{"id":91242,"date":"2020-08-10T13:42:09","date_gmt":"2020-08-10T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya"},"modified":"2020-08-10T13:42:09","modified_gmt":"2020-08-10T11:42:09","slug":"5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","title":{"rendered":"5 fasi dell'inevitabilit\u00e0 nell'accettazione della certificazione ISO\/IEC 27001. Depressione","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La quarta fase della risposta emotiva ai cambiamenti \u00e8 la depressione. In questo articolo vi parleremo della nostra esperienza nel superare la fase pi\u00f9 lunga e scomoda: i cambiamenti nei processi aziendali per raggiungere la loro conformit\u00e0 allo standard ISO 27001.<\/p>\n

\"5
\n<\/p>\n

Attesa<\/b><\/h2>\n

\nLa prima domanda che ci siamo posti dopo aver scelto l'organismo di certificazione e il consulente \u00e8 stata: quanto tempo avremo realmente bisogno per tutti i cambiamenti necessari?<\/p>\n

Il piano di lavoro iniziale prevedeva che dovessimo completare il tutto entro 3 mesi.<\/p>\n

\"5
\n
\n<\/a><\/noindex>Tutto sembrava semplice: era necessario scrivere una ventina di politiche e apportare qualche cambiamento ai nostri processi interni; quindi, formare i colleghi sulle novit\u00e0 e aspettare ancora 3 mesi (affinch\u00e9 ci fossero 'registrazioni', ovvero prove del funzionamento delle politiche). Sembrava che tutto finisse l\u00ec \u2013 e il certificato sarebbe stato nostro.<\/p>\n

Inoltre, non avevamo intenzione di scrivere le politiche da zero \u2013 avevamo un consulente che, come pensavamo, doveva fornirci tutti i 'giusti' modelli.<\/p><\/blockquote>\n

A seguito di queste considerazioni, abbiamo previsto 3 giorni di preparazione per ogni politica. <\/p>\n

Le modifiche tecniche non sembravano nemmeno spaventose: era necessario configurare la raccolta e la conservazione degli eventi, verificare se i backup fossero in linea con le politiche che avevamo scritto, attrezzare, dove necessario, le stanze con il sistema SKUD e un po' di altro materiale vario.
\nIl team incaricato di preparare tutto il necessario per la certificazione era composto da due persone. Avevamo pianificato che si sarebbero occupati dell'implementazione parallelamente alle loro principali responsabilit\u00e0, e che ciascuno di loro avrebbe impiegato al massimo 1,5-2 ore al giorno.
\nIn sintesi, si pu\u00f2 dire che la nostra percezione del carico di lavoro futuro era piuttosto ottimistica. <\/p>\n

Realt\u00e0<\/b><\/h2>\n

\nIn realt\u00e0, naturalmente, le cose erano molto diverse: i modelli di politica forniti dal consulente si sono rivelati per lo pi\u00f9 inapplicabili alla nostra azienda; su Internet c'era quasi nessuna informazione chiara riguardo a cosa e come dovesse essere fatto. Come potrete capire, il piano di 'scrivere una politica in 3 giorni' \u00e8 fallito miseramente. Cos\u00ec, siamo cominciati a sforare i tempi praticamente fin dall'inizio del progetto, e il tono dell'umore ha cominciato a calare lentamente. <\/p>\n

\"5
\n
\nIl team aveva un numero catastroficamente ridotto di esperti, tanto che mancava persino la capacit\u00e0 di porre le giuste domande al consulente (che, a dire il vero, non mostrava molto spirito d'iniziativa). La situazione \u00e8 diventata ancora pi\u00f9 stagnante, poich\u00e9 tre mesi dopo l'inizio dell'implementazione (cio\u00e8 nel momento in cui tutto doveva gi\u00e0 essere pronto), uno dei due partecipanti chiave ha lasciato il team. Un nuovo responsabile del servizio IT \u00e8 subentrato, il quale doveva completare rapidamente il processo di implementazione e fornire al sistema di gestione della sicurezza delle informazioni tutto il necessario dal punto di vista tecnico. Il compito sembrava complesso\u2026 I responsabili hanno cominciato a cadere in depressione.<\/p>\n

Inoltre, anche l'aspetto tecnico della questione si \u00e8 rivelato pieno di 'sfide'. Ci siamo trovati davanti alla necessit\u00e0 di una modernizzazione globale del software sia per le postazioni di lavoro che per le attrezzature server. Durante la configurazione del sistema per la raccolta degli eventi (log), si \u00e8 scoperto che ci mancavano risorse hardware per il corretto funzionamento del sistema. Anche il software per il backup necessitava di una modernizzazione.<\/p>\n

Spoiler: Alla fine, il sistema di gestione delle informazioni di sicurezza \u00e8 stato eroicamente implementato in sei mesi. E nessuno \u00e8 morto! <\/p><\/blockquote>\n

<\/p>\n

Cosa \u00e8 cambiato di pi\u00f9?<\/b><\/h2>\n

\nCertamente, durante l'implementazione dello standard nei processi aziendali si sono verificati un gran numero di piccoli cambiamenti. Abbiamo evidenziato per voi i cambiamenti pi\u00f9 significativi:<\/p>\n