# ISMS: persone, processi e tecnologia sono elementi imprescindibili > L'articolo di SwissGRC spiega che cos'è un sistema di gestione della sicurezza delle informazioni (ISMS), quali vantaggi offre e perché persone, processi e tecnologia sono decisivi, anche con le tecnologie emergenti. - URL: https://swissgrc.com/it/isms-people-processes-and-technology-are-crucial/ - Editore: SwissGRC® - Pubblicato: 2022-09-14 - Ultimo aggiornamento: 2022-09-14 ## Punti chiave - Un ISMS è l'insieme di processi e politiche con cui un'organizzazione definisce, gestisce, controlla, mantiene e migliora continuamente la sicurezza delle informazioni. - L'ISMS ha lo scopo di ridurre al minimo il rischio, garantire la continuità operativa e limitare in modo proattivo l'impatto delle violazioni della sicurezza. - Un ISMS protegge tutti i tipi di informazioni, inclusi dati digitali e cartacei, proprietà intellettuale, segreti industriali, dati su dispositivi e nel cloud e informazioni personali. - Secondo il rapporto esecutivo della RIMS, solo il 27% delle aziende intervistate tiene conto dei rischi emergenti nelle valutazioni del rischio. - Secondo lo stesso rapporto, solo il 34% delle aziende considera i rischi emergenti nella definizione della strategia aziendale. - Ostacoli frequenti nell'implementazione di un ISMS sono i controlli di sicurezza da applicare a sistemi obsoleti e a piattaforme non più supportate. L’implementazione di processi e politiche all’interno di un’organizzazione per definire, gestire, controllare, mantenere e migliorare continuamente la sicurezza delle informazioni è nota come sistema di gestione della sicurezza delle informazioni (ISMS). Nel mondo di oggi, l’interazione tra persone, processi e tecnologia è essenziale per l’attuazione della gestione del rischio in qualsiasi azienda. La gestione del rischio è un processo continuo di identificazione dei rischi legati alla sicurezza delle informazioni e di elaborazione di piani volti a mitigarli. Se l’ISMS mira a costruire una capacità completa di gestione della sicurezza delle informazioni, la trasformazione digitale delle organizzazioni richiede un costante miglioramento ed evoluzione delle politiche e dei controlli di sicurezza. L’ISMS ha lo scopo di ridurre al minimo il rischio e garantire la continuità operativa, limitando in modo proattivo l’impatto delle violazioni della sicurezza. L’ISMS ha inoltre lo scopo di integrare l’IT con la sicurezza aziendale e di consentire una gestione efficace della sicurezza delle informazioni per le diverse attività dell’impresa. Tuttavia, le best practice non sono sempre le più semplici da attuare e le organizzazioni si trovano spesso ad affrontare ostacoli significativi nell’implementazione di un ISMS, come l’applicazione di controlli di sicurezza a sistemi obsoleti e piattaforme non più supportate. Le organizzazioni operanti in settori fortemente regolamentati, come la sanità o la finanza, possono richiedere una gamma più ampia di misure di sicurezza e tecniche di mitigazione del rischio. ### I principali vantaggi dell'implementazione di un ISMS - Grazie all'approccio di valutazione e analisi del rischio proprio di un ISMS, le organizzazioni possono ridurre i costi legati all'aggiunta indiscriminata di livelli di tecnologie difensive che potrebbero rivelarsi inefficaci. - Un ISMS contribuisce a proteggere tutti i tipi di informazioni, inclusi i dati digitali e cartacei, la proprietà intellettuale, i segreti industriali, i dati sui dispositivi e nel cloud, i documenti cartacei e tutte le informazioni personali. - Adattandosi costantemente ai cambiamenti dell'ambiente esterno e dell'organizzazione stessa, un ISMS riduce la minaccia rappresentata da rischi in continua evoluzione. - Un ISMS protegge l'intera organizzazione dai rischi legati alla tecnologia e da altre minacce più generali, come dipendenti poco informati o processi inefficaci. ### Tecnologie emergenti e ISMS: le vulnerabilità della sicurezza delle informazioni derivano da interrelazioni sempre più complesse Il rapporto esecutivo pubblicato di recente dalla RIMS (Risk and Insurance Management Society, Inc.) offre spunti e indicazioni sull’integrazione dei rischi emergenti nel programma di gestione del rischio. L’integrazione dei cosiddetti «rischi emergenti» è necessaria per prevenire le minacce future. È significativo che solo il 27% delle aziende intervistate nel rapporto tenga conto dell’impatto dei rischi emergenti nelle proprie valutazioni del rischio. Solo il 34% considera i rischi emergenti nella definizione della propria strategia aziendale. Il cloud computing, l’Internet of Things (IoT), la blockchain, la Robotic Process Automation (RPA), il Machine Learning (ML) e l’intelligenza artificiale (AI) sono solo alcune delle tecnologie emergenti che stanno cambiando il modo in cui le persone vivono e lavorano oggi. Anche nuove forme di attacco, come il Ransomware-as-a-Service (RaaS), stanno evolvendo in risposta ai progressi tecnologici. Le imprese si stanno allontanando dalle infrastrutture IT on-premise a favore di tecnologie basate sul cloud e di fornitori di servizi condivisi, automatizzando e mettendo in rete le linee di produzione tramite l’Industrial Internet of Things (IIoT) e adottando sistemi di identificazione digitale di nuova generazione. I professionisti della sicurezza e i responsabili aziendali si trovano di fronte a numerose opportunità e difficoltà derivanti dalle tecnologie e dai sistemi digitali odierni. Le vulnerabilità della sicurezza delle informazioni diventano sempre più complesse man mano che il mondo diventa tecnologicamente sempre più interconnesso. Con la prevista diffusione capillare dell’Internet of Things (IoT) e la crescente dipendenza dalle tecnologie operative, è necessario sviluppare nuovi approcci alla sicurezza. L’adozione di nuove tecnologie rappresenta una via da percorrere e le tecnologie emergenti devono essere sfruttate a vantaggio delle imprese. Le organizzazioni non devono restare statiche per rimanere sicure, ma è fondamentale che chiunque tratti dati sensibili verifichi che i meccanismi di sicurezza esistenti siano adeguati ai rischi posti dalle tecnologie in evoluzione. Chiunque lavori con dati sensibili o tecnologie in evoluzione, non solo i professionisti IT, deve essere consapevole dei rischi e di come gestirli. In un ecosistema tecnologico sempre più complesso, i professionisti della sicurezza devono rafforzare la propria consapevolezza situazionale e tecnologica e collaborare strettamente con i responsabili aziendali per valutare attivamente come ridurre al minimo queste minacce in continua evoluzione. ## Domande frequenti ### Che cos'è un ISMS? Un ISMS è un sistema di gestione della sicurezza delle informazioni. Comprende processi e politiche per definire, gestire, controllare, mantenere e migliorare continuamente la sicurezza delle informazioni in un'organizzazione. ### Quali vantaggi offre l'implementazione di un ISMS? L'approccio di valutazione e analisi del rischio aiuta a ridurre i costi di livelli di tecnologie difensive aggiunti senza criterio. Un ISMS protegge inoltre tutti i tipi di informazioni e si adatta ai cambiamenti dell'ambiente esterno e dell'organizzazione. ### Quali difficoltà incontrano le organizzazioni nell'introdurre un ISMS? Le organizzazioni si trovano spesso ad applicare controlli di sicurezza a sistemi obsoleti e a piattaforme non più supportate. Nei settori fortemente regolamentati, come sanità e finanza, può servire una gamma più ampia di misure di sicurezza e di tecniche di mitigazione del rischio. ### Perché le tecnologie emergenti sono rilevanti per l'ISMS? Tecnologie come cloud computing, IoT, blockchain, RPA, Machine Learning e intelligenza artificiale rendono le vulnerabilità della sicurezza delle informazioni più complesse. Per questo le organizzazioni devono verificare che i meccanismi di sicurezza esistenti siano adeguati ai rischi di queste tecnologie. ### Chi deve occuparsi dei rischi per la sicurezza delle informazioni? Non solo i professionisti IT. Chiunque lavori con dati sensibili o tecnologie in evoluzione deve essere consapevole dei rischi e di come gestirli.