ISO 27001
Sicurezza delle Informazioni

Come funziona: rischi, controlli e Dichiarazione di Applicabilità

La norma non impone una lista fissa di misure. Chiede di:

1. individuare le informazioni da proteggere e i sistemi, le persone e i fornitori che le gestiscono;
2. valutare i rischi per la loro riservatezza, integrità e disponibilità;
3. scegliere i controlli adatti a ridurre i rischi a un livello accettabile;
4. documentare le scelte nella Dichiarazione di Applicabilità, che indica per ogni controllo dell'Allegato A se è applicato o escluso, e perché.

I 93 controlli dell'Allegato A

Nella versione 2022 i controlli di riferimento sono 93, raggruppati in quattro temi:

• organizzativi (37): politiche, ruoli, gestione degli asset, fornitori, incidenti, continuità, conformità;
• relativi alle persone (8): selezione, formazione, consapevolezza, lavoro da remoto;
• fisici (14): aree sicure, apparecchiature, supporti di memoria;
• tecnologici (34): accessi, crittografia, backup, registrazione degli eventi, sviluppo sicuro, gestione delle vulnerabilità.

Tra le novità della 2022 ci sono controlli dedicati a threat intelligence, sicurezza dei servizi cloud, preparazione delle tecnologie per la continuità operativa, filtraggio web, prevenzione della fuga di dati e codifica sicura.

I documenti principali del sistema

• campo di applicazione del sistema;
• politica per la sicurezza delle informazioni e obiettivi;
• metodo di valutazione dei rischi e risultati della valutazione;
• piano di trattamento dei rischi e Dichiarazione di Applicabilità;
• evidenze di competenza e consapevolezza del personale;
• procedure operative per i controlli applicati (accessi, backup, incidenti, fornitori, cambiamenti);
• registrazioni del monitoraggio, programma e risultati degli audit interni, riesame della direzione;
• non conformità e azioni correttive.

ISO/IEC 27001, GDPR e NIS2

• GDPR: l'articolo 32 chiede misure tecniche e organizzative adeguate al rischio. Un sistema ISO/IEC 27001 è uno dei modi più solidi per dimostrarle, anche se non sostituisce gli altri obblighi privacy.
• NIS2: la direttiva, recepita in Italia con il D.Lgs. 138/2024, chiede ai soggetti coinvolti misure di gestione del rischio informatico, gestione degli incidenti, continuità e sicurezza della catena di fornitura. La certificazione non equivale automaticamente alla conformità, ma copre gran parte delle misure richieste e le rende dimostrabili.
• Clienti e fornitori: sempre più aziende chiedono la ISO/IEC 27001 ai fornitori IT e a chiunque tratti i loro dati.

Come si ottiene la certificazione, passo per passo

1. Campo di applicazione: quali sedi, processi, sistemi e servizi rientrano nel sistema.
2. Analisi e valutazione dei rischi con metodo documentato.
3. Piano di trattamento dei rischi e Dichiarazione di Applicabilità.
4. Politiche, procedure e controlli tecnici, con formazione del personale.
5. Audit interno e riesame della direzione.
6. Audit di certificazione in due fasi, certificato triennale e sorveglianze annuali.

Gli errori più frequenti

• Trattarla come un progetto solo IT: la norma riguarda anche persone, processi, fornitori e sicurezza fisica.
• Escludere controlli senza motivazione nella Dichiarazione di Applicabilità.
• Fornitori cloud non valutati.
• Backup mai provati con un ripristino reale.
• Accessi non rivisti: utenze di ex dipendenti ancora attive sono una non conformità frequente.

Da cosa dipendono tempi e costi

Dipendono dal campo di applicazione, dal numero di persone e sedi, dalla complessità dell'infrastruttura, dalle misure di sicurezza già presenti e da eventuali altre certificazioni da integrare (ISO 9001, ISO/IEC 20000-1, ISO 22301). Dopo una breve analisi ti inviamo un preventivo gratuito entro 24 ore.