ISO 27001 rispetto a ISO 27002
Poiché ISO 27000 è una serie di standard che sono stati avviati da ISO per garantire la sicurezza all'interno delle organizzazioni in tutto il mondo, vale la pena conoscere la differenza tra ISO 27001 e ISO 27002, due degli standard della serie ISO 27000. Questi standard sono stati avviati a beneficio delle organizzazioni e anche per fornire un servizio di qualità ai clienti. Questo articolo analizza le differenze tra ISO 27001 e ISO 27002.
Cos'è la ISO 27001?
Lo standard ISO 27001 è quello di garantire la sicurezza delle informazioni e la protezione dei dati nelle organizzazioni di tutto il mondo. Questo standard è così importante per le organizzazioni aziendali nella salvaguardia dei propri clienti e delle informazioni riservate dell'organizzazione dalle minacce. L'implementazione del sistema di gestione della sicurezza delle informazioni garantirebbe la qualità, la sicurezza, il servizio e l'affidabilità del prodotto dell'organizzazione che può essere salvaguardata al massimo livello.
L'obiettivo principale dello standard è fornire i requisiti per stabilire, implementare, mantenere e migliorare continuamente un sistema di gestione della sicurezza delle informazioni (ISMS). Nella maggior parte delle aziende, le decisioni di adottare questo tipo di standard sono prese dal top management. Inoltre, il requisito di avere questo tipo di sistema di sicurezza delle informazioni per l'organizzazione nasce a causa di vari fattori come obiettivi e obiettivi organizzativi, requisiti di sicurezza, dimensioni e struttura dell'organizzazione, ecc.
Nella versione precedente dello standard nel 2005, è stato sviluppato sulla base del ciclo PDCA, modello Plan-Do-Check-Act per strutturare i processi e che era in modo da riflettere i principi stabiliti dalle linee guida OECG. La nuova versione del 2013 enfatizza la misurazione e la valutazione dell'efficacia delle prestazioni organizzative nell'ISMS. Ha anche incluso una sezione basata sull'outsourcing e una maggiore concentrazione è data alla sicurezza delle informazioni nelle organizzazioni.
Cos'è l'ISO 27002?
Lo standard ISO 27002 è stato inizialmente originato come standard ISO 17799 che si basa sul codice di condotta per la sicurezza delle informazioni. Evidenzia vari meccanismi di controllo della sicurezza per le organizzazioni con la guida della ISO 27001.
Lo standard è stato stabilito sulla base di varie linee guida e principi per avviare, implementare, migliorare e mantenere la gestione della sicurezza delle informazioni all'interno di un'organizzazione. I controlli effettivi nello standard affrontano requisiti specifici attraverso una valutazione formale del rischio. Lo standard consiste in linee guida specifiche per gli sviluppi degli standard di sicurezza organizzativa e di pratiche di gestione della sicurezza efficaci che sarebbero utili per creare fiducia nelle attività interorganizzative.
La versione esistente dello standard è stata pubblicata nel 2013 come ISO 27002: 2013 con 114 controlli. Il fattore più importante da notare è che nel corso degli anni sono state sviluppate o sono in fase di sviluppo diverse versioni specifiche del settore della ISO 27002 in campi come il settore sanitario, la produzione, ecc.
Qual è la differenza tra ISO 27001 e ISO 27002?
• Lo standard ISO 27001 esprime i requisiti per la gestione della sicurezza delle informazioni nelle organizzazioni e lo standard ISO 27002 fornisce supporto e guida a coloro che sono responsabili dell'avvio, dell'implementazione o della manutenzione dei sistemi di gestione della sicurezza delle informazioni (ISMS).
• ISO 27001 è uno standard di audit basato su requisiti verificabili, mentre ISO 27002 è una guida all'implementazione basata sui suggerimenti delle migliori pratiche.
• ISO 27001 include un elenco di controlli di gestione per le organizzazioni mentre ISO 27002 ha un elenco di controlli operativi per le organizzazioni.
• ISO 27001 può essere utilizzato per verificare e certificare il sistema di gestione della sicurezza delle informazioni dell'organizzazione e ISO 27002 può essere utilizzato per valutare la completezza del programma di sicurezza delle informazioni di un'organizzazione.
Attribuzione dell'immagine: "CIAJMK1209" di John M. Kennedy T. (CC BY-SA 3.0)
