Per monitorare il livello della sicurezza delle informazioni stabiliamo indicatori che misurino la tenuta della responsabilità nel sistema, la sicurezza degli asset, l’efficacia della formazione, l’affidabilità dei fornitori e gestione di non conformità
L’istituzione del monitoraggio della sicurezza delle informazioni in azienda è un’operazione che deve iniziare con la determinazione di veri e propri “indici di sicurezza” che esprimono il livello di sicurezza delle informazioni in relazione agli svariati aspetti del sistema di gestione.
La determinazione degli indici di sicurezza
Il suggerimento è quello di monitorare il livello di sicurezza delle informazioni attraverso l’istituzione dei seguenti indici di sicurezza espressamente dedicati a parti specifiche del sistema:
- Indice di sicurezza nei ruoli e nei requisiti
- Indice di sicurezza relativo alla tenuta della responsabilità
- Indice di sicurezza relativo alla gestione della rete e delle comunicazioni
- Indice di sicurezza relativo alla gestione del software
- Indice di sicurezza relativo alla gestione dei dispositivi di elaborazione
- Indice di sicurezza relativo alla gestione della sede e degli archivi
- Indice di sicurezza relativo alla gestione degli impianti e dei dispositivi di sicurezza
- Indice di sicurezza relativo alla formazione svolta
- Indice di sicurezza relativo alla gestione della formazione erogata
- Indice di sicurezza relativo alla gestione del piano di formazione
- indice di sicurezza relativo alla gestione della comunicazione (interna ed esterna)
- Indice di sicurezza relativo alla selezione e alla gestione dei fornitori
- indice di sicurezza relativo alla gestione dei prodotti non conformi
- Indice di sicurezza relativo alla gestione degli audit e delle non conformità
Grazie agli indici di sicurezza indicati è possibile tenere sotto controllo tutti i processi del sistema di gestione. L’osservazione dei valori assunti dagli indici permette di avere un quadro chiaro del livello di sicurezza generale delle informazioni.
Come organizzare il monitoraggio
La stessa ISO 27001 al punto 9 spiega abbastanza chiaramente che è necessario definire cosa monitorare, quando, come e chi deve farlo. Perciò, ai fini dell’implementazione del sistema di gestione per la sicurezza delle informazioni, suggeriamo di creare un vero e proprio Piano di monitoraggio che stabilisca:
- L’oggetto del monitoraggio
- Il responsabile della performance
- La data in cui effettuare le valutazioni in merito alle performance
- Il responsabile del monitoraggio
- L’indicazione in merito all’effettivo compimento delle azioni di monitoraggio
