La certificazione ISO 27001 assicura la conformità al GDPR? La risposta rapida è “no” perché i due documenti sono simili ma non identici, però la conformità alla norma ISO 27001:2017 può aiutare un'organizzazione a soddisfare gli standard GDPR perché molti punti sono in comune.
Ad esempio, sia la ISO 27001 che il regolamento generale sulla protezione dei dati richiedono la notifica alle autorità di vigilanza delle violazioni, anche se a livelli diversi ma la ISO 27001 contiene anche requisiti progettati per garantire che gli incidenti relativi alla sicurezza delle informazioni siano gestiti in modo coerente.
Ancora, sia il GDPR che la ISO 27001 impongono alle organizzazioni di definire tutti i requisiti normativi e contrattuali di riferimento e di metterli a disposizione degli auditor, in modo che possano confermarne la conformità. La valutazione del rischio così come progettata nella ISO 27001, in più, può aiutare le organizzazioni a evitare le sanzioni associate alla violazione dei requisiti di sicurezza informatica e trattamento dei dati previste dal GDPR che possono arrivare fino al 4% delle entrate complessive di un’azienda.
GDPR e ISO 27001 impongono, poi, entrambi la riservatezza, la confidenzialità e l’integrità dei dati, un approccio alla sicurezza dei dati basato sul rischio, l’identificazione di quali azioni vengano esternalizzate per poterle tenere sotto controllo e la conservazione delle registrazioni relative all’intera gestione dei dati.
Un’organizzazione che può contare su un Sistema di gestione della sicurezza delle informazioni in base alla ISO 27001:2017 ha sicuramente una metodologia di lavoro meno esposta alle violazioni dei dati e personale più attento e consapevole dei rischi, oltre che più formato sulle azioni da intraprendere nel caso in cui tali situazioni dovessero verificarsi.
Il futuro dei requisiti GDPR indica, inoltre, che la privacy sarà integrata nei processi aziendali in linea con quanto già previsto dalla ISO 27001. La regolamentazione della privacy dei dati sta diventando, infatti, sempre più complessa con l'aggiunta ogni anno di ulteriori disposizioni e protezioni. Guardando al futuro, le aziende che desiderano avere un vantaggio strategico rispetto ai concorrenti dovranno incorporare standard di sicurezza in tutti gli aspetti della loro attività. Le aziende che avranno adottato la ISO 27001 saranno ben preparate a soddisfare tali aspettative future poiché lo standard riguarda la protezione delle risorse informative, dei dati personali e altro.
In conclusione, possiamo dire che il GDPR ruota principalmente attorno al modo in cui vengono raccolti i dati personali, mentre la ISO 27001 fornisce indicazioni su come i dati raccolti possono rimanere riservati e sicuri.
Inoltre, la direttiva principale del regolamento generale sulla protezione dei dati è quella di proteggere il diritto alla privacy degli individui e di offrire ai cittadini europei determinati diritti relativamente alla verifica di come i loro dati vengano raccolti, archiviati e condivisi mentre la ISO 27001 è più interessata ai controlli di sicurezza sui dati. Mettendo, quindi, in pratica gli obblighi del GDPR e le migliori prassi della ISO 27001 le organizzazioni possono costruire un sistema integrato per una gestione sicura dei dati aziendali.
La ISO 27001, inoltre, può servire per dimostrare la conformità al GDPR, come suggerisce il regolamento stesso in merito all’adesione ai codici di condotta e alle certificazioni approvate quali, appunto, la ISO 27001 che servono a dare garanzia che il titolare sta gestendo efficacemente i rischi relativi alla sicurezza dei dati.
Usando, dunque, una combinazione integrata dei due standard si gestisce nel miglior modo possibile il proprio patrimonio di dati, riducendo i rischi potenziali.
Nel mettere al sicuro il proprio sistema informatico, infatti, bisogna prendere in considerazione anche le persone e i processi come elementi critici per la protezione dei dati, in aggiunta all’aspetto puramente tecnologico. Il regolamento generale sulla protezione dei dati manca di informazioni utili volte a mantenere un livello appropriato di sicurezza dei dati anche se all’articolo 32 specifica che sono necessarie misure tecniche per proteggere i dati e che i rischi derivanti “dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso in modo accidentale o illegale a dati personali” siano identificati e mitigati.
Pur fornendo esempi di misure e controlli di sicurezza, il DPCR non fornisce, però, indicazioni dettagliate su cosa si dovrebbe fare per evitare una violazione dei dati. La ISO 27001 traduce in pratica i principi del regolamento, fornendo informazioni su come sviluppare politiche atte a ridurre al minimo i rischi per la sicurezza che potrebbero portare a incidenti.
In definitiva, si può dire che la legge europea richiede che le organizzazioni mettano in atto misure per garantire un livello di sicurezza dei dati personali "adeguato", tenendo conto dei rischi presentati dalle diverse attività di trattamento dei dati in cui sono coinvolte e che la norma ISO 27001 può consentire alle aziende di dimostrare di essere al top in questo particolare obbligo.
Se volete certificare la sicurezza della vostra impresa e dimostrare ai vostri clienti che vi siete impegnati per implementare un sistema che garantisce la riservatezza, l’integrità e la disponibilità delle informazioni, perché non scegliere per questo percorso ACSQ e assicurare che la ISO 27001 diventi per voi un vero e proprio asset strategico a servizio del vostro business?
I nostri esperti condurranno un processo di valutazione che ha come obiettivo quello di verificare concretamente che la vostra azienda, nell’operatività quotidiana, rispetti le migliori pratiche previste dallo standard e che i dati aziendali vengano protetti nel modo corretto.
Chiamateci senza impegno al numero 02.58320936 o scriveteci all’indirizzo Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. : i nostri esperti saranno felici di rispondere alle vostre domande!
