Rif. Draft International Standard (DIS)

Transcript

1 Aspettando la nuova ISO Rif. Draft International Standard (DIS) Laura Schiavon, Client Manager BSI Copyright 2012 BSI. All rights reserved.

2 Indice Chi è BSI? Stato t dell arte ISO/IEC e 27002: l evoluzione Crescita globale della certificazione La serie ISO/IEC Struttura della ISO/IEC DIS Principali differenze Transizione Copyright 2012 BSI. All rights reserved. 2

3 Who is BSI? Copyright 2012 BSI. All rights reserved. 3

4 ISO/IEC e 27002: l evoluzione BS 7799: 1995 ISO/IEC ISO/IEC 17799: :2005 ISO/IEC BS :1999 Revised in UK 1999: UK committee decision to submit to ISO fast-track track Normal revision cycle in ISO International committee decision to change number 1995 BS : Developed to support 2004: UK Decision certification made to submit to ISO Fast-track ISO/IEC 27001:2005 Copyright 2012 BSI. All rights reserved. 4

5 Stato dell arte ISO 27001:2005 è in corso di revisione Il 16 gennaio 2013 è stato t rilasciato i dal National Standards d Bodies un Draft International Standard (DIS) Le consultazioni si sono concluse il 23 marzo 2013 La commissione ISO in Aprile 2013 ha emesso le necessarie delibere Seguirà un secondo DIS denominato FDIS (Final) La pubblicazione è attesa entro la fine del 2013 Copyright 2012 BSI. All rights reserved. 5

6 Crescita globale della certificazione of Certi ificates Number % 21% 40% Copyright 2012 BSI. All rights reserved. 6

7 La serie ISO/IEC Standard Published ISO/IEC Overview and vocabulary 2012 ISO/IEC Information security management systems - Requirements 2005 ISO/IEC Code of practice for Information security management 2005 ISO/IEC ISMS implementation guidance 2010 ISO/IEC Information security management - Measurement 2009 ISO/IEC Information security risk management 2011 ISO/IEC Guidance to Certification Bodies 2011 ISO/IEC Guidelines for ISMS auditing 2011 ISO/IEC Guidelines for auditors on information security controls 2011 ISO/IEC Guidance for inter-sector and inter-organizational communications 2012 ISO/IEC Guidance to telecommunications 2008 Copyright 2012 BSI. All rights reserved. 7

8 La serie ISO/IEC Standard ISO/IEC Guidelines on the integrated implementation of ISO/IEC & ISO ISO/IEC Governance of information security ISO/IEC Information security management guidelines for financial services ISO/IEC Information security management organizational economics ISO/IEC Information security in cloud computing (relevant controls in 27001) ISO/IEC Information security in cloud computing (relevant controls in DP/Privacy) ISO/IEC Guidelines for ICT readiness for business continuity ISO/IEC Guidelines for cyber security ISO/IEC Security Techniques, Network Security (3 part standard) ISO/IEC Guidelines for application security (6 part standard) Published /10/ / Copyright 2012 BSI. All rights reserved. 8

9 La serie ISO/IEC Standard ISO/IEC Information security management (3 part standard) ISO/IEC Information security for supplier relationships (4 part standard) ISO/IEC Guidelines for identification, collection, acquisition and presentation of digital evidence ISO/IEC Specification for digital redaction ISO/IEC Selection, deployment and operations of intrusion detection and prevention systems ISO/IEC Storage security ISO/IEC Guidance on assuring suitability and adequacy of investigative measures ISO/IEC Guidelines for the analysis and interpretation of digital evidence ISO/IEC Investigation principles and processes ISO/IEC Guidelines for security information i and event management (SIEM) Published 2012 Copyright 2012 BSI. All rights reserved. 9

10 Una nuova struttura ISO è stata sviluppata in riferimento all Annex SL Annex SL fornisce un testo t standardizzato di t per tutte tt le norme ISO di sistema L'intento è quello di uniformare terminologia e prescrizioni per i requisiti fondamentali di gestione del sistema Copyright 2012 BSI. All rights reserved. 10

11 La struttura ISO PLAN DO CHECK ACT 4 Context of the organization 5 Leadership 6 Planning 7 Support 8 Operation 9 Performance evaluation 10 Improvement Understanding the organization and its context Leadership and commitment Actions to address risks and opportunities Resources Operational planning and control Monitoring, measurement, analysis and evaluation Nonconformity and corrective action Expectations of interested parties IS objectives Information Policy and plans to Competence security risk Internal audit achieve them assessment Continual improvement Scope of ISMS Org roles, responsibilities and authorities Awareness Information security risk treatment Management review ISMS Communication Documented information Copyright 2012 BSI. All rights reserved. 11

12 Struttura della ISO/IEC Clause Description 4.0 Is a component of Plan. It introduces requirements necessary to establish the context of the ISMS as it applies to the organization, as well as needs, requirements, and scope. 5.0 Is a component of Plan. It summarises the requirements specific to top management s role in the ISMS, and how leadership articulates its expectations to the organization via a policy statement. 6.0 Is a component of Plan. It describes requirements as it relates to setting objectives and guiding principles for the ISMS as a whole. Copyright 2012 BSI. All rights reserved. 12

13 Struttura della ISO/IEC Clause Description 7.0 Is a component of Plan. It supports ISMS operations as they relate to establishing competence and communication on a recurring/as-needed needed basis with interested parties, while documenting, controlling, maintaining and retaining required documentation Is a component of Do. It defines ISMS requirements and determines how to address them, the need to perform information security risk assessments and implement the information security risk treatment plan. 9.0 Is a component of Check. It summarises requirements necessary to measure ISMS performance, ISMS compliance with the International Standard and management s expectations, and seeks feedback from management regarding expectations Is a component of Act. It identifies and acts on ISMS non-conformance through corrective action. Copyright 2012 BSI. All rights reserved. 13

14 Principali differenze Lo Standard è stato scritto in riferimento all Annex SL La ISO non sarà più un riferimento normativo (section 2) Le definizioni della versione del 2005 sono state rimosse e trasferite nella sezione 3 della ISO che è diventato un riferimento normativo Vi sono state modifiche alla terminologia utilizzata: ad esempio, viene utilizzata la dicitura policy della sicurezza delle informazioni i i piuttosto t che policy del SGSI I requisiti per il coinvolgimento del management sono stati rivisti e sono presentati in una specifica Leadership Clause Le azioni preventive sono state sostituite con actions to address, risks and opportunities (azioni per affrontari rischi e opportunità) e indicati prima nel testo della norma I requisiti per la verifica del rischio sono maggiormente allineati con la ISO Sono simili ai requisiti SOA ma più chiari nella determinazione dei controlli dei processi per il trattamento del rischio La nuova norma pone maggiore enfasi sulla definizione degli obiettivi, sul monitoraggio delle prestazioni e sulla definizione delle metriche Copyright 2012 BSI. All rights reserved. 14

15 Timeline per la revisione Scenario Jan Feb Mar Apr May-Jul Aug Sep Oct-Dec Jan-Mar 1. DIS goes straight to publication Public comment Likely publication 2. DIS goes to FDIS ballot Public comment Likely publication 3. DIS goes to second DIS ballot Public comment Likely publication ISO Committee Meeting DIS Draft International Standard FDIS Final Draft International Standard Copyright 2012 BSI. All rights reserved. 15

16 Transizione La procedura di transizione sarà annunciata alla pubblicazione dello standard La procedura sarà determinata t da UKAS in UK e da altri enti di accreditamento t nazionali negli altri Paesi Il perido di transizione sarà definito dall ente di accreditamento (probabilmente uno o due anni) Le registrazioni del vecchio standard saranno permesse per un periodo di tempo successivamente alla pubblicazione i dopo il quale saranno considerate valide solo le registrazioni del nuovo standard Alle aziende certificate con BSI 27001:2005 sarà fornito tutto il supporto necessario Le transizioni saranno condotte nel corso delle periodiche visite di verifica Copyright 2012 BSI. All rights reserved. 16

17 Formazione ISO/IEC Internal Auditor Giugno Luglio Settembre Ottobre Novembre Dicembre Padova Roma 2 3 Roma Implementing Roma Padova Lead Auditor Roma 1 5 Milano 7 11 Roma 4 8 Milano I corsi sulla nuova release della ISO/IEC saranno programmati entro la fine del Per informazioni: marketing.italy@bsigroup.com Copyright 2012 BSI. All rights reserved. 17/05/

18 Copyright 2012 BSI. All rights reserved. 18