ISO/IEC 27001, nuovi requisiti sul climate change: cosa implicano per la sicurezza delle informazioni

Il tema del cambiamento climatico è di stretta attualità e impatta anche sui sistemi di gestione della sicurezza delle informazioni, tanto che anche la ISO ne ha voluto tener conto e a febbraio 2024, a seguito della modifica dell’Annex SL, ovvero il documento che definisce la struttura e l’indice comune a tutte le norme del sistema di gestione, ha pubblicato le versioni (amandement) aggiornate delle norme sui sistemi di gestione tra cui anche la ISO/IEC 27001:2022, ora ISO/IEC 27001:2022/Amd 1:2024.

In questo articolo si desidera approfondire le modifiche introdotte dalla nuova versione della norma, fermo restando che diverse considerazioni valgono per tutte le norme sui sistemi di gestione che si basano sulla struttura armonizzata dell’Annex SL[1].

Climate change: le modifiche all’Annex SL

Come dicevamo, la ISO ha modificato l’Annex SL integrando due nuovi requisiti che, a cascata, comportano le seguenti modifiche sulla struttura armonizzata:

• 4.1 Comprendere l’organizzazione e il suo contesto.
• L’organizzazione deve determinare le questioni esterne e interne che sono rilevanti per il suo scopo e che influenzano la sua capacità di raggiungere il/i risultato/i previsto/i del suo sistema di gestione.
• Aggiunta – “L’organizzazione dovrà determinare se il cambiamento climatico è una questione rilevante”.
• 4.2 Comprendere i bisogni e le aspettative delle parti interessate.
• L’organizzazione deve determinare: (i) le parti interessate che sono rilevanti per il sistema di gestione; (ii) i requisiti rilevanti di tali soggetti interessati; (iii) quali di questi requisiti saranno soddisfatti attraverso il sistema di gestione.
• Aggiunta – “NOTA: le parti interessate rilevanti possono avere requisiti relativi al cambiamento climatico”.

Si può, in un certo senso, considerare, per come è concepita la modifica, che quanto definito come contesto (requisito 4.1) ha valore di input al sistema e le esigenze ed aspettative delle parti interessate (requisito 4.2) ha valore di output.

Le norme sono state allineate, a seguito della modifica intervenuta (tramite un “amendment”) e il 24 febbraio 2024 sono state pubblicate le versioni aggiornate di 31 standard sui sistemi di gestione tra la ISO/IEC 27001:2022/Amd 1:2024.

Mentre, ad esempio, norme che recentemente sono state emesse nella prima versione con la ISO/IEC 42001:2023 – Information technology – Artificial intelligence del dicembre 2023, già avevano inglobato questo requisito.

Tali modifiche comportano la presa in carico, per ogni organizzazione, della componente relativa alla analisi del contesto (requisito 4.1), delle parti interessate (requisito 4.2) e conseguentemente, laddove impattante, anche indirettamente su altri requisiti come:

1. politica del sistema di gestione della sicurezza delle informazioni (requisito 5.2);
2. obiettivi e pianificazione del loro raggiungimento (requisito 6.2);
3. analisi dei rischi e delle opportunità (requisito 6.1);
4. competenza e consapevolezza (requisiti 7.2 e 7.3);
5. informazioni documentate (requisito 7.5);
6. attività operative (requisiti 8.1, 8.2 e 8.3);
7. monitoraggio, misura analisi e valutazione (requisito 9.1.3);
8. audit interno (requisito 9.2);
9. riesame di direzione (requisito 9.3);
10. miglioramento continuo (requisito 10.1);
11. non conformità ed azioni correttive (requisito 10.2).

Misure per i sistemi di gestione della sicurezza delle informazioni

Per quanto non è facile immaginare misure che possano impattare sul cambiamento climatico connesse alla sicurezza delle informazioni di seguito un elenco che potrebbe essere usato come spunto per considerare misure possibili da porre in atto sia a livello tecnico che organizzativo.

Tali misure devono essere volte a:

1. ridurre il consumo di energia;
2. migliorare il ciclo degli acquisti;
3. ridurre lo spazio fisico destinato all’hardware che richiede, per la gestione ottimale delle stesse, il monitoraggio di specifiche condizioni ambientali (temperatura).

Va comunque considerato che non tutte le misure che impattano sul cambiamento climatico, riconducibili alla gestione delle informazioni, hanno anche rilevanza sulla protezione dei dati. Ad esempio:

1. acquistare hardware con classificazioni energetiche elevate contribuisce a ridurre il cambiamento climatico ma non ha alcun impatto sulla sicurezza delle informazioni;
2. non inviare, a elenchi di soggetti autorizzati, file su sistemi di messaggistica istantanea, ma preferire il link alle versioni salvate in ambienti protetti da credenziali, ha impatto sia sul cambiamento climatico che sulla sicurezza delle informazioni.

Di seguito, per facilitare la lettura, non è stata effettuata alcuna differenziazione tra i due tipi di misure.

Misure organizzative da scelte di approvvigionamento

1. Acquistare energia da fonti rinnovabili per alimentare i sistemi ed i data center.
2. Utilizzare fornitori di servizi cloud che fanno ricorso in maniera prevalente o completa a fonti di energia rinnovabile ovvero intervengono con misure di ripristino delle risorse consumate.
3. Ricorrere a servizi cloud da parte di fornitori che possono far ricorso ad economie di scala per garantire maggiore efficienza.
4. Acquistare ed utilizzare hardware (comprese le multifunzione, i telefoni VoIP, i monitor e gli altri apparati) efficiente dal punto di vista energetico adottando dispositivi con classificazioni energetiche elevate.
5. Acquistare ed utilizzare sistemi (es. server) che non richiedono temperature di funzionamento troppe elevate e quindi rilevanti consumi di energia per il raffreddamento dei locali.
6. Utilizzare fornitori qualificati per lo smaltimento dell’HW che rispettino le normative (RAEE) ed eseguano tale attività in modo responsabile, ovvero riciclando i componenti e favorire la circolarità dell’HW che si dismette favorendo l’acquisto a soggetti terzi (es. dipendenti).

Misure organizzative impattanti sulle risorse umane

1. Favorire il telelavoro con la riduzione degli spostamenti del personale e degli spazi di lavoro, privilegiare soluzioni hot desk.
2. Imporre al personale la disconnessione automatica dopo pochi minuti dalla sospensione dell’utilizzo; in tal modo si aumenta anche il livello delle misure di sicurezza in linea con lo standard; in alternativa (misura tecnica) automatizzare il blocco automatico schermo e lo spegnimento monitor dopo pochi minuti di inutilizzo del PC.
3. Preferire il link ad un documento (con opportune protezione di accesso), piuttosto che l’invio massivo dello stesso per posta elettronica/sistemi di messaggistica elettronica.
4. Incoraggiare, il personale, tramite azioni di formazione a sviluppare comportamenti individuali responsabili nell’uso delle risorse.

Misure tecniche e fisiche

1. Installare impianti di produzione o di recupero dell’energia (fotovoltaici, cogenerazione ecc.).
2. Definire ed implementare di politiche per ridurre il consumo energetico dei dispositivi inutilizzati attraverso la corretta gestione dell’alimentazione (es. modalità standby automatica o la riduzione della potenza inattiva).
3. Ridurre il numero di server fisici tramite la virtualizzazione (più macchine virtuali su un unico server fisico).
4. Disporre i server in locali ben areati e con un buon flusso d’aria per garantire anche un raffrescamento naturale e ridurre quello artificiale.
5. Installare sistemi automatici di avvio e disconnessione degli impianti di climatizzazione in modo da tenere sotto controllo la temperatura ottimale.
6. Installare impianti antincendio per la sala server che utilizzino gas inerti i quali, oltre ad avere ridotto impatto ambientale sono adatti per intervenire su apparecchiature elettriche/elettroniche e più sicure per i lavoratori i quanto rilasciano sostanze nocive nell’atmosfera durante l’estinzione degli incendi e non generano residui tossici o inquinanti dopo l’uso.
7. Sviluppare codici che utilizzino algoritmi che richiedano ridotte risorse per l’elaborazione.

In relazione a questo ultimo punto, le linee guida che possono essere poste in atto per ridurre le risorse, potrebbero considerare di scrivere codici che:

1. utilizzino in modo ridotto le risorse del sistema (CPU, memoria e spazio di archiviazione);
2. ottimizzano e se possibile eliminino gli algoritmi inefficienti evitando operazioni ridondanti e ridicendo la complessità;
3. ottimizzano le query del database per ridurre il tempo di esecuzione;
4. migliorare le allocazioni di memoria per evitare perdite e sovraccarichi di memoria;
5. utilizzare il caching per memorizzare temporaneamente i risultati di operazioni complesse, in modo da evitare di doverli ricalcolare più volte;
6. utilizzano buffering per ridurre il numero di operazioni di input/output;
7. ottimizzare il numero di chiamate di rete per ridurre la latenza (ritardo nella comunicazione);
8. utilizzano librerie e framework già ottimizzati quando disponibili anziché scrivere un codice personalizzato.

Inoltre, effettuare test e profilazione del codice per identificare le aree che richiedono ottimizzazione.

Infine, laddove il software fosse sviluppato da terzi di può imporre a questi, nei documenti contrattuali di applicare alcune delle misure sopra definite.

Come è facile notare, tali misure non solo volte ad ottimizzare le risorse energetiche, in linea con i nuovi requisiti dello standard, ma anche a rendere più efficienti, veloci e produttivi i sistemi che utilizzano tali codici. Si ha quindi un doppio vantaggio sia in fase di sviluppo che di utilizzazione dei sistemi a codice.

Elementi da considerare per la scelta di dispositivi hardware

Mentre per quanto concerne la scelta di dispositivi HW caratterizzati da un basso impatto energetico è opportuno considerare questi elementi:

1. acquistare prodotti con elevate classi energetiche analizzando l’etichettatura (es. per Europa EU Energy Label ed EU Ecolabel, per gli USA invece Energy Star);
2. analogamente scegliere componenti hardware e parti di ricambio (come CPU, GPU, alimentatori) con classificazioni energetiche elevate e ridotte esigenze di alimentazione. Le informazioni dettagliate sul consumo energetico sono reperibili dalle schede tecniche dei componenti fornite dai produttori;
3. verificare il case ed i sistemi di raffreddamento affinché sia garantito un buon flusso d’aria che permette di utilizzare ventole meno potenti;
4. verificare che il dispositivo supporta modalità di gestione dell’alimentazione come lo standby a basso consumo energetico o la modalità di sospensione ed in fase di utilizzo verificare che sia attivato;
5. approfondire anche il consumo energetico del dispositivo in modalità standby privilegiando dispositivi con consumi energetici ridotti.

Inoltre, per quanto complesso da verificare per un acquirente, sarebbe utile recuperare, dalle fonti dei produttori, per una valutazione sull’impatto ambientale che informazioni relative a:

1. la leggerezza dei materiali utilizzati nella costruzione del dispositivo;
2. la sostenibilità, comprese le fonti di approvvigionamento energetico, dei processi di produzione impiegati.

Infine, come scelta gestionale, potrebbe essere anche considerate le implicazioni, dal punto di vista ambientale tra l’acquisto ed il noleggio di componenti hardware.

Nel caso di acquisito di hardware si ha un controllo completo sulle configurazioni e sulle politiche di gestione dell’alimentazione, consentendo di ottimizzare l’efficienza energetica in base alle esigenze specifiche dell’organizzazione, inoltre è possibile investire su dispositivi più efficienti dal punto di vista energetico e ottimizzare l’utilizzo delle risorse per ridurre il consumo energetico complessivo.

Inoltre, si può incidere direttamente sui tempi di utilizzo dell’hardware, aumentando il quale si viene si evita la produzione e lo smaltimento frequente dei medesimi dispositivi.

Mentre, nel caso di noleggio, si ha per contro la possibilità di usufruire di aggiornamenti più frequenti e una sostituzione rapida in caso di obsolescenza, consentendo di utilizzare dispositivi più recenti e più efficienti dal punto di vista energetico. Inoltre, chi fornisce i servizi di noleggio può permettersi economie di scala per la manutenzione dei sistemi riducendo il consumo complessivo di risorse.

Resta inteso che tali misure integrano quelle più strutturali che un’organizzazione può implementare per:

1. approvvigionarsi di energia da fonti rinnovabili (es. pannelli fotovoltaici, piccoli impianti eolici);
2. recuperare il calore generato da apparecchiature (es. quelle presenti nella sala server) e trasformarlo in energia utilizzabile (celle a combustibile ad alta temperatura, sistemi di raffreddamento ad assorbimento, impianti di cogenerazione, Scambiatori di calore ad alta efficienza);
3. convertire i propri uffici o costruirli ex novo con caratteristiche strutturali tali da ottenere una certificazione di edificio sostenibile (Leadership in Energy and Environmental Design).

Conclusioni

Il cambiamento climatico è la principale sfida che è necessario affrontare.

La ISO contribuisce per la sua parte alla richiesta di misure per contribuire a ridurre e limitare le misure da mettere in atto.

Per quanto la scelta effettuata avrebbe potuto essere più incisiva, ad esempio considerando tutti gli obiettivi di sviluppo sostenibile dell’agenda 2030, si tratta in ogni caso di un passo importante in tale direzione. Le misure che possono essere messe in atto, come ad esempio alcune delle quali ipotizzate nell’articolo, possono contribuire, anche attraverso una politica di “piccoli passi” al raggiungimento delle finalità del nuovo amandement

[1] Se non diversamente specificato le parti in lingua inglese sono state liberamente tradotte dagli autori.