La ISO/IEC 27001:2022 è lo standard internazionale che stabilisce i requisiti per l’istituzione, l’attuazione, il mantenimento e il miglioramento continuo di un Sistema di Gestione per la Sicurezza delle Informazioni (SGSI).
L’obiettivo è proteggere le informazioni di un’organizzazione per garantirne tre aspetti fondamentali: la Riservatezza (accessibilità solo agli autorizzati), l’Integrità (accuratezza e completezza) e la Disponibilità (accessibilità da parte degli autorizzati quando necessario).
Il processo con cui l’organizzazione seleziona e implementa le opzioni per modificare il rischio. Nella ISO 27001, ciò include l’applicazione di misure di controllo (i controlli dell’Allegato A) per ridurre il rischio a un livello accettabile.
L’Allegato A è un elenco normativo dei Controlli di Sicurezza che l’organizzazione deve considerare durante il processo di trattamento del rischio. Non sono tutti obbligatori, ma servono come punto di partenza per selezionare i controlli più appropriati in base alla valutazione dei rischi.
È il processo di identificazione sistematica di sorgenti di rischio, asset informativi, minacce e vulnerabilità, e della loro analisi per determinare la probabilità di accadimento e il potenziale impatto. È la base per decidere quali controlli applicare.
La Cybersecurity è l’insieme delle tecnologie, dei processi e dei controlli volti a proteggere sistemi, reti e dati digitali da attacchi, danni o accessi non autorizzati. È fondamentale perché protegge gli asset critici (dati sensibili, proprietà intellettuale, informazioni finanziarie) e assicura la continuità operativa e la reputazione aziendale.
La Sicurezza delle Informazioni è un concetto più ampio che include la protezione delle informazioni in qualsiasi forma (digitale, cartacea, verbale). La Cybersecurity si concentra specificamente sulla protezione delle informazioni e dei sistemi nell’ambiente digitale e cibernetico.
Vulnerabilità: Una debolezza in un sistema (es. software non aggiornato) che può essere sfruttata.
Minaccia: Una potenziale causa di un incidente indesiderato (es. malware, hacker).
Rischio: La combinazione della probabilità che una minaccia sfrutti una vulnerabilità e del potenziale impatto sull’organizzazione.
Le tipologie più diffuse includono:
Phishing/Social Engineering: Tentativi di manipolare gli utenti per ottenere credenziali.
Malware (es. Ransomware): Software dannoso che blocca l’accesso ai dati o ai sistemi chiedendo un riscatto.
Attacchi DoS/DDoS: Tentativi di rendere non disponibili un sito web o un servizio sovraccaricandolo di traffico.
Violazioni delle credenziali: Furto di password per ottenere accesso non autorizzato.
Le nostre recensioni migliori