Sistemi di Gestione per la Qualità e della Sicurezza Informatica

Transcript

1 Sistemi di Gestione per la Qualità e della Sicurezza Informatica Certificazione dei Sistemi e delle Professionalità 13/05/2003 Fabrizio Cirilli per 1

2 Normazione, accreditamento e certificazione Enti normatori Enti accreditamento RECEPIMENTI ISO EN UNI/ BSI NORME IAF EA SINCERT/ UKAS Regole CERTIFICAZIONE Attività svolta da terze parti (organismi di certificazione) che attesta la conformità di un Sistema rispetto ad una norma di riferimento 13/05/2003 Fabrizio Cirilli per 2

3 Certificazione Aziende (volontaria) Prodotti (obbligatoria e/o volontaria) CERTIFICATO Personale (volontaria) 13/05/2003 Fabrizio Cirilli per 3

4 Il ciclo PDCA Plan Stabilire gli obiettivi ed i processi necessari per fornire risultati conformi ai requisiti del cliente ed alle politiche dell'organizzazione Act dare attuazione ai processi P A D C Walter Shewhart (1920) - W. Edwards Deming Do Monitorare e misurare i processi ed i prodotti a fronte delle politiche, degli obiettivi e dei requisiti relativi ai prodotti e riportarne i risultati Check adottare azioni per migliorare in modo continuo le prestazioni dei processi 13/05/2003 Fabrizio Cirilli per 4

5 L audit dei Sistemi* Autorità per la gestione di un programma di audit Definizione del programma di audit PLAN ACT Miglioramento del programma di audit Attuazione del programma di audit Competenza e valutazione degli auditor DO Attività di audit Monitoraggio e riesame del programma di audit CHECK *UNI EN ISO 19011:200 13/05/2003 Fabrizio Cirilli per 5

6 Gli 8 principi del Quality Management 1. Organizzazione orientata al cliente 2. Leadership 3. Coinvolgimento del personale 4. Approccio basato sui processi 5. Approccio sistemico della gestione 6. Miglioramento continuo 7. Decisioni basate su dati di fatto 8. Rapporti di beneficio reciproco con i fornitori 13/05/2003 Fabrizio Cirilli per 6

7 Il modello ISO /05/2003 Fabrizio Cirilli per 7

8 I 7 principi del OECD* Consapevolezza Responsabilità Risposta Valutazione del rischio Progettazione e attuazione della sicurezza Gestione per la sicurezza Rivalutazione *Organization for Economic Cooperation and Development 13/05/2003 Fabrizio Cirilli per 8

9 Il modello BS PLAN Pianificare e istituire Parti interessate DO Attuare e operare Ciclo di Sviluppo Mantenimento e miglioramento Mantenere e migliorare ACT Parti interessate Requisiti e aspettative Monitorare e riesaminare CHECK Sistema Informativo gestito 13/05/2003 Fabrizio Cirilli per 9

10 Le correlazioni fra le 2 norme 3 Termini e definizioni BS : Introduzione Generale Approccio per processi 0.3 Compatibilità con altri sistemi di gestione 1 Ampiezza Generalità Applicazione 2 Riferimento normativi 4 Sistema di gestione per la sicurezza delle informazioni 4.1 Requisiti generali 4.2 Istituire e gestire il SGSI Istituire il SGSI Attuare e operare il SGSI Monitorare e riesaminare il SGSI Mantenere e migliorare il SGSI 4.3 Requisiti della documentazione Generalità Controllo dei documenti Controllo delle registrazioni ISO 9001: Introduzione 0.1 Generalità 0.2 Approccio per processi 0.3 Relazione con la ISO Compatibilità con altri sistemi di gestione 1 Scopo e campo di applicazione Generalità Applicazione 2 Riferimenti normativi 3 Termini e definizioni 4 Sistema di gestione per la qualità 4.1 Requisiti generali 4.2 Requisiti relativi alla documentazione Generalità Manuale della qualità Tenuta sotto controllo dei documenti Tenuta sotto controllo delle registrazioni 13/05/2003 Fabrizio Cirilli per 10

11 Le correlazioni fra le 2 norme BS : Responsabilità della direzione 5.1 Impegno della direzione 5.2 Gestione delle risorse Fornitura delle risorse Formazione, sensibilizzazione e competenza 6 Riesame del SGSI da parte della direzione 6.1 Generalità 6.2 Input del riesame 6.3 Output del riesame 6.4 Audit interni del SGSI 7 Miglioramento del SGSI 7.1 Miglioramento continuo 7.2 Azioni correttive 7.3 Azioni preventive ISO 9001: Responsabilità della direzione 5.1 Impegno della direzione 5.2 Attenzione focalizzata al cliente 5.3 Politica per la qualità 5.4 Pianificazione 5.5 Responsabilità, autorità e comunicazione 6 Gestione delle risorse 6.1 Messa a disposizione delle risorse 6.2 Risorse umane Competenza, consapevolezza e addestramento 6.3 Infrastrutture 6.4 Ambiente di lavoro 5.6 Riesame da parte della direzione Generalità Elementi in ingresso per il riesame Elementi in uscita dal riesame Verifiche ispettive interne 8 Misurazioni, analisi e miglioramento Miglioramento continuo Azioni correttive Azioni preventive 13/05/2003 Fabrizio Cirilli per 11

12 Il processo di certificazione Contratto triennale Durata dell audit e numero di auditor dipendenti dalle dimensioni, dalla complessità dei processi, dal numero di persone coinvolte. Ogni passaggio è documentato in modo puntuale e specifico, sia in termini di pianificazione sia di risultato. Costi prestabiliti. AUDIT DOCUMENTALE AUDIT PRELIMINARE AUDIT CERTIFICAZIONE AUDIT SORVEGLIANZA 13/05/2003 Fabrizio Cirilli per 12

13 Sistemi a confronto Principi ispiratori Gestione per la Qualità Quality Management Sicurezza Informatica Svil. e coop. economica Norma di riferimento ISO 9001:2000 BS7799-2:2002 Certificazione Volontaria Volontaria Accreditamento Nazionale SINCERT Nazionale SINCERT Qualifica auditor Obbligatoria Obbligatoria Norma per audit ISO 19011:2002 ISO 19011:2002 Certificazione auditor Volontaria Volontaria Enti certif. auditor SICEV, CEPAS, IRCA IRCA 13/05/2003 Fabrizio Cirilli per 13

14 Certificazione del personale AUDITOR Tecnici PND CERTIFICATO Saldatori 13/05/2003 Fabrizio Cirilli per 14

15 I 5 principi dell audit Comportamento etico fiducia, integrità, riservatezza, discrezione. Presentazione imparziale Risultanze, conclusioni e rapporti devono riflettere fedelmente ed accuratamente le attività di audit. Riportare gli ostacoli significativi incontrati durante l audit e le opinioni divergenti non risolte. Adeguata professionalità Porre un attenzione di livello adeguato all importanza del compito ed alla fiducia riposta dai committenti e dalle altre parti interessate. Essere in possesso delle competenze necessarie per l efficace svolgimento dell audit. 13/05/2003 Fabrizio Cirilli per 15

16 I 5 principi dell audit Indipendenza Indipendenza dall attività oggetto dell audit. libertà da pregiudizi e conflitto d interesse. Obiettività di pensiero durante il processo dell audit. Risultanze e conclusioni basate solo sulle evidenze dell audit. Approccio basato sull evidenza un audit è effettuato in un periodo di tempo limitato e con risorse limitate, un appropriato campionamento influisce sul livello di confidenza delle conclusioni dell audit. Le evidenze: sono verificabili, si basano su campioni di informazioni disponibili. 13/05/2003 Fabrizio Cirilli per 16

17 Certificazione degli auditor Norma audit Norma riferim. Enti nazionali Enti internaz. SGQ ISO 19011:02 ISO 9001:00 CEPAS SICEV IRCA SGSI ISO 19011:02 BS nessuno IRCA 13/05/2003 Fabrizio Cirilli per 17

18 Il processo di certificazione degli auditor CORSO BASE (40 ore) Durata triennale. Prerequisiti obbligatori. Qualifica dipendente dalla reale competenza. Aggiornamento obbligatorio. Diversa impostazione degli albi internazionali (IRCA, RICEC). Costi dipendenti dalla qualifica e dall albo. AUDIT ESAME FINALE CERTIFICAZIONE MANTENIMENTO 13/05/2003 Fabrizio Cirilli per 18

19 Stato attuale e sviluppi Qualità Sicurezza informatica siti in Italia 9 siti in Italia nel mondo 500 nel mondo (ri)certificazione a nuova norma seguito del rinnovo integrazione con normativo sistemi gestionali e orientamento a direzionali cruscotti direzionali e accettazione del gestionali mondo IT trend positivo trend molto positivo 13/05/2003 Fabrizio Cirilli per 19

20 Riflessioni Esistono forti attinenze fra le competenze in AIEA e le competenze degli auditor ISO La certificazione ISO si avvale di specifiche professionalità per la gestione degli audit La BS7799 costituisce un ponte per poter utilizzare le competenze AIEA nel campo della certificazione BS7799 Le competenze in AIEA potrebbero essere efficacemente sfruttate anche per gli audit ISO 9000:2000 Con un mercato potenziale praticamente illimitato Riconoscibilità del certificato CISA verso i modelli di certificazione degli auditor per i Sistemi Qualità e Sicurezza Informatica 13/05/2003 Fabrizio Cirilli per 20

21 Riferimenti Fabrizio Cirilli Training Center IRCA (corso auditor/lead auditor BS7799 IRCA) (rif. Luigi D Apolito) SINCERT ISO UNI BS /05/2003 Fabrizio Cirilli per 21