Certificazione ISO 27001: il sistema di gestione della sicurezza delle informazioni

Che cos'è la ISO/IEC 27001

La ISO/IEC 27001 è lo standard internazionale che definisce i requisiti di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI, o ISMS). Non prescrive una tecnologia, ma un metodo: identificare i rischi per riservatezza, integrità e disponibilità delle informazioni, scegliere i controlli adeguati, misurarne l'efficacia e migliorare nel tempo.

La versione in vigore è la ISO/IEC 27001:2022. Le certificazioni rilasciate sulla versione 2013 hanno dovuto completare la transizione entro il 31 ottobre 2025: chi è certificato oggi lo è sulla nuova edizione.

Perché le aziende scelgono la certificazione

La certificazione è rilasciata da un ente accreditato ed è riconosciuta in tutto il mondo: per molti clienti, gare pubbliche e assicurazioni cyber è diventata un requisito d'accesso. Allo stesso tempo, un SGSI ben costruito copre gran parte delle misure richieste da NIS2, GDPR (art. 32) e DORA, evitando di gestire la compliance in compartimenti separati.

• Requisito sempre più frequente in gare e contratti B2B
• Base comune per NIS2, GDPR, DORA e ISO 42001
• Risposta pronta ai questionari di sicurezza dei clienti
• Riduzione dei premi e migliori condizioni per le polizze cyber
• Governance chiara del rischio verso il CdA
• Miglioramento continuo misurato con KPI

I 93 controlli dell'Annex A

L'edizione 2022 riorganizza i controlli in quattro temi: 37 controlli organizzativi, 8 relativi alle persone, 14 fisici e 34 tecnologici. Tra i nuovi controlli ci sono threat intelligence, sicurezza dei servizi cloud, preparazione ICT per la continuità operativa, monitoraggio delle attività, mascheramento dei dati, prevenzione della fuga di dati e secure coding.

Non tutti i controlli sono obbligatori: la Dichiarazione di Applicabilità (SoA) indica quali si applicano alla tua organizzazione e perché, in base all'analisi dei rischi.

• Organizzativi: policy, ruoli, fornitori, incidenti, continuità
• Persone: selezione, formazione, lavoro da remoto
• Fisici: aree sicure, apparecchiature, supporti
• Tecnologici: accessi, crittografia, logging, backup, sviluppo sicuro

Il percorso verso la certificazione

Accompagniamo l'organizzazione dalla definizione del perimetro fino all'audit di certificazione, costruendo un sistema proporzionato alle tue dimensioni: niente burocrazia inutile, solo processi che il personale usa davvero.

• 1. Definizione del contesto e del campo di applicazione
• 2. Gap analysis rispetto ai requisiti e ai controlli
• 3. Metodologia e analisi dei rischi, piano di trattamento
• 4. Dichiarazione di Applicabilità (SoA)
• 5. Policy, procedure e implementazione dei controlli
• 6. Formazione e sensibilizzazione del personale
• 7. Audit interno e riesame della direzione
• 8. Supporto agli audit di Stage 1 e Stage 2

Tempi, audit e mantenimento

Per una PMI con un perimetro ben definito il percorso richiede di norma dai 6 ai 12 mesi, in funzione del livello di partenza. La certificazione ha validità triennale, con audit di sorveglianza annuali da parte dell'ente e un audit di ricertificazione al terzo anno.

Dopo la certificazione possiamo affiancarti come funzione di sicurezza esterna per mantenere vivo il sistema: aggiornamento dei rischi, audit interni, gestione delle non conformità e preparazione alle sorveglianze.

Un sistema integrato con ISO 42001 e GDPR

La ISO/IEC 27001 condivide la struttura di alto livello con la ISO/IEC 42001 per l'intelligenza artificiale e con la ISO 9001: politiche, rischi, audit e riesame possono essere gestiti in un unico sistema integrato. Lo stesso registro dei rischi alimenta anche la valutazione d'impatto privacy e le misure GDPR.