La Cybersecurity secondo lo standard ISO 27032

La “Cybesecurity”, parola a volte impropriamente utilizzata, costituisce ormai una tematica di business che interessa Organizzazioni di ogni settore e dimensione le quali devono indirizzare i relativi rischi mediante l’adozione di opportuni controlli operativi. 

 Lo standard ISO/IEC 27032:2012 “Information technology — Security techniques — Guidelines for cybersecurity” fornisce un utile riferimento sotto forma di linee guida per indirizzare la sicurezza nel “Cyberspazio”, dove per “Cyberspazio” si intende il complesso ambiente risultante dall’interazione di persone, software e servizi su internet mediante l’utilizzo di dispositivi tecnologici e connessioni di rete, ambiente che non esiste in forma fisica. La “Cybersecurity” è quindi intesa come la preservazione degli obiettivi di integrità, disponibilità e riservatezza delle informazioni trattate nel “cyberspazio”.

 La definizione di “Cybersecurity” fornita dallo standard ISO27032 è perfettamente allineata alla definizione di Sicurezza delle Informazioni ripresa sia dallo standard ISO 27001 sistemi di gestione per la sicurezza delle informazioni (lo standard ISO 27032 appartiene alla famiglia della serie ISO 27000), sia dal GDPR in materia di “privacy” (i dati personali sono una particolare categoria di informazioni).  

La “Cybersecurity” può quindi essere correttamente intesa come quel sottoinsieme della più generale tematica della sicurezza delle informazioni che indirizza specificatamente aspetti di sicurezza IT (IT Security) quali ad esempio minacce provenienti da attacchi di social engineering, hacking, malware, spyware, etc. (mentre la sicurezza delle informazioni comprende anche la sicurezza degli aspetti  fisico ambientale e degli aspetti organizzativi e delle risorse umane).  

In particolare rientrano nel dominio della “Cybersecurity” aspetti quali l’Application Security, il Network Security, l’Internet Security. L’Application Security può essere intesa come quell’insieme di processi di monitoraggio e controllo operativo dei rischi rivolti alle applicazioni SW utilizzate da un’Organizzazione. Tali monitoraggi e controlli operativi possono riguardare il software in sé, i dati e l’infrastruttura IT che la supporta. Il Network Security riguarda la progettazione, l’implementazione e l’operatività delle reti al fine di perseguire obiettivi di sicurezza sia all’interno dell’Organizzazione sia tra questa ed altre Organizzazioni. L’Internet Security riguarda la protezione dei Servizi Internet e della correlata infrastruttura IT e Servizi di Rete. Può essere vista come un’estensione della Network Security dove assume particolare rilevanza anche il perseguimento di obiettivi di disponibilità e continuità del Servizio. 

Non fanno invece strettamente parte della tematica della Cybersecurity ma sono ad esse correlate tematiche quali la Critical Information Infrastructure Protection (CIIP), che riguarda la protezione e la resilienza di quei sistemi e delle relative infrastrutture IT che supportano l’erogazione di servizi critici (ad es. servizi pubblici, telecomunicazioni, etc.), il Cybercrime, che riguarda attività criminali dove servizi e applicazioni nel Cyberspazio sono o il target di un crimine o lo strumento per realizzarlo e la Cybersafety che riguarda la protezione contro le conseguenze (fisiche, sociali, psicologiche, economiche, politiche, etc.) di eventi o incidenti che hanno luogo nel Cyberspazio. Rientra in questo contesto anche il sempre più attuale scenario di Cyberwar. 

Minerva Group Service dispone di un team multidisciplinare di esperti qualificati in grado di supportare la vostra Organizzazione nella valutazione e nel controllo operativo dei rischi di Cybersecurity.

A cura di

Andrea Leonardi, esperto di Sistemi di Gestione ISO27001 (Minerva Group Service) e Claudio Zanolin, esperto di IT Security (Simplebit Gmbh società partner di Minerva Group Service)

Seguimi su

Linkedin

Twitter

Segui la pagina aziendale di Minerva Group Service su

Linkedin

Twitter