{"id":91242,"date":"2020-08-10T13:42:09","date_gmt":"2020-08-10T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya"},"modified":"2020-08-10T13:42:09","modified_gmt":"2020-08-10T11:42:09","slug":"5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","title":{"rendered":"5 fasi dell'inevitabilit\u00e0 nell'accettazione della certificazione ISO\/IEC 27001. Depressione.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La quarta fase della reazione emotiva ai cambiamenti \u00e8 la depressione. In questo articolo parleremo della nostra esperienza nell'affrontare la fase pi\u00f9 lunga e spiacevole: i cambiamenti nei processi aziendali mirati a raggiungere la conformit\u00e0 alla norma ISO 27001.<\/p>\n

\"5
\n<\/p>\n

Aspettativa<\/b><\/h2>\n

\nLa prima domanda che ci siamo posti dopo aver scelto l'organismo di certificazione e il consulente \u00e8 stata: quanto tempo ci vorr\u00e0 realmente per tutte le modifiche necessarie?<\/p>\n

Il piano iniziale dei lavori era stato redatto in modo da dover completare tutto in 3 mesi.<\/p>\n

\"5
\n
\n<\/a><\/noindex>Tutto sembrava semplice: dovevamo scrivere un paio di dozzine di politiche e modificare leggermente i nostri processi interni; poi formare i colleghi sui cambiamenti e aspettare altri 3 mesi (per avere delle \"registrazioni\", ovvero prove del funzionamento delle politiche). Sembrava che fosse tutto \u2013 e il certificato fosse gi\u00e0 nostro.<\/p>\n

Inoltre, non avevamo intenzione di scrivere le politiche da zero \u2013 avevamo un consulente che, come pensavamo, avrebbe dovuto fornirci tutti i modelli \"giusti\".<\/p><\/blockquote>\n

Di conseguenza, abbiamo pianificato di dedicare 3 giorni alla preparazione di ciascuna politica. <\/p>\n

Le modifiche tecniche non sembravano cos\u00ec intimidatorie: era necessario configurare la raccolta e lo stoccaggio degli eventi, verificare che i backup fossero conformi alla politica che avevamo redatto, dotare di ulteriori attrezzature, dove necessario, le stanze di controllo e fare un po' di altre piccole cose.
\nIl team incaricato di preparare tutto il necessario per la certificazione era composto da due persone. Avevamo pianificato che si sarebbero occupati dell'implementazione parallelamente alle loro responsabilit\u00e0 principali, e ciascuno di loro avrebbe dedicato al massimo 1,5-2 ore al giorno.
\nIn sintesi, si pu\u00f2 dire che il nostro approccio riguardo al carico di lavoro previsto era piuttosto ottimistico. <\/p>\n

Realt\u00e0<\/b><\/h2>\n

\nIn realt\u00e0, le cose erano naturalmente molto diverse: i modelli di politiche forniti dal consulente si sono rivelati per la maggior parte inapplicabili alla nostra azienda; online c'era quasi nessuna informazione chiara su cosa e come fare. Come potete immaginare, il piano di \"scrivere una politica in 3 giorni\" \u00e8 andato in frantumi. Cos\u00ec, abbiamo smesso di rispettare le scadenze praticamente dall'inizio del progetto, e il morale ha cominciato a calare lentamente. <\/p>\n

\"5
\n
\nL'esperienza del team era tragicamente insufficiente \u2013 tanto da non riuscire nemmeno a porre le domande giuste al consulente (che, tra l'altro, non mostrava molta iniziativa). Il processo si stava muovendo ancora pi\u00f9 lentamente, poich\u00e9 tre mesi dopo l'inizio dell'implementazione (ossia nel momento in cui tutto avrebbe dovuto essere gi\u00e0 pronto), uno dei due membri chiave del team aveva lasciato. Un nuovo responsabile del servizio IT si era unito per terminare rapidamente il processo di implementazione e garantire che il sistema di gestione della sicurezza delle informazioni avesse tutto il necessario dal punto di vista tecnico. Il compito sembrava complesso\u2026 I responsabili cominciarono a cadere in depressione.<\/p>\n

Inoltre, anche l'aspetto tecnico presentava \"nuances\". Ci trovammo di fronte alla necessit\u00e0 di una modernizzazione globale del software sia sui posti di lavoro che sull'hardware del server. Durante la configurazione del sistema per la raccolta degli eventi (log), scoprimmo che ci mancavano le risorse hardware per il normale funzionamento del sistema. Anche il software per il backup necessitava di una modernizzazione.<\/p>\n

Spoiler: Alla fine, il SMIB \u00e8 stato eroicamente implementato in 6 mesi. E nessuno \u00e8 morto! <\/p><\/blockquote>\n

<\/p>\n

Cosa \u00e8 cambiato di pi\u00f9?<\/b><\/h2>\n

\nSenza dubbio, nel processo di implementazione dello standard, ci sono state molte piccole modifiche nelle procedure aziendali. Per voi, abbiamo evidenziato i cambiamenti pi\u00f9 significativi:<\/p>\n