Consulenza Tecnologie Informatiche Gestione del Servizio ISO 20000-1

Consulenza Tecnologie Informatiche Gestione del Servizio ISO 20000-1

UNI CEI ISO/IEC 20000-1:2020+A1:2024
Tecnologie informatiche - Gestione del servizio - Parte 1: Requisiti per un sistema di gestione del servizio

Richiedi informazioni
Richiedi offerta

Telefono: +39 06 83652695

La norma specifica i requisiti per un'organizzazione per stabilire, attuare, mantenere e migliorare continuamente un sistema di gestione del servizio (SMS - Service Management System). I requisiti specificati in questa norma includono la pianificazione, la progettazione, la transizione, l'erogazione e il miglioramento dei servizi per soddisfare i requisiti del servizio e fornire valore. La presente edizione della norma si differenzia dalla precedente dalla sola inclusione dell'aggiornamento Amd 1 (edizione febbraio 2024) che riguarda le azioni relative al cambiamento climatico.

Azienda e ConsulenzaIntegrata si impegnano alla realizzazione, adozione, attuazione ed implementazione del Sistema di Gestione.

Secondo I punti della norma:

1 Scope

2 Normative references

3 Terms and definitions

4 Context of the organization

5 Leadership

6 Planning

7 Support of the service management system

7.5 Documented information

8 Operation of the service management system

9 Performance evaluation

9.2 Internal audit

9.3 Management review

10 Improvement

Attività previste:

La Consulenza verrà realizzata redigendo le informazioni documentate, punto 7.5 della norma:

• Verifica delle attività dell’Organizzazione, dei processi, dei ruoli e delle funzioni;

• Verifica del Contesto e della Gestione dei Rischi;

• Definizioni interfacce operative;

• Individuazione del responsabile per la sicurezza informatica e di un Amministratore di Sistema;

•  Analisi del Sistema e pianificazione delle attività;

•  La Valutazione dei rischi;

• La Politica di Gestione dei Servizi IT;

• Le lettere di nomina;

• Asset Inventory;

• Eventuali IT Service Management Tool;

• Elenco Applicativi e relative licenze;

•  Integrazione delle Informazioni documentate con i Sistemi Gestionali presenti presso l’Organizzazione: ISO 9001, ISO 27001 e ISO 22301;

• Procedure di back up, ripristino dati, disaster recovery;

•  Procedure di gestione dei servizi IT, Progettazione dei servizi, Transizione dei servizi, Relazioni con i fornitori, Incidenti IT e richieste di servizio, Gestione dei problemi, Business Continuity, Sicurezza delle Informazioni, altre procedure di sistema (es. Audit interni, NC-AC, Riesame della Direzione, ecc.). L’elenco delle procedure è a titolo esemplificativo e non esaustivo.

Riferimenti

Consulenza Tecnologie informatiche Gestione del Servizio ISO 20000-1

Consulenza Sicurezza delle Informazioni ISO 27001

Consulenza Continuità Operativa Business Continuity ISO 22301

UNI CEI EN ISO/IEC 27002:2023

Per favorire l'adozione e l'attuazione del sistema, durante lo svolgimento della Consulenza sopra descritta verrà svolta action learning, training on the job e coaching specifica per la Direzione Aziendale e per i Responsabili di Funzione Aziendale, inerenti le loro mansioni in seno ai: processi aziendali, obiettivi e loro gestione.

Attuazione ed Implementazione
Supporto all’applicazione dei documenti del Sistema di Gestione dei Servizi IT, formazione in campo del personale per il miglioramento della documentazione del Sistema e dei processi nell’ottica del raggiungimento dell’efficienza degli stessi in termini di Qualità.
Corso di Formazione Certificato
La formazione on the job sarà eseguita durante le attività di consulenza ed è rivolta alla Direzione, al Responsabile del Sistema di Gestione dei Servizi IT (SGSIT), ai responsabili di processi o di funzione e al personale aziendale per la preparazione alla Verifica Ispettiva di Certificazione.
Il corso è comprensivo di materiale di supporto, test di verifica dell’apprendimento, questionario valutazione azioni formative, certificazione di avvenuta formazione con relativo registro presenze.
Audit Interno e Riesame

Con riferimento ad ISO 20000-1
L’organizzazione deve condurre, a intervalli pianificati, audit interni allo scopo di fornire informazioni per accertare se il sistema di gestione per la sicurezza delle informazioni:
a) è conforme ai:
  1) requisiti propri dell’organizzazione relativi al suo sistema di gestione per la sicurezza delle informazioni;
  2) requisiti della norma;
b) è efficacemente attuato e mantenuto.
Programma degli audit interni
L’organizzazione deve pianificare, stabilire, attuare e mantenere uno o più programmi di audit comprensivi di frequenza, metodi, responsabilità, requisiti di pianificazione e reporting.
Nello stabilire uno o più programmi per gli audit interni, l’organizzazione deve tenere in considerazione l’importanza dei processi coinvolti e i risultati degli audit precedenti.
L’organizzazione deve:
a) definire gli obiettivi, i criteri di audit e il campo di applicazione per ciascun audit;
b) selezionare gli auditor e condurre gli audit in modo tale da assicurare l'obiettività e l'imparzialità del processo di audit;
c) assicurare che i risultati degli audit siano riportati ai responsabili pertinenti.
Devono essere disponibili informazioni documentate quale evidenza dell’attuazione dei programmi di audit e dei risultati degli audit.
Effettuazione del Riesame della Direzione
Con riferimento a riesame 20000-1
L'alta direzione deve, a intervalli pianificati, riesaminare il sistema di gestione per la sicurezza delle informazioni dell'organizzazione, per assicurarne la continua idoneità, adeguatezza ed efficacia.
Elementi in ingresso al riesame di direzione
Il riesame di direzione deve includere considerazioni su:
a)  lo stato delle azioni derivanti da precedenti riesami di direzione;
b)  i cambiamenti nei fattori esterni e interni che sono rilevanti per il sistema di gestione per la sicurezza delle informazioni;
c)  cambiamenti nelle esigenze e aspettative delle parti interessate che sono pertinenti al sistema di gestione per la sicurezza delle informazioni;
d)  le informazioni sulle prestazioni relative alla sicurezza delle informazioni, compresi gli andamenti (trend) relativi:
     1)  alle non conformità e alle azioni correttive;
     2)  ai risultati dei monitoraggi e delle misurazioni;
     3)  ai risultati di audit;
     4)  al raggiungimento degli obiettivi per la sicurezza delle informazioni;
e)  le informazioni di ritorno dalle parti interessate;
f)   i risultati della valutazione del rischio e lo stato del piano di trattamento del rischio;
g)  le opportunità per il miglioramento continuo.
Risultati del riesame di direzione
I risultati del riesame di direzione devono comprendere decisioni relative alle opportunità per il miglioramento continuo e ogni esigenza di cambiamento al sistema di gestione per la sicurezza delle informazioni.
Devono essere disponibili informazioni documentate quale evidenza dei risultati dei riesami di direzione.

Assistenza durante l'Audit Ente di Certificazione
Assistenza, in qualità di osservatore, nel corso degli Audit, Documentale e di Sorveglianza, da parte dell'Ente Certificatore e relativi chiarimenti sulla base di quanto emerso dall'Audit Interno e Riesame di direzione.
Risultato previsto: Certificazione secondo la norma UNI CEI ISO/IEC 20000-1:2020.

MANTENIMENTO IMPLEMENTAZIONE 

Punti della norma:
10 Improvement
10.1 Nonconformity and corrective action
10.2 Continual improvement
Ad avvenuta Certificazione si prevede lo svolgimento delle seguenti attività:

• Eventuale Revisione Documentale

• Audit per verificare lo stato di conformità aziendale al Sistema di Gestione

• Riesame del Sistema

• Assistenza, in qualità di osservatore, nel corso dell’Audit, dell'Ente Certificatore Facoltativo

Annualmente verrà concordato e definito con una Lettera Integrativa tra le parti, il numero di giornate necessarie per ciascuna delle suddette fasi, in funzione delle specifiche necessità aziendali.

Riferimenti:

ISO/IEC 20000-2:2019
Information technology - Service management - Part 2: Guidance on the application of service management systems.

ISO/IEC 20000-3:2019
Information technology - Service management - Part 3: Guidance on scope definition and applicability of ISO/IEC 20000-1.

UNI EN ISO 22301:2019
Sicurezza e resilienza - Sistemi di gestione per la continuità operativa - Requisiti.

Per la Certificazione Cybersecurity

ACCREDIA: Sistema europeo di certificazione della cybersicurezza

Regolamento di esecuzione (UE) 2024/482 della Commissione, del 31 gennaio 2024, recante modalità di applicazione del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio per quanto riguarda l'adozione del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC)

UNI CEI EN ISO/IEC 18045:2024
Sicurezza delle informazioni, cybersecurity e protezione della privacy - Criteri di valutazione per la sicurezza IT - Metodologia per la valutazione della sicurezza IT

La norma definisce le azioni minime da effettuare da parte di un valutatore per condurre una valutazione basata sulla serie UNI CEI EN ISO/IEC 15408, usando i criteri e le prove di valutazione definite nella serie UNI CEI EN ISO/IEC 15408.

UNI CEI EN ISO/IEC 15408-1:2024
Sicurezza delle informazioni, cybersecurity e protezione della privacy - Criteri di valutazione per la sicurezza informatica - Parte 1: Introduzione e modello generale.

La norma stabilisce i concetti e i principi generali della valutazione della sicurezza informatica e specifica il modello generale di valutazione fornito dalle diverse parti dello standard, il quale nel suo complesso è destinato a essere utilizzato come base per la valutazione delle proprietà di sicurezza dei prodotti informatici. Questo documento fornisce una panoramica di tutte le parti della serie ISO/IEC 15408. Descrive le varie parti della serie ISO/IEC 15408, definisce i termini e le abbreviazioni da utilizzare in tutte le parti dello standard, stabilisce il concetto centrale di Oggetto della Valutazione (OdV), descrive il contesto della valutazione e indica il pubblico a cui sono indirizzati i criteri di valutazione. Viene fornita un'introduzione ai concetti di sicurezza di base necessari per la valutazione dei prodotti informatici.

Questo documento introduce:

- i concetti chiave dei Profili di Protezione (PP), dei Moduli di PP (PP-Modules), delle Configurazioni di PP (PP-Configurations), pacchetti, Obiettivi di Sicurezza (ST) e tipi di conformità;

- una descrizione dell'organizzazione dei componenti di sicurezza nell'ambito del modello;

- le varie operazioni mediante le quali i componenti funzionali e di garanzia forniti nella ISO/IEC 15408 2 e nella ISO/IEC 15408 3 possono essere adattati attraverso l'uso di operazioni consentite;

- informazioni generali sui metodi di valutazione forniti nella ISO/IEC 18045;

- indicazioni per l'applicazione della ISO/IEC 15408 4 al fine di sviluppare metodi di valutazione (evaluation methods, EM) e attività di valutazione (evaluation activities, EA) derivate dalla ISO/IEC 18045;

- informazioni generali sui Livelli di Garanzia di Valutazione predefiniti (Evaluation Assurance Levels, EAL) definiti nella ISO/IEC 15408 5;

- informazioni riguardanti l'ambito degli schemi di valutazione.

Richiedi informazioni
Richiedi offerta

Amiamo essere consulenti in prima linea, al fianco degli imprenditori per realizzare, nella loro azienda, le strategie e gli obbiettivi che ci siamo posti insieme.

Questo documento è di proprietà di Consulenza Integrata S.r.l., ogni divulgazione e riproduzione o cessione di contenuti a terzi deve essere autorizzata dalla Consulenza Integrata S.r.l. stessa.