Clienti, partner e bandi chiedono sempre più spesso la stessa cosa: dimostrare di saper proteggere le informazioni. La norma ISO/IEC 27001 è lo standard internazionale che risponde a questa domanda. Definisce i requisiti di un sistema di gestione della sicurezza delle informazioni (SGSI) e, a differenza di una semplice dichiarazione, può essere certificata da un ente terzo accreditato.
Cos’è, in pratica
La ISO 27001 non prescrive un prodotto o una tecnologia. Chiede all’azienda di gestire la sicurezza come un processo: individuare le informazioni da proteggere, valutarne i rischi, scegliere i controlli adeguati, misurarne l’efficacia e migliorare nel tempo. Al centro ci sono tre proprietà delle informazioni: riservatezza, integrità e disponibilità.
La versione 2022
L’edizione attuale è la ISO/IEC 27001:2022. Il suo allegato A raccoglie 93 controlli, rispetto ai 114 della versione precedente, organizzati in quattro temi: organizzativi, persone, fisici e tecnologici. Tra le novità ci sono controlli dedicati alla threat intelligence, alla sicurezza dei servizi cloud, alla prontezza dell’ICT per la continuità operativa, alla gestione delle configurazioni, alla cancellazione delle informazioni, al mascheramento dei dati, alla prevenzione della fuga di dati, al monitoraggio e allo sviluppo sicuro del software. Il periodo di transizione dalla versione 2013 si è chiuso il 31 ottobre 2025: oggi le certificazioni valide fanno riferimento alla versione 2022.
Perché è importante
Fiducia di clienti e partner
La certificazione è un linguaggio comune: sostituisce lunghi questionari di sicurezza con un’evidenza riconosciuta. Per molte gare e per i fornitori di grandi aziende è un requisito, o almeno un elemento che pesa nella valutazione.
Una base per la conformità normativa
Direttiva NIS2, regolamento DORA e GDPR chiedono misure di sicurezza adeguate, gestione del rischio, controllo dei fornitori e gestione degli incidenti. La ISO 27001 non garantisce da sola la conformità a queste norme, ma ne copre buona parte della sostanza e offre una struttura in cui inserire i requisiti specifici.
Meno improvvisazione, più metodo
Ruoli chiari, procedure scritte, inventario delle risorse, piani di continuità provati: un SGSI rende la sicurezza meno dipendente dalla singola persona e più resistente a incidenti, cambi di personale e crescita dell’azienda.
Miglioramento continuo
Audit interni, riesame della direzione e audit di sorveglianza periodici dell’ente di certificazione obbligano a verificare che i controlli funzionino davvero, non solo sulla carta.
Il percorso verso la certificazione
- Definire il perimetro: sedi, processi, sistemi e servizi inclusi.
- Analisi del rischio sulle informazioni nel perimetro.
- Dichiarazione di applicabilità: quali controlli dell’allegato A si adottano e perché.
- Attuazione di controlli, procedure e formazione del personale.
- Audit interno e riesame della direzione.
- Audit di certificazione da parte di un ente accreditato, seguito da audit di sorveglianza negli anni successivi.
I tempi dipendono da dimensione, perimetro e maturità di partenza: partire da un’analisi del divario permette di stimarli in modo realistico.
VCG affianca le aziende nell’analisi del rischio, nella progettazione delle misure tecniche e organizzative e nella preparazione agli audit. Se stai valutando la certificazione, contattaci.