060731-IscomCertificazioniSicurezza1 Per gentile concessione dell’Istituto Superiore delle Comunicazioni e delle Tecnologie dell’Informazione [1] pubblichiamo un paragrafo della nuova linea guida sulle certificazioni di sicurezza i cui contenuto ci sono stati anticipati [2] dall’ ing. Luisa Franchina [3], Direttore Generale di ISCOM. Si tratta del paragrafo che affronta il tema della certificazione delle competenze del personale. Di tale linea guida abbiamo pubblicato anche l'indice [4] completo.

3.3 Certificazione di competenza del personale

Lo standard ISO17799 prevede che all’atto della verifica di un ISMS sia verificata anche la competenza e il processo formativo del personale che riveste un qualche ruolo nella attuazione delle politiche di sicurezza delle informazioni. Tale verifica, però, si limita a controllare se è stato previsto e/o attuato un processo formativo, ma non entra eccessivamente nel merito riguardo alla adeguatezza del processo formativo stesso rispetto alle effettive esigenze, né peraltro il Lead Auditor verifica puntualmente la effettiva competenza del personale.

Nel caso un ente ritenga necessario avvalersi di personale con competenza certificata nel settore della sicurezza ICT, ha a disposizione una varietà di scelte che cercheremo di illustrare nel seguito, senza, peraltro, la pretesa di essere esaustivi, anche considerando la notevole varietà di certificazioni di competenza attualmente disponibili sul mercato.
In particolare, non entreremo nel merito di quale tipologia di certificazione di competenza sia necessaria per poter svolgere un particolare ruolo aziendale, in quanto questo argomento richiederebbe una analisi approfondita dei vari ruoli che esula dagli obiettivi primari del presente documento.

Analogamente a quanto avviene per le altre tipologie di certificazione di terza parte, anche nel caso della certificazione di competenza del personale è opportuno fare riferimento innanzitutto a quanto previsto dalle norme internazionali. Nel campo specifico, è stata emanata la norma ISO/IEC 17024, General requirements for bodies operating certification of persons, che stabilisce quali dovrebbero essere le caratteristiche di un Organismo di Certificazione abilitato a certificare la competenza professionale del personale, indipendentemente dalla competenza specifica che si vuole certificare. Tali requisiti sono, sostanzialmente, quelli riportati nel seguente elenco:

Indipendenza
Trasparenza
Imparzialità
Assenza di conflitti di interesse
Partecipazione nel Consiglio Direttivo dell’Ente di Certificazione delle parti del mercato interessate
Equilibrio nelle decisioni: non deve essere possibile che prevalgano interessi particolari
Competenza
Riservatezza
Individuazione di un Codice Deontologico da far sottoscrivere ai professionisti prima della certificazione e da far rispettare nel tempo
Durata delle certificazioni limitata e controllata nel tempo (e non a vita come per gli iscritti agli albi professionali)
Concessione del rinnovo della certificazione (dopo un limitato periodo di tempo) solo se il professionista:

ha curato l’aggiornamento professionale previsto;
ha continuato a svolgere, nel periodo di tempo stabilito, l attività professionale per la quale è stato certificato;
ha rispettato il codice deontologico sottoscritto

La verifica che un Organismo di Certificazione possieda le su indicate caratteristiche dovrebbe essere verificata da un Organismo super partes che, a sua volta, abbia una legittimazione ad operare nel campo specifico.
In Italia, il ruolo di Organismo super partes è svolto da SINCERT [5] che effettua l accreditamento degli organismi di certificazione di competenza in base alla ISO17024 e con riferimento alla Guida EA IAF ILAC A4 Ed 2004 [6]. La legittimazione di SINCERT ad effettuare tali accreditamenti risiede nel fatto che ha aderito agli accordi multilaterali EA [7] (European Cooperation for Accreditation) e IAF [8] (International Accreditation Forum).
Al momento, comunque, SINCERT ha accreditato 9 Organismi di certificazione di competenza del personale [9] in vari settori (ad esempio, esperti in prove non distruttive, di saldatura, di gestione ambientale, esperti in sistemi di qualità) ma nessuno di essi è accreditato specificatamente per erogare certificazioni di competenza nel settore della sicurezza ICT.
In questo contesto, meritano una particolare citazione sia CEPAS [10], sia KHC [11] che hanno attivato degli specifici schemi di certificazione denominati, rispettivamente: