Che cosa contengono i file
- il campo di applicazione dell'SGSI, con i fattori interni ed esterni, la domanda sul cambiamento climatico dell'emendamento 1:2024, le parti interessate e i loro requisiti, le sedi, ciò che resta escluso e le interfacce (punti da 4.1 a 4.3);
- la politica per la sicurezza delle informazioni con gli impegni dell'alta direzione, i ruoli e le Sue politiche specifiche per argomento (5.2);
- la valutazione dei rischi: il metodo, le scale da 1 a 5, la Sua soglia di accettazione e il registro con verosimiglianza × impatto calcolato per ogni rischio (6.1.2);
- il piano di trattamento dei rischi con l'opzione, i controlli dell'appendice A, l'azione, il responsabile e la scadenza, e una colonna per l'approvazione di ogni responsabile del rischio (6.1.3);
- la dichiarazione di applicabilità: tutti i 93 controlli dell'appendice A, inclusi o esclusi, la giustificazione (i rischi trattati da un controllo vengono inseriti per Lei) e lo stato di attuazione (6.1.3 d), anche come file CSV per un foglio di calcolo;
- gli obiettivi per la sicurezza delle informazioni con indicatore, risorse, responsabile e scadenza (6.2), e un file da leggere per primo con ciò che la norma richiede oltre a questi file.
I controlli del kit
Un livello di rischio viene calcolato solo da valutazioni intere da 1 a 5; il resto è segnato da completare. Un numero di controllo che non è nell'appendice A viene mostrato come rifiutato, mai indovinato. Un controllo che Lei esclude mentre uno dei Suoi rischi vi si appoggia viene segnalato nel modulo e nella dichiarazione di applicabilità. Nulla resta vuoto senza avviso: ogni lacuna riporta DA COMPLETARE o la stessa indicazione nella lingua del documento.
ISO 27001 e NIS2
La direttiva NIS2 (UE) 2022/2555 non richiede la certificazione ISO/IEC 27001. Il suo articolo 21 impone ai soggetti essenziali e importanti misure di gestione dei rischi che tengano conto, se del caso, delle pertinenti norme europee e internazionali, e l'articolo 25 chiede agli Stati membri di incoraggiarne l'uso. Una valutazione dei rischi, una politica e una dichiarazione di applicabilità sono un modo comune per mostrare come sono state scelte quelle misure. Come il kit collega le sue politiche a SOC 2 e all'articolo 21: politiche SOC 2 e NIS2.
Che cosa il kit non fa
Non contiene il testo della norma: i nomi dei controlli sono parole nostre, e per leggere i requisiti Le serve una copia della ISO/IEC 27001. Non scrive le procedure dietro ogni controllo, non svolge l'audit interno né il riesame di direzione e non certifica nulla: solo un audit di un organismo di certificazione accreditato porta a un certificato. I documenti sono in italiano, inglese, tedesco, spagnolo, francese e polacco.
Nulla di ciò che inserisce lascia il Suo browser; i file vengono creati sul Suo dispositivo. Modelli, non consulenza legale.