In che modo la certificazione ISO si collega a un sistema di telecamere indossabili
Un sistema di bodycamera va ben oltre la bodycamera stessa. Le riprese passano attraverso un percorso che può includere la registrazione del dispositivo, l’autenticazione, il trasferimento wireless, l’archiviazione nel cloud o in locale, l’accesso da parte degli utenti autorizzati, l’esportazione e l’eventuale cancellazione. La sicurezza, la privacy e la qualità dipendono quindi sia dai processi organizzativi che dalle caratteristiche del prodotto.
La certificazione ISO del sistema di gestione si applica all’organizzazione certificata e alle attività indicate nell’ambito di applicazione del certificato. Un ente di certificazione indipendente verifica se i processi richiesti siano stati implementati e siano mantenuti. Non si tratta di un’approvazione del prodotto e non garantisce che una singola bodycam sia sicura, resistente o conforme a tutte le leggi.
Le cinque norme ISO in breve
| Standard | Obiettivo principale | Collegamento a un sistema di bodycam |
| ISO 27001 | Gestione della sicurezza delle informazioni | Governance della sicurezza a livello di informazioni, persone, processi e tecnologia |
| ISO 27017 | Controlli di sicurezza nel cloud | Misure di sicurezza specifiche per il cloud e responsabilità condivise |
| ISO 27018 | Protezione dei dati personali nel cloud pubblico | Gestione delle informazioni di identificazione personale nei servizi di cloud pubblico |
| ISO 9001 | Gestione della qualità | Coerenza tra sviluppo, fornitura, assistenza e miglioramento |
| ISO 14001 | Gestione ambientale | Gestione strutturata degli impatti ambientali |
ISO 27001: le basi della sicurezza delle informazioni
La norma ISO 27001 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni, o ISMS. Richiede che un’organizzazione identifichi i rischi legati alle informazioni, scelga i controlli adeguati, assegni le responsabilità, valuti le prestazioni e migliori il sistema nel tempo.
In un contesto di bodycam, l’ISMS può coprire attività quali la registrazione dei dispositivi, la gestione delle identità e degli accessi, la trasmissione sicura, l’archiviazione delle prove, la risposta agli incidenti, la gestione dei fornitori e la cancellazione delle riprese. I confini esatti sono definiti dall’ambito di applicazione del certificato. Le scelte dettagliate relative ai controlli sono documentate all’interno dell’ISMS dell’organizzazione piuttosto che sul certificato stesso.
ISO 27017: responsabilità in materia di sicurezza nel cloud
La norma ISO 27017 aggiunge linee guida specifiche per il cloud al quadro normativo delle norme ISO 27001 e 27002. Aiuta i fornitori di servizi cloud e i clienti a definire chi è responsabile di quali controlli e affronta i rischi specifici dei servizi cloud, inclusi gli ambienti virtuali, le operazioni amministrative e la restituzione o la rimozione sicura delle risorse cloud.
Quando i filmati vengono caricati su una piattaforma cloud per la gestione delle prove, la sicurezza è suddivisa tra il fornitore e il cliente. Il fornitore può occuparsi della sicurezza dell’infrastruttura, dell’ambiente amministrativo e delle operazioni di servizio, mentre il cliente gestisce i ruoli degli utenti, le impostazioni di autenticazione e gli utilizzi consentiti. La norma ISO 27017 fornisce a questa suddivisione un quadro di controllo riconosciuto e rende più chiare le responsabilità relative al cloud.
Articolo correlato su ZEPCAM: ISO 27017 e ISO 27018: rafforzare la sicurezza e la privacy nel cloud
ISO 27018: protezione dei dati personali nel cloud pubblico
La norma ISO 27018 si concentra sui dati personali trattati nel cloud pubblico. Le riprese delle bodycam possono identificare dipendenti, cittadini, testimoni e passanti, a volte in contesti medici, di applicazione della legge o in altre situazioni delicate.
Lo standard riguarda la trasparenza, la limitazione delle finalità, la comunicazione, la conservazione, la restituzione e la cancellazione dei dati personali. Il suo ruolo è particolarmente evidente quando un fornitore di bodycam elabora le riprese per conto di un cliente tramite un servizio di cloud pubblico. La norma ISO 27018 è in linea con diversi principi di privacy, ma non è un certificato di conformità al GDPR. La conformità legale dipende anche dalla finalità e dalla base giuridica del trattamento, dai contratti, dalle scelte relative alla conservazione, dai diritti degli interessati e dai trasferimenti internazionali.
ISO 9001: qualità costante per hardware, software e assistenza
La norma ISO 9001 definisce i requisiti per un sistema di gestione della qualità. Descrive come un’organizzazione controlla i processi, gestisce le non conformità, monitora le esigenze dei clienti e migliora i propri prodotti e servizi.
Un servizio di bodycam comprende hardware, firmware, software per la gestione delle prove, implementazione e assistenza. Un difetto in qualsiasi anello di questa catena può interrompere la registrazione o l’accesso alle prove. La norma ISO 9001 inserisce queste attività all’interno di processi documentati relativi a requisiti, controllo delle versioni, azioni correttive, prestazioni del servizio e miglioramento continuo. Questo garantisce continuità sia nella flotta di dispositivi che nei servizi ad essa correlati.
ISO 14001: gestione ambientale lungo tutto il ciclo di vita
La norma ISO 14001 definisce i requisiti per un sistema di gestione ambientale. Richiede che un’organizzazione identifichi gli aspetti ambientali rilevanti, adempia agli obblighi applicabili, fissi degli obiettivi e migliori le proprie prestazioni ambientali.
Per un fornitore di bodycam, gli aspetti ambientali possono riguardare l’uso dei materiali, le batterie, l’assemblaggio, l’imballaggio, il trasporto, la riparazione, il ritiro e i rifiuti elettronici. La norma ISO 14001 collega queste attività attraverso obiettivi, responsabilità, monitoraggio e miglioramento. Questo non significa che ogni dispositivo sia riciclabile o abbia una determinata impronta di carbonio; descrive piuttosto come l’organizzazione gestisce gli impatti ambientali nell’ambito del proprio campo di applicazione certificato.
Articolo correlato su ZEPCAM: ZEPCAM ottiene le certificazioni ISO 9001 e ISO 14001
Modello condiviso: Cosa copre un certificato ISO
Un certificato ISO indica il soggetto giuridico certificato, la norma e l’edizione, l’ente di certificazione, il periodo di validità e l’ambito di applicazione. L’ambito di applicazione identifica le attività, i servizi o le sedi coperti dal sistema di gestione. Un fornitore può quindi possedere un certificato valido il cui ambito copra solo una parte della sua attività complessiva.
Questa distinzione è importante per le videocamere indossabili perché una soluzione può coinvolgere diverse attività: sviluppo del prodotto, assemblaggio del dispositivo, hosting cloud, gestione del software, assistenza e manutenzione. Il certificato descrive quali di queste attività rientrano nel sistema di gestione sottoposto a verifica. Non sostituisce i test tecnici sul prodotto né la valutazione legale.
In che modo i cinque standard si completano a vicenda
La norma ISO/IEC 27001 fornisce il quadro generale per la gestione della sicurezza delle informazioni. La norma ISO/IEC 27017 aggiunge controlli specifici per i servizi cloud e chiarisce la ripartizione delle responsabilità. La norma ISO/IEC 27018 si concentra in particolare sui dati personali identificabili presenti in un cloud pubblico. La norma ISO 9001 garantisce la coerenza dei processi utilizzati per creare e supportare la soluzione, mentre la norma ISO 14001 riguarda la gestione degli impatti ambientali.