ISMS e politiche di sicurezza delle informazioni per PMI
Progettazione del sistema di gestione della sicurezza delle informazioni (ISMS) e delle politiche richieste da TISAX®, NIS 2 e ISO/IEC 27001. Documenti su misura, scritti per essere applicati dalle persone dell'azienda e per reggere a una verifica esterna.
Prenota una call gratuitaCosa comprende
Un solo sistema di gestione, più requisiti
Il sistema nasce sul requisito più urgente e si estende agli altri, senza documenti doppi.
ISMS per TISAX®
Sistema di gestione ispirato alla ISO/IEC 27001 e strutturato sui requisiti del catalogo VDA ISA 6. Pronto per il self-assessment e per l'assessment AL2 o AL3 dell'audit provider.
ISMS per NIS 2
Politiche, procedure, piani e registri richiesti dal D.Lgs. 138/2024 e dalle misure di base ACN, a partire dalla gestione e notifica degli incidenti e dalle responsabilità della direzione.
ISMS per ISO/IEC 27001
Contesto, analisi dei rischi, dichiarazione di applicabilità sui 93 controlli dell'Annex A, obiettivi e riesame. Preparazione alla verifica dell'organismo di certificazione accreditato.
Analisi dei rischi
Identificazione di asset, minacce e vulnerabilità, valutazione dei rischi e piano di trattamento con misure, responsabili e scadenze. È la base comune di tutti e tre i quadri di riferimento.
Politiche e procedure
Sicurezza delle informazioni, classificazione, accessi, incidenti, fornitori, backup e continuità operativa, sicurezza fisica. Documenti essenziali, chiari e aderenti alla realtà aziendale.
Integrazione con i sistemi esistenti
In presenza di ISO 9001, IATF 16949 o di un sistema privacy, struttura e documenti esistenti vengono riutilizzati. Meno carta doppia, più coerenza tra i sistemi di gestione.
Perché scegliere General Tech di Rosario Zappalà
Un consulente che conosce sia la norma sia la tecnica
La differenza tra un progetto che si chiude con documenti nel cassetto e uno che supera la verifica sta nel metodo e nella persona che lo segue.
Un referente diretto, dall’inizio alla fine
Nessun passaggio di consegne tra figure diverse: la stessa persona segue analisi, documenti, audit interno e affiancamento durante la verifica.
Lo sguardo dell’auditor, prima dell’audit
Lead Auditor ISO 19011 e auditor interno ISO/IEC 27001:2022: ogni evidenza viene preparata pensando alle domande che arriveranno in sede di verifica.
Competenze organizzative e tecniche
Sistemi di gestione e politiche da un lato, competenze Red Team e Blue Team dall’altro: le misure tecniche vengono verificate, non solo descritte.
Documenti su misura, non modelli
Politiche e procedure scritte sulla realtà dell’azienda, comprensibili per chi le applica e coerenti con le evidenze da mostrare.
Metodo
L'ISMS in 6 fasi
Ogni fase produce un risultato concreto. Le attività partono solo dopo l'approvazione della proposta scritta.
Call gratuita
Call di 30 minuti per chiarire obiettivo (TISAX®, NIS 2 o ISO/IEC 27001), perimetro, dimensioni e punto di partenza, oltre a ciò che richiedono i clienti o la norma.
Analisi e proposta scritta
Analisi della situazione attuale e proposta scritta con attività e tempi. Le condizioni vengono definite nella proposta, su misura per azienda, punto di partenza e requisiti.
Processi reali e rischi
Mappatura di processi, sistemi e informazioni con IT, fornitore IT e qualità. Analisi dei rischi e individuazione delle lacune rispetto al requisito scelto come obiettivo.
Politiche e procedure
Redazione di politiche e procedure su misura. La direzione le approva e le persone le ricevono con una formazione mirata, così da conoscerle prima di doverle applicare.
Evidenze e valutazione interna
Impostazione dei registri e raccolta delle evidenze. Segue la valutazione interna: self-assessment VDA ISA per TISAX®, valutazione sui requisiti per NIS 2 o ISO/IEC 27001.
Audit interno
Verifica del sistema con un audit interno secondo le linee guida ISO 19011, come simulazione di terza parte. Le carenze emerse vengono chiuse prima della verifica esterna.
Cosa si ottiene
Un sistema documentato, coerente e applicato
Analisi dei rischi e piano di trattamento
Rischi valutati sul contesto reale dell'azienda, con le misure scelte, i responsabili e le scadenze. Un documento da aggiornare nel tempo, ad ogni cambiamento rilevante.
Politiche e procedure approvate
Il set documentale per il requisito scelto, scritto sull'organizzazione reale e approvato dalla direzione, con ruoli e responsabilità definiti in modo chiaro.
Registri e modelli operativi
Registri di incidenti, accessi, formazione, fornitori e riesami. Strumenti semplici, pensati per l'uso quotidiano e per produrre le evidenze richieste dall'auditor.
Valutazione interna
Self-assessment VDA ISA, valutazione sui requisiti NIS 2 o dichiarazione di applicabilità ISO/IEC 27001, coerente con le evidenze raccolte durante il progetto.
Rapporto di audit interno
Non conformità, osservazioni e rischi residui, con priorità d'intervento. La base per il riesame della direzione e per le azioni correttive prima della verifica esterna.
Mappatura tra i requisiti
Corrispondenza tra il sistema costruito e gli altri quadri di riferimento (TISAX®, NIS 2, ISO/IEC 27001), per estendere l'ISMS in futuro senza ricominciare da capo.
Domande frequenti
Cos'è un ISMS?
È il sistema di gestione della sicurezza delle informazioni: regole, ruoli, processi e controlli con cui l'azienda protegge le informazioni e migliora nel tempo. Non è un faldone, ma il modo in cui l'azienda decide, applica e verifica le misure di sicurezza.
Un solo ISMS può servire per TISAX®, NIS 2 e ISO/IEC 27001?
Sì, ed è la scelta più sensata. I tre quadri hanno molto in comune: analisi dei rischi, politiche, incidenti, fornitori. Il sistema viene costruito sul requisito più urgente e mappato sugli altri, evitando documenti doppi.
Vengono usati modelli già pronti?
Il punto di partenza è una struttura collaudata, ma ogni politica viene scritta sulla realtà dell'azienda. Un documento che descrive un'organizzazione diversa non regge all'intervista di un auditor.
Al termine si ottiene la certificazione ISO/IEC 27001?
La certificazione la rilascia un organismo di certificazione accreditato, dopo la propria verifica. Il servizio comprende costruzione del sistema, audit interno e preparazione alla verifica. Per TISAX® non esiste una certificazione: dopo l'assessment si ottiene un label.
Chi mantiene l'ISMS dopo il progetto?
Il sistema appartiene all'azienda e va mantenuto: riesami, audit interni, aggiornamento dei rischi. In assenza di una figura interna, il presidio può proseguire con il servizio di CISO esterno, con giornate distribuite nell'anno e attività da remoto.
Serve un ISMS che regga a una verifica?
Obiettivo (TISAX®, NIS 2 o ISO/IEC 27001) e punto di partenza bastano per iniziare. In 30 minuti si definisce il percorso. La call è gratuita e senza impegno.
Prenota una call gratuitaGeneral Tech di Rosario Zappalà · P.IVA 06157870871 · TISAX® è un marchio registrato di ENX Association.