ISO 27001

Questa norma internazionale è stata preparata per fornire un modello per istituire, attuare, operare, monitorare, riesaminare, mantenere e migliorare un Sistema di Gestione per la Sicurezza delle Informazioni (SGSI).

Il principio fondamentale per garantire la conformità e l’efficacia del SGSI è il monitoraggio, revisione, evoluzione e miglioramento continui secondo il modello PDCA.  L’attuazione del modello PDCA rispecchierà anche i principi enunciati nelle Linee guida OCSE  che tratta la sicurezza dei sistemi e delle reti di informazione.

La norma specifica i requisiti per l’attuazione di controlli per la sicurezza personalizzati alle esigenze delle singole organizzazioni. La ISO 17799 fornisce una guida per l’attuazione (anche se non è l’unica possibile) da usare quando si progettano i controlli. Tutti i controlli previsti dalla ISO 17799 sono obbligatori (eventuali esclusioni devono essere motivate e bisogna dimostrare che non fanno venire meno l’efficacia finale del SGSI) e tra questi è presente l’indicazione della necessità di conservazione dei log che servono a dimostrare l’efficacia della sicurezza e non solo, l’analisi dei log è obbligatoria (una delle non-conformità frequenti è proprio la mancata analisi dei log… se si conservano i log si devono anche analizzare).

La norma ISO 27001 è lo standard per la certificazione (non si certifica invece la ISO 17799) e sostituisce la precedente norma BS7799. L’importanza dei log è quindi fondamentale sia per le aziende che volessero certificarsi e sia per quelle che scelgono di adottare la metodologia BS7799/ISO27001 per garantire la sicurezza delle informazioni senza richiedere poi la certificazione formale.

Altre leggi e norme potrebbero richiamare la metodologia BS7799 o ISO 27001 come modello obbligatorio/consigliato per l’analisi dei rischi richiamando così anche l’importanza dei log.