Archivio annuale 2019

ISO/IEC 27017 e ISO/IEC 27018 CERTIFICAZIONE o INTEGRAZIONE? A volte anche gli enti sbagliano

ISO/IEC 27017

Lo standard  ISO/IEC 27017, rientrante tra gli standard della serie ISO/IEC 27001, definisce controlli avanzati sia per fornitori di servizi cloud sia per i relativi clienti. A differenza di molti altri standard legati alla tecnologia, chiarisce ruoli e responsabilità dei diversi attori con l’obiettivo di garantire che i dati conservati in cloud siano sicuri e protetti, come se fossero in un sistema di gestione delle informazioni certificato.

Lo standard fornisce una guida per servizi cloud basata sui 37 controlli derivanti dalla ISO/IEC 27002 e su sette nuovi controlli aggiuntivi focalizzati sui seguenti punti:

  • Suddivisione delle responsabilità tra fornitore e clienti dei servizi cloud
  • Rimozione / assegnazione delle attività alla cessazione di un contratto
  • Protezione e separazione degli ambienti virtuali dei diversi
  • Configurazione delle Virtual Machine
  • Attività amministrative e procedure connesse con l’ambiente cloud
  • Monitoraggio delle attività del cliente all’interno dell’ambiente cloud
  • Allineamento degli ambienti virtuale e cloud

ISO/IEC 27018

Codice di condotta per la protezione delle PII (Personally Identifiable information) nei servizi di public cloud per i cloud provider – è una linea guida per i fornitori di servizi cloud pubblici che vogliono migliorare la gestione dei dati personali.

L’obiettivo di questo standard è quello di fornire una modalità strutturata, basata sul privacy by design, per far fronte alle principali questioni giuridiche, legalI e contrattualI, legatI alla gestione dei dati personali in infrastrutture informatiche distribuite (cloud pubblico).

Le contromisure specifiche introdotte dalla ISO 27018 si basano sui principi internazionali definiti  riguardo alla privacy. Questi principi dovrebbero essere utilizzati per guidare la progettazione, lo sviluppo, l’attuazione, il monitoraggio e la misurazione di politiche sulla privacy e controlli della privacy nei servizi di cloud computing

L’impiego di servizi di cloud è divenuto un irrinunciabile driver di efficienza per molte aziende pubbliche e private.

A fronte della diffusione di questo modello, da qualche anno le autorità garanti dei dati personali hanno messo in guardia i titolari del trattamento di dati personali contro i rischi di scarsa trasparenza sulle modalità e sui soggetti che processano i dati, nonché di perdita di controllo sui dati personali inviati nella “nuvola”.


SUL MERCATO REGNA LA CONFUSIONE!

Cercando online le due norme ISO/IEC 27017 e ISO/IEC 27018, possiamo notare come gli enti di certificazione abbiano emesso dei certificati anche accreditati riguardo questi standard.

Ne troviamo molti, anche di enti noti, recante anche il logo dell’ente di Accreditamento!


Quindi CERTIFICAZIONE O INTEGRAZIONE?

Trattandosi di Linee guida, le norma ISO/IEC 27017 e ISO/IEC 27018

non sono quindi certificabili

Ciò nonostante, come previsto dalla circolare Accredia DC2019SSV022,  è possibile ottenere una integrazione di un certificato esistente ISO/IEC 27001 purché rilasciato da un Ente di certificazione riconosciuto.


La Circolare ACCREDIA (Prot: DC2019SSV044)

https://www.accredia.it/app/uploads/2019/02/DC2019SSV044.pdf

Punti salienti:

Novità! La ISO/IEC 27701:2019

Lo standard ISO/IEC 27701: 2019 specifica i requisiti e fornisce una guida per stabilire, implementare, mantenere e migliorare continuamente un PIMS (Privacy Information Management System o sistema di gestione delle informazioni sulla privacy) attraverso un set di requisiti, obiettivi di controllo e controlli che integrano ed estendono quanto definito nello standard ISO/IEC 27001: 2013 per la gestione della sicurezza delle informazioni.

Le organizzazioni che hanno già implementato un ISMS (Information Security Management System) secondo la ISO/IEC 27001 saranno in grado di utilizzare la ISO/IEC 27701 per estendere la copertura dell’information security alla gestione della privacy, comprendendo anche i trattamenti di dati personali (PII – Personally Identifiable Information ), in modo da poter dimostrare la conformità con le legislazioni cogenti in materia di protezione dei dati personali come il GDPR (cfr. art. 42 – General Data Protection Regulation (EU) 2016/679).

Le organizzazioni che non sono dotate di un ISMS possono anche implementare ISO/IEC 27001 e ISO/IEC 27701 insieme in un singolo progetto, in quanto la ISO/IEC 27701 estende semplicemente i requisiti forniti dalla 27001 e dal suo “codice di condotta” (ISO/IEC 27002), e non è quindi necessario realizzare due sistemi di gestione e/o progetti di implementazione separati.

A chi interessa?

La ISO/IEC 27701 è stata progettata per essere utilizzata da tutte le organizzazioni, siano esse titolari del trattamento o responsabili del trattamento. Come per la ISO/IEC 27001, la norma è fondata su un approccio basato sul rischio in modo che ciascuna organizzazione che voglia essere e mantenersi conforme affronti i rischi specifici riguardanti il trattamento dei dati personali e la privacy a cui è soggetta.
La norma è quindi applicabile per tutte le organizzazioni, qualsiasi sia la loro dimensione e il loro settore di attività.

Sintesi dei contenuti

La norma fornisce requisiti e linee guida per costruire, implementare, mantenere e migliorare costantemente un PIMS, sia che l’organizzazione operi come titolare del Trattamento (Data Controller), sia come Responsabile (Data Processor).

I requisiti della norma sono suddivisi in quattro capitoli:

  • Clause 5, PIMS requirements (related to ISO/IEC 27001)
  • Clause 6, PIMS requirements (related to ISO/IEC 27002)
  • Clause 7, PIMS guidance for PII Controllers
  • Clause 8, PIMS guidance for PII Processors

La norma comprende inoltre i seguenti allegati:

  • Annex A lists all applicable controls for PII Controllers
  • Annex B lists all applicable controls for PII Processors
  • Annex C maps ISO/IEC 27701 controls against ISO/IEC 29100
  • Annex D maps ISO/IEC 27701 controls against ISO/IEC GDPR
  • Annex E maps ISO/IEC 27701 controls against ISO/IEC 27018 and ISO/IEC 29151
  • Annex F provides guidance for applying ISO/IEC 27701 to ISO/IEC 27001 and ISO/IEC 27002.

Dimostrare la compliance al GDPR
tramite la certificazione ISO/IEC 27701

Implementare un PIMS conforme alle ISO/IEC 27701 e ISO 27001 consentirà di soddisfare i requisiti del GDPR e di altre regolamentazioni internazionali e nazionali in materia di protezione dei dati e dimostrerà che sono stati predisposte “misure tecniche e organizzative appropriate” (articolo 32) per proteggere i dati personali che vengono trattati, proteggendo i diritti degli interessati, in linea con il principio di accountability descritto nel Regolamento (articolo 5).

L’articolo 42 del GDPR tratta dei meccanismi di certificazione della protezione dei dati. Anche se non è ancora stata definita e riconosciuta ufficialmente come meccanismo valido in tal senso dalle autorità competenti (EDPB e Garante), tuttavia è possibile ottenere la certificazione ISO 27001 – e per estensione ISO 27701 – accreditata in modo indipendente da un certification body riconosciuto, dimostrando così a tutti gli stakeholder che la vostra organizzazione segue le migliori pratiche internazionali in tema di protezione dei dati personali.

La nuova ISO 45001:2018

La ISO 45001, come tutte le ISO di ultima generazione, adotta la ISO High Level Structure (HLS). Alcuni dei cambiamenti della ISO 45001 rispetto alla OHSAS 18001 riflettono le peculiarità dell’HLS mentre altri sono specifici per la salute e la sicurezza sul lavoro.

Alla pubblicazione della ISO 45001 seguirà il ritiro  della OHSAS 18001. ISO 45001 è uno standard internazionale, garantisce una maggiore compatibilità con altri standard, come ISO 9001 e ISO 14001. Rende più facile l’implementazione e l’integrazione in un sistema di gestione, con un valore aggiunto per gli utenti. Se la tua azienda ha già adottato la norma OHSAS 18001, riconoscerai la maggior parte dei requisiti previsti dalla ISO 45001. Tuttavia, ci sono alcune variazioni rispetto alla OHSAS 18001 che è necessario preparare per migrare e rendersi conformi alla ISO 45001.

Cambiamenti chiave nella ISO 45001

  • Contesto aziendale: il Capitolo 4.1, Questioni esterne e interne, introduce nuove clausole per la determinazione sistematica e il monitoraggio del contesto aziendale.  

  • Lavoratori e altre parti interessate: il Capitolo 4.2 introduce una maggiore attenzione ai bisogni e alle aspettative per i lavoratori e per le altre parti interessate e il coinvolgimento dei lavoratori. Questo per identificare e comprendere sistematicamente i fattori che devono essere gestiti attraverso il sistema di gestione.  

  • Gestione dei rischi e delle opportunità: Capitoli 6.1.1, 6.1.2.3, 6.1.4,: alle aziende spetta la determinazione, la presa in carico e, ove necessario, l’obbligo di intervento per affrontare eventuali rischi o opportunità che possono avere un impatto (positivo o negativo) sulla capacità del sistema di gestione di fornire i risultati previsti, tra cui una maggiore sicurezza e salute sul luogo di lavoro.

  • Leadership e impegno di gestione: indicato nel capitolo 5.1. La ISO 45001 pone una maggiore enfasi sul top management affinché si impegni attivamente e si assuma la responsabilità per l’efficacia del sistema di gestione. 

  • Obiettivi e prestazioni: maggiore attenzione agli obiettivi come fattori di miglioramento (capitoli 6.2.1.6.2.2) e valutazione delle prestazioni (capitolo 9.1.1).

Ulteriori requisiti relativi a:

  • Partecipazione, consultazione e partecipazione dei lavoratori (5.4) 

  • Comunicazione (7.4): la ISO 45001 è più prescrittiva rispetto ad un “automatismo” della comunicazione, indicando la necessità di definire cosa, quando e come comunicare. 

  • Approvvigionamento, inclusi i processi in outsourcing e gli appaltatori (8.1.4)