Archivi categoria: Senza categoria

Come migliorare i risultati dell’audit ISO: 5 passi

Come migliorare i risultati dell’audit ISO: 5 passi

1.  Consapevolezza dei fattori chiave

Tutti devono conoscere questi 5 fattori chiave del vostro sistema di gestione. Siate preparati.
* Dichiarazione politica.
* Obiettivi del sistema.
* Perché il sistema è importante.
* Come accedere ai documenti del sistema.
* Come avviare il processo di azione correttiva.

Istruire e riqualificare regolarmente tutti in questi 5 Fattori Chiave. Rendere questa formazione breve e frequente. Utilizzare supporti visivi come biglietti da visita, poster, manifesti, banner, ecc.

2.  Responsabilità della direzione
Assicuratevi che il top management possa rispondere fluentemente alle domande della sezione Responsabilità di gestione di qualsiasi standard per il quale state per essere sottoposti ad audit. Questo include argomenti come:
* Dimostrazione della responsabilità per l’efficacia del sistema
* Integrazione del sistema nei processi aziendali
* Approccio al processo
* Pensiero basato sul rischio

3. Audit interno ISO
* Assicuratevi che il vostro programma di audit sia aggiornato.
* Assicuratevi che i vostri auditor interni ISO abbiano ricevuto una buona e solida formazione.
* Documentare il vostro programma di audit, impostando le frequenze minime richieste per ogni tipo di audit (processi fondamentali e processi di supporto).
* Completare tutti gli audit richiesti dal programma di audit ISO e verificare il sistema completo almeno una volta all’anno.
* Assicuratevi che gli auditor controllino fino al livello del processo, non solo i requisiti della ISO 9001 o dello standard pertinente.
* Controllate internamente il vostro processo di audit interno, utilizzando un auditor qualificato che non sia coinvolto nel processo di audit interno dell’ISO.

4. Pulizia
* Controllare l’intera struttura con riferimento alle vecchie procedure del sistema ISO e le istruzioni che sono state registrate su pareti e bacheche anni fa e che tutti hanno smesso di vedere.
* Pulire l’azienda e gli uffici. La pulizia e la buona organizzazione migliora i processi, stimola il morale, aumenta l’immagine non solo per gli auditor, ma anche per i visitatori, i clienti, i fornitori e simili.

5. Azione correttiva
* Definire molt azioni correttive nel vostro sistema, aperto e chiuso.
* Incoraggiare i dipendenti a tutti i livelli a presentare azioni correttive, soprattutto per reclami dei clienti, prodotti ripetitivi non conformi e simili.

La nuova norma ISO 27701

Lo standard ISO/IEC 27701: 2019 specifica i requisiti e fornisce una guida per stabilire, implementare, mantenere e migliorare continuamente un PIMS (Privacy Information Management System o sistema di gestione delle informazioni sulla privacy) attraverso un set di requisiti, obiettivi di controllo e controlli che integrano ed estendono quanto definito nello standard ISO/IEC 27001: 2013 per la gestione della sicurezza delle informazioni.

iso27001

Le organizzazioni che hanno già implementato un ISMS (Information Security Management System) secondo la ISO/IEC 27001 saranno in grado di utilizzare la ISO/IEC 27701 per estendere la copertura dell’information security alla gestione della privacy, comprendendo anche i trattamenti di dati personali (PII – Personally Identifiable Information ), in modo da poter dimostrare la conformità con le legislazioni cogenti in materia di protezione dei dati personali come il GDPR.

Struttura della norma

La normativa è strutturata con una parte introduttiva nella quale si ribadiscono obiettivi e campo di applicazione, le altre normative di riferimento, la terminologia. Viene inoltre dettagliata la correlazione con la ISO/IEC 27001 ed ISO/IEC 27002 nella versione 2013. Ciò perché la ISO/IEC 27701 di fatto costituisce un’estensione delle normative appena citate e deve essere applicata in modo congiunto ad esse.

Nella sezione 3 “Terms, definitions and abbreviations” si fa esplicito riferimento alle definizioni di titolare del trattamento (in inglese controller) e di Privacy Information Management System, proprio a sottolineare la focalizzazione del documento sul tema privacy e protezione dei dati personali.

I paragrafi da 5 a 8 riportano le cosiddette “clausole”, cioè i requisiti che devono essere soddisfatti per garantire la conformità alla normativa. In particolare:

Paragrafo (o clausola) 5: fornisce i requisiti sul PIMS e altre informazioni derivanti dalla ISO/IEC 27001 che devono essere adottate da organizzazioni che vogliano configurarsi come Titolare o Responsabile del trattamento. In particolare, ciascun requisito ISO/IEC 27001 viene ulteriormente dettagliato in sotto-clausole specifiche per il PIMS;
Paragrafo (o clausola) 6: fornisce una guida specifica per PIMS e altre informazioni relative ai controlli di sicurezza delle informazioni ISO / IEC 27002 per un’organizzazione che agisca come Titolare o Responsabile del Trattamento;
Paragrafi (o clausole) 7 ed 8: forniscono una guida aggiuntiva, rispetto ad ISO/IEC 27002 rispettivamente per i titolari e per i responsabili del trattamento.
Sono inoltre presenti 6 allegati (in inglese Annex) che riportano sia controlli (cioè misure tecnico/organizzative di mitigazione del rischio privacy), sia riferimenti alle altre normative ISO/IEC vigenti. Nel dettaglio:

Annex A: analogamente alla ISO/IEC 27001 questo allegato riporta i controlli che devono essere implementati in un PIMS da un’organizzazione che si configuri come Titolare del Trattamento (indipendentemente dal fatto che impieghi un Responsabile del Trattamento o che si configuri anche come con-Titolare);
Annex B: riporta i controlli che devono essere implementati in un PIMS da un’organizzazione che si configuri come Responsabile del Trattamento (indipendentemente dal fatto che si avvalga di sub-responsabili);
Annex C: riporta la mappatura rispetto alla normativa ISO/IEC 29100 Information Technology – Privacy Techniques – Privacy Framework;
Annex D: allegato estremamente interessante che riporta il mapping delle clausole ISO/IEC 27701 rispetto agli adempimenti ed ai concetti chiave del GDPR;
Annex E: contiene la mappatura rispetto alle normative ISO/IEC 27018 Information Technology – Security Techniques – Code of Practice for Protection of Personally Identifiable Information (PII) in public clouds acting as PII ed alla ISO/IEC 29151 Information Technology – Security Techniques – Code of Practice for Personally Identifiable Information Protection;
Annex F: descrive ulteriori modalità per applicare la ISO/IEC 27001 ed ISO/IEC 27002 all’ambito privacy laddove vengano trattati dati personali.
Di estremo interesse l’allegato D che riporta nel dettaglio la corrispondenza tra le clausole ISO/IEC 27701 e gli articoli del GDPR. Come già evidenziato nella parte iniziale del presente articolo, questo rappresenta uno strumento potentissimo per l’implementazione del principio di accountability e, allo stesso tempo, uno schema per l’audit e la certificazione dei trattamenti secondo quanto previsto dal Regolamento.

Fonte: cybersecurity360.it

Audit e certificazione di sistemi di gestione ambientale: pubblicata una nuova norma.

immagine_kit

Per svolgere al meglio l’attività di audit è necessario “seguire” dei requisiti fondamentali; requisiti che si differenziano e/o si adattano alla situazione da valutare. La normazione è particolarmente attenta in quest’ambito infatti è grazie alla commissione Valutazione della conformità che è stata da poco recepita la norma EN ISO/IEC 17021-2.

Questo documento definisce i requisiti di conoscenza aggiuntivi per il personale coinvolto nei processi di audit e di certificazione di sistemi di gestione ambientale – EMS – Environmental Management Systems – ed integra gli attuali requisiti della ISO/IEC 17021-1.

Gli organismi di certificazione sono responsabili verso le parti interessate, compresi i loro clienti ed i clienti delle organizzazioni i cui sistemi di gestione sono certificati, di assicurare che solo quegli auditor che dimostrano una competenza adeguata siano abilitati alla conduzione di audit di sistemi di gestione ambientale (EMS – Environmental Management System). Tutti gli auditor di EMS dovrebbero possedere le competenze generali descritte nella ISO/IEC 17021-1, così come le conoscenze specifiche relative ai EMS descritte nel presente documento.

Inoltre, gli organismi di certificazione sono chiamati ad identificare la competenza specifica del gruppo di audit richiesta dal campo di applicazione di ciascun audit di EMS. La selezione di un gruppo di audit di EMS è funzione di vari fattori, compresi l’area tecnica del EMS medesimo, il contesto dell’organizzazione, i relativi aspetti ambientali e il sito correlato a tali aspetti.

Sono inoltre descritti i requisiti di competenza per l’altro personale coinvolto nelle attività di certificazione.

Nel presente documento sono utilizzate le seguenti forme verbali:

“deve” indica un requisito;
“dovrebbe” indica una raccomandazione;
“può” indica un permesso (may), una possibilità o capacità (can).
All’interno della norma è citata la ISO/IEC 17021-1 Conformity assessment – Requirements for bodies providing audit and certification of management systems – Part 1: Requirements come riferimento normativo.

Per valutazione della conformità s’intende la “dimostrazione che requisiti specificati relativi ad un prodotto, processo, sistema, persona od organismo, sono soddisfatti”.

Fornitura arredi, l’Iso 14001 aiuta a vincere

logo

La tutela dell’ambiente può far vincere una gara pubblica all’impresa produttrice che abbia una certificazione Iso 14001 (standard di gestione ambientale). Lo sottolinea il Consiglio di Stato, nella sentenza 11 marzo 2019 n. 1635, relativa a una fornitura di arredi ospedalieri all’ azienda regionale centrale acquisti della Lombardia.

Nel caso specifico, il bando di gara prevedeva un punteggio ad hoc per prodotti che presentassero un «minore impatto sulla salute e sull’ambiente» (articolo 95 comma 13 del Testo unico appalti 50/2016) e un’impresa aveva offerto beni (letti ospedalieri) prodotti con basso impatto ambientale da una propria società controllata.

La certificazione ambientale Iso 14.001, utile per ottenere tale punteggio, era tuttavia posseduta solo dall’impresa controllata, produttrice dei beni, e non dall’impresa controllante, l’unica che aveva partecipato alla gara offrendo i beni prodotti dalla società controllata.

Secondo i giudici amministrativi, il punteggio premiale spetta alla specifica impresa che fabbrichi i prodotti con certificazione ambientale Iso 14001 (ad esempio, con processi privi di esalazioni nocive o vernici tossiche), senza che ne possa beneficiare l’impresa che commercializzi, come società controllante, i prodotti della società controllata.

Fonte: Il Sole 24 Ore

Scarica la sentenza

La valutazione dei rischi quando si implementa un SGSI ISO 27001

iso27001

Una valutazione dei rischi ISO 27001 prevede cinque passaggi importanti:
1. definire una struttura di valutazione dei rischi;
2. identificare i rischi;
3. analizzare i rischi;
4. valutare i rischi;
5. scegliere le opzioni di gestione dei rischi.
La struttura di valutazione dei rischi è una parte critica del processo, che comporta anche la scelta della/e persona/e responsabili della valutazione. In assenza di persone in grado di effettuare le valutazioni, l’intero programma viene meno.
È inoltre necessario definire i criteri di accettazione dei rischi, cioè comprenderne l’impatto sull’organizzazione e le probabilità che si presentino effettivamente. Determinare l’impatto e la probabilità di un rischio dato consente di determinarne la reale gravità. Spesso i responsabili della gestione dei rischi presentano questa semplice matrice:
Probabilità
È possibile utilizzare i risultati di questa analisi per decidere come reagire ai rischi.
A tal fine è necessario considerare quattro tipi di reazione:
1. tollerare il rischio;
2. gestirlo mediante controlli;
3. eliminarlo evitandolo completamente;
4. trasferirlo, mediante un’assicurazione o un accordo con altre parti.

 

Realizzare un SGSI secondo la ISO 27001 – La struttura di gestione

iso27001

La ISO 27001 nelle clausole 4 e 5, prevede che un’organizzazione definisca il contesto dell’SGSI (Sistema di gestione sicurezza informazioni)  ed i ruoli della leadership dell’organizzazione.

Il contesto dell’organizzazione relativamente alla sicurezza delle informazioni deve, di fatto, identificare l’insieme di interessi che è necessario considerare. L’organizzazione ha interesse nella sicurezza delle informazioni, come pure i clienti, i partner, le autorità legali e normative ecc. Punto di partenza è l’esame di tali interessi con il registro dei rischi.

Una parte di questa attività comporterà identificare l’ambito dell’SGSI, che dipende dal contesto. L’ambito dovrà anche considerare i dispositivi mobili e dei tele-lavoratori (il perimetro dell’organizzazione potrebbe essere mobile e potrebbe includere anche dispositivi di proprietà dei dipendenti).
La struttura di gestione deve anche impostare le attività preliminari all’implementazione; conseguentemente sarà necessario formalizzare alcune misure significative:
• la politica per la sicurezza delle informazioni;
• l’esistenza di risorse adeguate al raggiungimento degli obiettivi;
• la definizione di strategie e/o politiche di comunicazione (sia interna che esterna);
• l’identificazione dei requisiti di competenza.
La struttura di gestione, essenzialmente, comprende tutti i fattori che definiscono i parametri del progetto.

La struttura documentale di un SGSI ISO 27001

 

Un sistema di gestione sicurezza informazioni basato sulla norma ISO 27001, deve basarsi su una struttura documentale a 4 livelli:
• Politiche di primo piano, che definiscono la posizione e le esigenze dell’organizzazione.
• Procedure di attuazione delle specifiche.
• Istruzioni operative dettagliate per il personale incaricato dell’attuazione di elementi delle procedure.
• Registrazioni di tracciamento delle procedure e istruzioni operative, che confermino che sono state seguite correttamente e coerentemente.

Collana_foto

Questa struttura è semplice quanto basta perché tutti la comprendano facilmente, fornendo al tempo stesso un modo efficace di assicurare l’attuazione delle procedure a tutti i livelli dell’organizzazione.
E’ sufficiente definire due principi:
1. controllare la documentazione per assicurarsi che le versioni più recenti siano approvate e identificabili;
2. fornire documentazione adeguata e non eccessiva, che consenta processi sistematicamente comunicati, compresi, eseguiti ed efficaci.