ISO/IEC 27001 e le sue estensioni, TISAX, NIS2, protezione dei dati. Un sistema che regge davanti all'auditor e, soprattutto, davanti a un attacco
| ISO/IEC 27001 | TISAX | NIS2 | |
|---|---|---|---|
| Natura | Norma internazionale volontaria, certificabile | Requisito della filiera automotive | Obbligo di legge |
| Riferimento | ISO/IEC 27001:2022 | Catalogo VDA ISA, circuito ENX | Direttiva (UE) 2022/2555, Decreto Legislativo 138/2024 |
| Chi la richiede | Clienti, gare, gruppo, mercato | Costruttori e committenti automotive | Stato, per i soggetti essenziali e importanti |
| Chi verifica | Ente di certificazione accreditato | Fornitore di audit accreditato ENX | Agenzia per la cybersicurezza nazionale |
| Esito | Certificato triennale con sorveglianze annuali | Etichetta TISAX pubblicata sulla piattaforma, validità triennale | Conformità alle misure di base, notifica degli incidenti |
| Base comune | Allegato A, 93 controlli | Requisiti riconducibili alla 27001 | Misure riconducibili alla 27001 |
Un sistema per la sicurezza delle informazioni si costruisce in un ordine preciso. Prima si decide cosa proteggere: il perimetro e l'inventario degli asset, con la loro classificazione. Poi si valuta il rischio, asset per asset, per impatto e probabilità. Da lì discende la dichiarazione di applicabilità sui 93 controlli dell'Allegato A, con le esclusioni motivate una per una, perché l'auditor le contesta se non reggono. Infine le procedure effettivamente necessarie: incidenti e violazioni di dati, cambiamenti, aggiornamenti e vulnerabilità, backup, continuità operativa, accessi, fornitori. Ho seguito questo percorso anche in gruppi con sedi in Romania e Brasile.
Sono le estensioni della 27001 per chi eroga servizi in cloud, per chi tratta dati personali nel cloud e per chi vuole un sistema di gestione della privacy certificabile. Le ho seguite per fornitori di software come servizio, per servizi digitali in sanità e per chi lavora con la pubblica amministrazione, dove i clienti le chiedono sempre più spesso nelle gare.
Nella filiera automotive la sicurezza delle informazioni si dimostra con TISAX, sul catalogo VDA ISA. Parto dal livello di valutazione che vi chiede il committente, misuro gli scostamenti, costruisco il piano di adeguamento e vi accompagno fino alla pubblicazione del risultato sulla piattaforma. Chi dispone già di un sistema ISO/IEC 27001 riutilizza gran parte del lavoro svolto. Ho lavorato con fornitori di componenti, compositi, prototipazione e laboratori di prova, anche sui requisiti specifici di cybersicurezza dei grandi costruttori.
La prima domanda è se rientrate tra i soggetti essenziali o importanti, e non è sempre ovvio. Poi si misurano gli scostamenti rispetto alle misure richieste, si costruisce il piano di adeguamento e si mettono a punto le procedure per gestire e notificare gli incidenti nei tempi previsti. Gli amministratori hanno responsabilità dirette e vanno formati. Se avete già la 27001 o un Modello 231, gran parte del lavoro si integra lì.
L'adeguamento al Regolamento europeo lo seguo dal 2018, e prima ancora con il vecchio Codice privacy: registro dei trattamenti, informative, nomine, valutazioni d'impatto, misure di sicurezza, procedura per le violazioni, formazione. Per aziende industriali, studi e centri medici, società di servizi.
Un piano di continuità operativa e di ripristino serve nel momento in cui i sistemi non sono disponibili, e deve essere collaudato in anticipo. Il Vulnerability Assessment e Penetration Test è la verifica indipendente dei controlli tecnologici: il sistema dice come dovrebbe essere, il test dice com'è. La pagina dedicata.
Un progetto di certificazione, TISAX o NIS2 in programma?
Parliamone