Un grande cliente enterprise ci chiede la certificazione ISO 27001, cos'è esattamente e serve davvero?

Non fate l'errore di liquidare il cliente con un secco "non ce l'abbiamo". Moltissime grandi aziende danno il via libera provvisorio se dite "abbiamo avviato il percorso di adeguamento alla ISO 27001 con audit previsto tra 6 mesi" e allegate le vostre attuali policy di sicurezza di base.

Nella versione aggiornata ISO/IEC 27001:2022 i controlli dell'Annex A sono stati razionalizzati a 93 punti. Come software agency, gli aspetti che vi riguarderanno più da vicino sono il ciclo di vita dello sviluppo software sicuro (SDLC), i log di accesso ai repository del codice sorgente, l'anonimizzazione dei dati di test e la separazione netta tra ambiente di sviluppo e produzione.

Noi a Madrid l'abbiamo presa l'anno scorso con un team di 11 persone. Abbiamo pagato 5.000 euro di consulente esterno e 3.500 euro all'ente di certificazione accreditato per il primo anno. Ci sono voluti 5 mesi in tutto. Sembra una spesa impegnativa, ma per un contratto da 120.000 euro all'anno l'investimento si ripaga alla grande.

Se lo fate solo per un cliente pensateci bene. Non è un pezzo di carta che prendi e appendi al muro; ogni anno c'è l'audit di sorveglianza e si paga. In 9 persone dover continuamente tenere registri e compilare schede di rischio rallenta un botto il lavoro dei dev.

All'inizio a vedere centinaia di pagine di requisiti dello standard viene l'ansia. Ma una volta che ci entri dentro capisci che si tratta solo di mettere nero su bianco procedure che un team di sviluppo serio in realtà applica già in modo informale.

A quali dati del cliente avrete effettivamente accesso? Se dovete solo far girare del codice sui loro server e non salvate dati del cliente nella vostra sede, potete restringere il perimetro (scope) dell'audit, dimezzando tempi e costi.

ci e successa la stessa cosa con un cliente telco, abbiamo fixato le vulnerabilita mandato il report di un penetration test esterno e ci hanno dato 6 mesi di proroga e onestamente non mollate l'accordo.

Sul mercato spagnolo le aziende enterprise e gli enti pubblici considerano la ISO 27001 un requisito minimo inderogabile per la sicurezza dei fornitori. Questa certificazione rappresenta un passo strategico capace di offrire un netto vantaggio competitivo nelle vostre future trattative commerciali corporate.

Racconto cosa mi è successo magari vi è utile. Quando decidiamo senza misurare finiamo sempre nello stesso punto.

Io seguirei questa strada.

Sono d'accordo in parte, in parte no. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Buon lavoro.

Lascio un avvertimento. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Buon lavoro.

Scrivo questo per evitare che facciate lo stesso errore. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Lascio una nota, potrebbe servire.

se scendiamo nei dettagli: Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi e lascoi una nota, potrebbe servire.

Anche da noi è così. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Bisogna fare una distinzione qui. L'errore commesso da cos'è la ISO 27001 è generalmente reversibile ma costoso.

Se scrivete qui il risultato, sarà utile anche ad altri.

Argomento molto attuale.

Guardando al processo, il quadro cambia. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Correggetemi se sbaglio.

Raro trovare articoli che spiegano le cose così chiaramente. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Confermato dall'esperienza.