La ISO/IEC 27001 non dedica un capitolo ai dispositivi mobili, ma diversi controlli dell’Allegato A li riguardano direttamente: gestione degli asset, controllo degli accessi, protezione dagli attacchi, gestione delle vulnerabilità e sicurezza dei dispositivi endpoint. Per chi è certificato o si sta certificando, i terminali aziendali rientrano nel perimetro da governare e documentare.
Dove i dispositivi entrano nello standard
Lo standard ragiona per obiettivi di controllo, non per tecnologie. I dispositivi mobili sono toccati principalmente in queste aree:
- Inventario degli asset. Serve un registro degli asset informativi e dei dispositivi, con un responsabile assegnato.
- Uso accettabile e restituzione. Regole d’uso definite e procedura di riconsegna al termine del rapporto.
- Controllo degli accessi. Autenticazione, gestione dei privilegi, limitazione dell’accesso alle informazioni.
- Dispositivi endpoint. Protezione dei dispositivi che trattano informazioni, inclusa la configurazione sicura.
- Gestione delle vulnerabilità tecniche. Conoscere le versioni installate e correggere in tempi definiti.
- Cifratura. Protezione delle informazioni tramite crittografia, secondo una policy definita.
- Gestione degli incidenti. Rilevazione, risposta e registrazione degli eventi di sicurezza.
Il punto vero: le evidenze
In sede di audit non conta ciò che si fa, conta ciò che si dimostra. Per ciascuna area l’auditor chiederà un riscontro concreto.
| Area | Evidenza tipica richiesta |
|---|---|
| Inventario | Elenco dispositivi aggiornato, con assegnatario e stato |
| Accessi | Policy di autenticazione applicate e verificabili |
| Configurazione | Profili standard applicati, con riscontro per dispositivo |
| Vulnerabilità | Report delle versioni installate e storico distribuzioni |
| Cifratura | Stato della cifratura sui dispositivi |
| Incidenti | Registro degli interventi, inclusi blocchi e cancellazioni |
Una gestione centralizzata produce quasi tutte queste evidenze come sottoprodotto dell’attività quotidiana. Una gestione manuale costringe a ricostruirle prima dell’audit, con il rischio di scoprire le lacune troppo tardi.
L’errore che fa perdere tempo
L’errore più comune è affrontare i dispositivi mobili come un’appendice, alla fine del percorso di certificazione. Poiché però toccano molti controlli trasversali, una lacuna qui si riflette su più aree contemporaneamente.
Conviene includerli nell’analisi dei rischi fin dall’inizio, con una domanda semplice: se perdessimo dieci di questi dispositivi domani, cosa succederebbe? La risposta orienta tutte le misure successive.
Il rapporto con la NIS2
Le misure tecniche richiamate in ambito NIS2 hanno ampie sovrapposizioni con i controlli della ISO/IEC 27001. Chi ha già un sistema di gestione certificato parte avvantaggiato, perché gran parte dell’impianto documentale e delle evidenze è già in piedi.
Smartilio e la ISO/IEC 27001
Su due piani. Come strumento, Smartilio MDM produce inventario automatico, policy applicate e verificabili, report delle versioni, stato della cifratura e registro degli interventi remoti: le evidenze principali richieste sui dispositivi.
Come fornitore, Smartilio si appoggia su un sistema di gestione certificato ISO/IEC 27001 e ISO 9001, elemento rilevante quando si valuta la sicurezza della catena di fornitura, tema che approfondiamo nell’articolo su NIS2 e fornitori.
Parla con noi del perimetro dispositivi
Domande frequenti
La ISO 27001 obbliga a usare un MDM?
Non prescrive strumenti specifici. Richiede però risultati, inventario, controllo degli accessi, gestione delle vulnerabilità, che su una flotta sono difficili da ottenere e dimostrare senza gestione centralizzata.
Cosa chiede un auditor sui dispositivi mobili?
Tipicamente l’inventario aggiornato, le policy applicate, lo stato della cifratura, le versioni installate e il registro degli incidenti che hanno coinvolto dispositivi.
Serve certificare anche i fornitori?
Non è obbligatorio, ma la certificazione di un fornitore semplifica la valutazione dei rischi della catena di fornitura e riduce le evidenze da raccogliere.