi di mantenimento per rinnovarla anno dopo anno, con audit di sorveglianza che possono arrivare a costare anche migliaia di euro.

Per le realtà medio-piccole gestire un sistema così strutturato può essere molto complesso, con un rapporto costi/benefici sbilanciato. Inoltre, spesso per queste aziende la certificazione diventa solo una compliance di facciata, in cui non c’è una governance continua integrata nel processo lavorativo. In pratica, viene resa mera burocrazia, senza alcuna valenza concreta. 

Mabiloft: la ISO 27001 come modo di lavorare

In Mabiloft abbiamo scelto di adottare i processi della ISO 27001 prima ancora di ottenere il certificato formale. Ciò significa:

• Adottare logiche di gestione del rischio
• Coordinare controlli tecnici e organizzativi
• Implementare pratiche per il miglioramento continuo

Pur non essendo ancora certificati, lavoriamo come se lo fossimo e ciò ci ha avvantaggiati quando abbiamo svolto le audit per i nostri clienti. In particolare abbiamo supportato Certiblok nel percorso della certificazione, nel quale gli auditor hanno confermato che molti dei processi tecnici e organizzativi in uso erano già allineati agli standard richiesti dalla ISO 27001.

Se stai valutando di certificarti e ne sei ancora convinto dopo aver letto questo articolo, scegliere un partner che vive già questi processi fa la differenza perché:

• Abbiamo esperienza in prima persona su progetti complessi. Abbiamo affrontato tutto il ciclo di certificazione insieme a Certiblok, dall’analisi dei rischi, all’implementazione tecnica, fino alle audit di certificazione e sorveglianza. Sappiamo già cosa ci aspetta e possiamo prevenire i problemi più frequenti, in modo da accorciare i tempi richiesti.
• Il nostro processo è già strutturato. Abbiamo a disposizione template di policy, procedure, registri e controlli che sono già stati utilizzati nel contesto della certificazione e sono conformi alla norma. Il lavoro che abbiamo già svolto richiede solo di essere adattato al contesto specifico. In questo modo, evitiamo la burocrazia inutile e andiamo dritti al punto.
• Ci approcciamo integrando business e tecnica. Veniamo dal mondo delle DevOps e dello sviluppo in generale, quindi guardiamo alla ISO 27001 come a un’architettura di processo. Lavoriamo sulla sicurezza senza compromettere la velocità di delivery, trovando ottimi compromessi tra sicurezza e time-to-market.

Cosa abbiamo imparato dalla certificazione ISO 27001

Fare esperienza sul campo con la certificazione ISO 27001 non è stato solo “utile al cliente”, ma ci ha dato nuovi spunti. Ci portiamo a casa tre importanti lezioni.

La prima è che la ISO 27001 non è solo un “pezzo di carta”, ma un vero e proprio cambio di mentalità. È un sistema di gestione che si evolve nel tempo e che continua a migliorare, al di là del mero certificato.

La seconda lezione riguarda l’ambito di applicazione. La ISO 27001 non è solo tecnica, ma anche e soprattutto organizzazione. Firewall, backup, hardening, sono tutti concetti che non valgono nulla se non ci sono ruoli e responsabilità chiari, procedure definite e formazione continua.

Lavorando con Certiblok abbiamo scoperto che gli elementi che fanno davvero la differenza sono quelli spesso sottovalutati, come: stabilire chi approva i nuovi rilasci in produzione, sapere come si gestisce un eventuale incidente ed essere in grado di comunicare con i clienti nel caso in cui sorgessero problematiche.

Infine, l’ultima lezione che abbiamo imparato da quest’esperienza è che i processi ben disegnati riducono lo stress. Se le procedure sono prestabilite, sensate e riconosciute da tutti gli operatori, il team lavora più serenamente, senza soluzioni dell’ultimo minuto per prevenire la catastrofe.

Ed è proprio qui che la ISO 27001 non è un investimento sulla compliance, ma un investimento sulla salute dell’azienda.

In Mabiloft scegliamo di adottare questo stile di lavoro giorno dopo giorno, perché crediamo nella sicurezza e qualità dei prodotti che sviluppiamo. Scegliere di seguire uno standard normativo ci consente di sviluppare servizi digitali solidi.

Se stai valutando di certificare la tua azienda, possiamo aiutarti a capire non solo quale sia il percorso per ottenere la certificazione ISO 27001, ma anche a sfruttarla nel tuo lavoro quotidiano per trarne dei benefici concreti. Contattaci senza impegno e parliamone assieme.