Che cos'è la certificazione ISO? Significato ISO e risultato ISO 27001 di BigCommerce

In BigCommerce, siamo stati entusiasti di ricevere la certificazione ISO/IEC 27001:2013. Tuttavia, a differenza di vincere una medaglia d'oro olimpica nello sci alpino o un premio Nobel per l'economia, non tutti possono sapere immediatamente perché ne siamo così entusiasti o cosa significa per i nostri clienti avere una certificazione di standard di sicurezza delle informazioni.

In questa immersione profonda, esamineremo:

1. Cosa significa effettivamente la certificazione ISO
2. Chi è l'ISO e cosa fa,
3. Chi fornisce test per la sicurezza ISO e, in definitiva,
4. Cosa significa per il tuo negozio e-commerce.

Cos'è la certificazione ISO?

Prima di tutto, ISO sta per International Organization for Standardization. Questa è l'organizzazione che sviluppa e pubblica standard per le organizzazioni a livello internazionale. Tuttavia, non è l'organizzazione che esegue effettivamente la certificazione (ne parleremo più avanti).

L'ISO è stata fondata nel 1947 quando delegati di 25 paesi si sono incontrati a Londra presso l'Institute of Civil Engineers con l'intenzione di facilitare il coordinamento internazionale sugli standard industriali. Oggi il gruppo è composto da membri provenienti da 164 paesi che lavorano insieme per sviluppare gli standard ISO.

Cosa intendiamo esattamente per standard? Secondo il sito Web ISO, creano i "documenti che forniscono requisiti, specifiche, linee guida o caratteristiche che possono essere utilizzati per garantire costantemente che materiali, prodotti, processi e servizi siano adatti al loro scopo".

La certificazione ISO significa che un'azienda ha:

• Sistemi di gestione di alta qualità,
• Sicurezza dei dati,
• Strategie di avversione al rischio e
• Pratiche commerciali standardizzate.

Le aziende certificate ISO devono sottoporsi a una rigorosa valutazione della conformità attraverso test e ispezioni da parte di un gruppo di terze parti specializzato in tale standard. Le aziende che superano queste valutazioni dimostrano di aver raggiunto il particolare standard associato.

Ottenendo una certificazione, fornisce ai consumatori e alle altre parti interessate fiducia nei sistemi aziendali e garantisce che le condizioni di sicurezza, salute o ambientali pertinenti siano soddisfatte.

In cosa è specializzato ISO 27000

L'ISO ha pubblicato più di 22.000 standard su tutto, dalla salute e sicurezza alla gestione degli alimenti allo sviluppo sostenibile. Danno alle aziende di ogni settore qualcosa a cui aderire mentre allineano la loro tecnologia e le loro pratiche per garantire un livello di qualità misurabile e coerente.

La famiglia di standard ISO/IEC 27000 riguarda le migliori pratiche per la gestione di dati sicuri, come informazioni finanziarie, proprietà intellettuale o qualsiasi informazione affidata a un'azienda da terze parti.

ISO/IEC 27001:2013, all'interno di tale famiglia di standard, specifica i requisiti per "stabilire, implementare, mantenere e migliorare continuamente un sistema di gestione della sicurezza delle informazioni nel contesto dell'organizzazione".

La certificazione ISO/IEC 27001:2013 è l'unico standard internazionale verificabile che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Aziende come BigCommerce certificate ISO/IEC 27001:2013 dimostrano di aderire a queste migliori pratiche per la sicurezza dei dati e i sistemi di gestione della sicurezza rigorosi. Ecco alcuni esempi di ciò che include.

1. Dati protetti.

Come spiegato in precedenza, gli standard ISO/IEC 27000 creano regolamenti che aiutano a definire l'aspetto di un sistema di gestione della sicurezza delle informazioni sicuro. La protezione dei dati presenti nei tuoi sistemi è uno dei risultati più rigorosi nel settore SaaS.

2. Gestione del rischio.

La gestione del rischio per le grandi aziende è difficile da pianificare completamente e spesso richiede un approccio strutturato. Esistono standard separati che si occupano specificamente della gestione del rischio (ISO 31000), ma l'ISO 27000 si applica ancora in termini di come la protezione dei dati può garantire meno rischi per un'azienda da violazioni dei dati. La certificazione ISO significa che un'azienda ha elaborato piani per la gestione del rischio e sta svolgendo un lavoro esemplare per mantenere la sicurezza e ridurre al minimo i rischi.

3. Pratiche commerciali sicure.

Poiché gli standard ISO 27000 riguardano le migliori pratiche nei sistemi di sicurezza delle informazioni, la conformità agli standard IT e relativi alla sicurezza deve essere verificata su tutta la linea per ottenere la certificazione ISO 27001:2013. Nel complesso, questa certificazione dimostra che un'azienda agisce in modo professionale ed etico, pianifica il futuro e rispetta la privacy e la sicurezza dei dati.

Spiegazione della certificazione ISO 27001 di BigCommerce

Ora che hai un'idea generale di cosa significhi la certificazione ISO, e in particolare ISO/IEC 27001:2013, tuffiamoci nel processo per la certificazione:quali ostacoli sono stati superati e quali caselle sono state selezionate per dimostrare che BigCommerce sta mantenendo il massimo in standard di informazione.

Una volta compreso l'intero processo rigoroso e gli standard che devono essere raggiunti, diventerà più chiaro perché BigCommerce è una delle pochissime piattaforme di e-commerce SaaS a ottenere questa certificazione.

Per ottenere la certificazione, le aziende devono passare attraverso un processo di pianificazione in sei parti che include tutto quanto segue.

1. Politiche di sicurezza.

L'azienda deve fornire specifiche che descrivano in dettaglio le proprie politiche di sicurezza, inclusa la documentazione, chi è responsabile della gestione e come vengono condotti gli audit interni. BigCommerce ha soddisfatto o superato gli standard per le politiche di sicurezza definite.

2. Ambito ISMS.

La seconda parte del processo di pianificazione definisce l'ambito del sistema di gestione della sicurezza delle informazioni che richiede la certificazione. L'ISMS deve mostrare il miglioramento continuo e le azioni correttive e preventive intraprese per garantire la massima sicurezza. L'ambito e la tabella di marcia di BigCommerce ISMS hanno soddisfatto o superato lo standard necessario.

3. Valutazioni del rischio.

Per gestire e prevenire al meglio i rischi, l'azienda in questione deve valutare tutti i potenziali rischi. BigCommerce ha valutato il rischio nella sua organizzazione e ha soddisfatto o superato gli standard.

4. Rischi identificati.

Ancora una volta, il modo migliore per mitigare il rischio è esserne consapevoli:limitare le incognite sconosciute e portare allo scoperto eventuali passività potenziali. BigCommerce sta attualmente gestendo rischi identificabili per garantire la sicurezza e la soddisfazione dei clienti.

5. Seleziona gli obiettivi di controllo.

Lo standard 27001 non impone controlli specifici sulla sicurezza delle informazioni, tuttavia suggerisce obiettivi di controllo specifici che dovrebbero essere raggiunti. BigCommerce lo prende sul serio e ha raggiunto gli obiettivi di sicurezza richiesti.

6. Dichiarazione di applicabilità.

Dopo aver completato i primi cinque passaggi del processo, BigCommerce ha richiesto la certificazione ISO/IEC 27001:2013 e l'ha ricevuta!

Cosa significa per i nostri clienti

Il motivo per cui BigCommerce ha scelto di perseguire questo rigoroso processo di certificazione è per il valore che può quindi fornire ai nostri clienti. Questa certificazione dimostra il nostro impegno per la sicurezza delle informazioni, la conformità e le pratiche normative. Ciò offre ai nostri clienti la massima tranquillità per quanto riguarda quanto segue:

1. Sicurezza del sito di prim'ordine.

I siti di e-commerce non possono permettersi di avere una sicurezza scadente o incoerente. Quando crei il tuo sito di e-commerce sulla piattaforma BigCommerce, puoi essere certo che il tuo sito rimarrà attivo e sicuro.

2. IP protetto.

Naturalmente, sebbene i dati dei tuoi clienti siano incredibilmente importanti da proteggere, non sono le uniche informazioni sensibili nel tuo sistema. Lavorando con una piattaforma che apprezza la sicurezza delle informazioni e ha credenziali comprovate, puoi essere certo che qualsiasi proprietà intellettuale sul tuo sito sia mantenuta al sicuro all'interno dei sistemi di BigCommerce.

3. Protezione dagli attacchi DDoS.

Un attacco DDoS (Distributed Denial-of-Service) è un tentativo dannoso di interrompere il normale flusso di traffico e il funzionamento di un sito Web sovraccaricando il server o la rete. Poiché BigCommerce ha aggiunto ulteriori misure di sicurezza e best practice, non devi preoccuparti di un attacco DDoS al tuo sito o al nostro.

Chi fornisce i test per la qualità ISO?

Come accennato in precedenza, l'ISO fornisce gli standard, ma in realtà non forniscono certificazioni per valutare se un'azienda ha soddisfatto o meno tali standard. Invece, hanno un comitato, CASCO, che si occupa della valutazione della conformità.

Per ottenere effettivamente la certificazione, un'azienda deve passare attraverso un gruppo di certificazione di terze parti che soddisfi gli standard CASCO necessari.

1. Gruppi di consulenza sulla sicurezza informatica.

I gruppi di sicurezza informatica gestiscono siti Web e sistemi back-end di aziende attraverso test rigorosi per vedere se ci sono buchi nel sistema che potrebbero consentire una violazione. La certificazione di BigCommerce è stata completata dal gruppo di consulenza sulla sicurezza informatica Coalfire ISO. Coalfire ISO è un ente di certificazione ISO 27001 qualificato che garantisce la conformità di BigCommerce alle leggi, ai regolamenti e agli standard di sicurezza applicabili.

2. Organizzazioni di controllo qualità di terze parti.

Dopo che il gruppo di consulenza sulla sicurezza informatica ha valutato e affrontato i rischi, un'organizzazione QA di terze parti può quindi garantire che un'azienda abbia soddisfatto tutti gli standard richiesti per le politiche, le procedure, i processi e i sistemi che gestiscono qualsiasi tipo di informazione che scorre attraverso l'azienda. BigCommerce è stato valutato da un'organizzazione di controllo qualità indipendente che si è assicurata di aver "stabilito un insieme formale di politiche, procedure, processi e sistemi che gestiscono i rischi relativi alle informazioni per la sua presenza fisica e digitale".

Il processo di certificazione e il follow-up QA non sono un affare una tantum. È un impegno triennale di audit di processo continui eseguiti ogni sei mesi per assicurarsi che BigCommerce rimanga conforme e completi i nostri piani di miglioramento del rischio.

Perché ISO 27001 è importante per i negozi di e-commerce

L'importanza della sicurezza dei dati nell'e-commerce non può essere sopravvalutata. I clienti dei negozi online si affidano a quei negozi per mantenere al sicuro i loro pagamenti sensibili e i loro dati personali. Quando la loro fiducia in un'azienda è danneggiata da una violazione della sicurezza, può essere difficile riaverla indietro.

Secondo una ricerca di IBM Security e del Ponemon Institute, il costo medio di una violazione dei dati per un'azienda è di 3,86 milioni di dollari a livello globale. Negli Stati Uniti, il prezzo medio per violazione è ancora maggiore:7,91 milioni di dollari.

Ecco alcune delle cose che possono andare perse se un'azienda non prende sul serio la sicurezza e la protezione e mantiene (o lavora con una piattaforma che mantiene) un approccio sistematico alla gestione delle informazioni sensibili.

1. Sicurezza del pagamento.

Quando elabori centinaia o addirittura migliaia di pagamenti di clienti, avrai bisogno di un sistema che sia altamente protetto in modo che nessuna informazione importante possa sfuggire. C'è un motivo per cui le attività di e-commerce sono il settore più frequentemente attaccato. Sono un bersaglio popolare per gli hacker perché detengono così tante informazioni come i dati delle carte di credito e di debito dei loro clienti. Il tuo sito è il custode di tali informazioni sensibili ed è di vitale importanza che tu mantenga gli standard di sicurezza più elevati per proteggerlo.

2. Informazioni sul cliente.

Le informazioni di pagamento non sono gli unici dati sensibili che hai sui tuoi clienti a cui gli hacker potrebbero essere interessati. Informazioni sui clienti come nomi, indirizzi, numeri di telefono e indirizzi email possono essere tutti a rischio quando si ospita su un sito non sicuro.

3. Fiducia del cliente.

La fiducia dei clienti durante tutto il percorso dell'acquirente è una parte importante della tua esperienza complessiva del cliente. Vuoi che i tuoi clienti abbiano un forte senso di fiducia nel tuo marchio. Perdere quella fiducia può inviarli ai tuoi concorrenti. Far sapere ai clienti che hai a cuore il loro interesse è il modo migliore per mantenere relazioni a lungo termine con i clienti. Scegliendo una piattaforma con certificazione ISO/IEC 27001:2013, puoi assicurare ai tuoi clienti che saranno al sicuro in ogni parte del tuo sito.

Conclusione

BigCommerce è stata entusiasta di annunciare la nostra certificazione ISO/IEC 27001:2013 questa primavera perché rappresenta un grande lavoro per garantire che i nostri processi e la nostra tecnologia siano in linea per mitigare i rischi e proteggere i dati per i nostri clienti.

Ancora più importante, dimostra il nostro impegno a fare della sicurezza delle informazioni una delle nostre massime priorità. Questo è qualcosa che ogni commerciante dovrebbe considerare quando sceglie o adotta una piattaforma per l'eCommerce. Nulla dovrebbe essere lasciato al caso o al rischio e la valutazione di una piattaforma per la sua posizione di sicurezza, impegno e certificazione dovrebbe essere un requisito.

L'e-commerce è un settore enorme, e in continua crescita, che dovrebbe raggiungere $ 604 miliardi di vendite entro il 2020. Poiché sempre più persone ripongono la loro fiducia nei negozi online per proteggere i propri dati, non puoi permetterti di avere un sito non sicuro.

Proteggi i dati dei tuoi clienti e la proprietà intellettuale costruendo su una piattaforma che sia ISO/IEC 27001:2013 e mantenga i massimi livelli di conformità PCI.