Sistema di Gestione per la Sicurezza delle Informazioni
- Introduzione
- Il processo di gestione della sicurezza
- La documentazione sulle politiche di sicurezza
- Implementazione del sistema
Il progetto dell'infrastruttura di un Sistema Informatico deve essere condotto ponendo il massimo dell'attenzione sull'affidabilità e sulla robustezza del sistema ma in particolare l'aspetto della sicurezza deve essere curato basandosi sulle tecnologie più attuali e nel rispetto delle indicazioni degli organismi di competenza e della normativa vigente.
Per quanto riguarda gli aspetti generali, dal punto di vista normativo e delle direttive erogate dagli organismi competenti, si può fare riferimento a documenti rilasciati dal CNIPA, quali il documento di riferimento per la sicurezza ICT nella pubblica amministrazione, dal titolo "Linee guida per la sicurezza ICT delle pubbliche amministrazioni", rilasciato nel marzo 2006, che mira a definire un modello organizzativo nazionale di sicurezza ICT per la PA o, più in particolare, a direttive quali la D.P.C.M del 16 gennaio 2002 dal titolo "Sicurezza Informatica e delle Telecomunicazioni nelle pubbliche amministrazioni statali", che individua alcune azioni prioritarie per raggiungere una base minima di sicurezza, proponendone un modello per la gestione, fornendo checklist che aiutano a valutare lo stato di sicurezza dell'infrastruttura. Tale documentazione, dedicata alla PA, può comunque essere punto di riferimento per attività similari in altri settori.
A seconda del campo di interesse, può essere necessario implementare un sistema che rispetti la normativa vigente in materia di privacy, regolamentata dal D.Lgs. n. 196 del 30 giugno 2003 "Codice in materia di protezione dei dati personali" e risulti conforme a gli sviluppi della normativa europea sulla data retention, recepita in Italia con il D.Lgs. n. 109 del 30 maggio 2008.
La gestione della sicurezza, intesa come processo atto a controllarne gli aspetti organizzativi, tecnici e implementativi, è un elemento fondamentale per assicurare un livello adeguato di protezione ai sistemi ICT e alle informazioni e per questo motivo nel seguito viene descritto il processo proposto per un sistema per la gestione della sicurezza informatica, ispirato allo standard britannico BS 7799, recepito dall'ISO come 17799, che verrà eventualmente implementato nel rispetto della normativa precedentemente indicata.
Un elemento centrale per la gestione della sicurezza è l'analisi del rischio sulle risorse, esplicitamente richiesto dal D. Lgs. 196 del 2003 per le informazioni soggette a privacy, che può essere condotto, in accordo con il documento di riferimento per la sicurezza ICT di marzo del 2006 precedentemente citato, seguendo le indicazioni fornite dal D.P.C.M. 16 gennaio 2002 o, nei casi che lo richiedano, con metodologie più accurate quali, ad esempio, quella individuata proprio dall'ISO 17799.
Eccetto dove diversamente specificato,
i contenuti di questo sito sono rilasciati sotto Licenza Creative
Commons Attribuzione 2.5