Una checklist ISO 27001 completa verifica due cose: che il sistema di gestione rispetti i requisiti delle clausole da 4 a 10, e che i controlli dell'Annex A, 93 nella versione 2022, siano valutati uno per uno nella Dichiarazione di Applicabilità. In mezzo ci sono la valutazione dei rischi, i documenti obbligatori, almeno un audit interno e un riesame della direzione prima dell'audit di certificazione.
La ISO/IEC 27001 non chiede di comprare tecnologia né di scrivere un certo numero di procedure. Chiede un sistema di gestione della sicurezza delle informazioni (SGSI) che funzioni e che si possa dimostrare. Questa guida trasforma la norma in una lista di controllo pratica. Per la panoramica su a chi serve e perché, parti dalla pagina ISO/IEC 27001.
Come è fatta la ISO/IEC 27001:2022
La norma ha due parti. Le clausole da 4 a 10 contengono i requisiti del sistema di gestione e seguono la struttura comune alle norme ISO sui sistemi di gestione, la stessa della ISO 9001: chi ha già un sistema qualità ritrova lo schema. L'Annex A elenca i controlli di sicurezza di riferimento, che la ISO/IEC 27002 spiega in dettaglio. Le clausole da 0 a 3 sono introduttive e non contengono requisiti.
Nel 2024 è stato pubblicato un emendamento (Amd 1:2024) che riguarda il clima: alla clausola 4.1 chiede di stabilire se il cambiamento climatico è una questione rilevante per l'organizzazione, e alla 4.2 aggiunge una nota secondo cui le parti interessate possono avere requisiti legati al clima. Tienine conto nell'analisi del contesto.
Checklist delle clausole 4–10
Per ogni voce chiediti due cose: l'abbiamo fatto? E possiamo dimostrarlo a un auditor esterno?
Clausola 4 – Contesto dell'organizzazione
- Questioni interne ed esterne rilevanti identificate, compreso il clima (4.1)
- Parti interessate e loro requisiti, con quelli che il SGSI affronterà (4.2)
- Campo di applicazione definito con confini, interfacce e dipendenze, e documentato (4.3)
- Processi del SGSI e loro interazioni stabiliti (4.4)
Clausola 5 – Leadership
- Impegno della direzione visibile: risorse, comunicazione, integrazione nei processi (5.1)
- Politica per la sicurezza delle informazioni approvata, documentata e comunicata (5.2)
- Ruoli, responsabilità e autorità assegnati e comunicati (5.3)
Clausola 6 – Pianificazione
- Processo di valutazione dei rischi definito, con criteri di accettazione (6.1.2)
- Processo di trattamento dei rischi e piano di trattamento (6.1.3)
- Dichiarazione di Applicabilità redatta (6.1.3 d)
- Rischi residui accettati dai responsabili dei rischi, piano approvato
- Obiettivi per la sicurezza misurabili, con responsabili e scadenze (6.2)
- Modifiche al SGSI pianificate (6.3, novità della versione 2022)
Clausola 7 – Supporto
- Risorse necessarie determinate e messe a disposizione (7.1)
- Competenze definite, con evidenza di formazione ed esperienza (7.2)
- Consapevolezza del personale sulla politica e sul proprio ruolo (7.3)
- Comunicazione interna ed esterna pianificata (7.4)
- Informazioni documentate controllate: approvazione, versioni, distribuzione, conservazione (7.5)
Clausola 8 – Attività operative
- Processi pianificati e controllati, compresi quelli affidati all'esterno (8.1)
- Valutazione dei rischi ripetuta a intervalli pianificati e dopo cambiamenti significativi (8.2)
- Piano di trattamento attuato, con risultati documentati (8.3)
Clausola 9 – Valutazione delle prestazioni
- Cosa misurare, come, quando e chi analizza i risultati (9.1)
- Programma di audit interni attuato (9.2)
- Riesame della direzione svolto a intervalli pianificati (9.3)
Clausola 10 – Miglioramento
- Miglioramento continuo del SGSI (10.1)
- Non conformità gestite: correzione, analisi delle cause, azioni correttive, verifica di efficacia (10.2)
Annex A: i 93 controlli in quattro temi
La versione 2022 ha riorganizzato i controlli: dai 114 della versione 2013, divisi in 14 domini, si è passati a 93 controlli in quattro temi. Molti controlli sono stati accorpati, 11 sono nuovi.
| Tema | Numerazione | Controlli | Esempi |
|---|---|---|---|
| Organizzativi | 5.1 – 5.37 | 37 | Politiche, inventario degli asset, controllo degli accessi, fornitori, gestione degli incidenti, continuità |
| Persone | 6.1 – 6.8 | 8 | Screening, consapevolezza e formazione, lavoro da remoto, segnalazione degli eventi |
| Fisici | 7.1 – 7.14 | 14 | Perimetri, ingressi, scrivania pulita, apparecchiature, supporti di memorizzazione |
| Tecnologici | 8.1 – 8.34 | 34 | Endpoint, accessi privilegiati, malware, vulnerabilità tecniche, backup, log, reti, sviluppo sicuro |
Gli 11 controlli nuovi meritano attenzione, perché spesso sono quelli che mancano a chi viene dalla versione 2013:
- 5.7 Threat intelligence, cioè raccogliere e analizzare informazioni sulle minacce: vedi Threat Intelligence
- 5.23 Sicurezza delle informazioni nell'uso dei servizi cloud
- 5.30 Prontezza ICT per la continuità operativa: vedi Continuità operativa
- 7.4 Monitoraggio della sicurezza fisica
- 8.9 Gestione della configurazione
- 8.10 Cancellazione delle informazioni
- 8.11 Mascheramento dei dati
- 8.12 Prevenzione della fuga di dati
- 8.16 Attività di monitoraggio
- 8.23 Filtraggio web
- 8.28 Codifica sicura
I controlli tecnologici sono quelli dove le evidenze si producono meglio con strumenti automatici: inventario degli asset, gestione delle vulnerabilità, registrazione degli accessi. Per i log degli accessi privilegiati vale quanto spiegato nella guida sui log degli amministratori di sistema.
Risk assessment e Dichiarazione di Applicabilità
Il cuore della norma è la gestione del rischio. La clausola 6.1.2 chiede un processo di valutazione dei rischi che produca risultati coerenti, validi e confrontabili quando viene ripetuto: criteri di accettazione e criteri per eseguire la valutazione, identificazione dei rischi per riservatezza, integrità e disponibilità, un responsabile per ogni rischio, analisi delle conseguenze e della probabilità, ponderazione rispetto ai criteri.
La clausola 6.1.3 chiede di scegliere le opzioni di trattamento e i controlli necessari, di confrontarli con l'Annex A per non dimenticarne nessuno, di redigere il piano di trattamento e di ottenere dai responsabili dei rischi l'approvazione del piano e l'accettazione del rischio residuo. Il Risk Assessment è lo strumento con cui si fa e si ripete questo lavoro.
La Dichiarazione di Applicabilità (SoA, Statement of Applicability) è il documento che collega i rischi ai controlli. Secondo la 6.1.3 d contiene:
- I controlli necessari
- La giustificazione della loro inclusione
- Se i controlli necessari sono attuati o no
- La giustificazione dell'esclusione dei controlli dell'Annex A
È il documento che l'auditor apre per primo, ed è il più faticoso da tenere aggiornato: ogni volta che cambia un rischio o lo stato di un controllo, la SoA deve seguirlo.
Documenti obbligatori della ISO 27001
La norma usa l'espressione "informazioni documentate". Alcune sono richieste espressamente dalle clausole; altre le decidi tu, quando le ritieni necessarie per l'efficacia del sistema (7.5.1 b). Ecco quelle esplicite.
| Clausola | Informazione documentata |
|---|---|
| 4.3 | Campo di applicazione del SGSI |
| 5.2 | Politica per la sicurezza delle informazioni |
| 6.1.2 | Processo di valutazione dei rischi |
| 6.1.3 | Processo di trattamento dei rischi |
| 6.1.3 d | Dichiarazione di Applicabilità |
| 6.2 | Obiettivi per la sicurezza delle informazioni |
| 7.2 | Evidenze delle competenze |
| 8.1 | Evidenze che i processi sono stati eseguiti come pianificato, nella misura necessaria |
| 8.2 | Risultati delle valutazioni dei rischi |
| 8.3 | Risultati del trattamento dei rischi |
| 9.1 | Risultati del monitoraggio e della misurazione |
| 9.2 | Programma di audit e risultati degli audit |
| 9.3 | Risultati del riesame della direzione |
| 10.2 | Natura delle non conformità, azioni intraprese e risultati delle azioni correttive |
Diversi controlli dell'Annex A, se li dichiari applicabili, portano con sé altri documenti: per esempio le politiche specifiche (5.1), l'inventario degli asset (5.9), le regole di uso accettabile (5.10), le procedure operative documentate (5.37), il piano di risposta agli incidenti (5.24–5.26). Per la gestione degli incidenti puoi partire dal modulo Incident Response e dalla guida data breach: cosa fare nelle 72 ore.
Audit interno e riesame della direzione
Sono i due requisiti che distinguono un sistema di gestione da una raccolta di documenti, e senza i quali non si arriva alla certificazione.
Audit interno (9.2)
- Audit a intervalli pianificati, per verificare che il SGSI sia conforme ai requisiti della norma e a quelli dell'organizzazione, e che sia efficacemente attuato
- Un programma di audit con frequenza, metodi, responsabilità, requisiti di pianificazione e reportistica
- Criteri e campo di applicazione definiti per ogni audit
- Auditor scelti in modo da assicurare obiettività e imparzialità
- Risultati riportati alla direzione pertinente
La ISO 19011 è la linea guida di riferimento per condurre gli audit. Dai rilievi nascono le non conformità della clausola 10.2.
Riesame della direzione (9.3)
Gli elementi in ingresso previsti dalla norma sono:
- Lo stato delle azioni decise nei riesami precedenti
- I cambiamenti nelle questioni interne ed esterne
- I cambiamenti nelle esigenze e aspettative delle parti interessate
- Le prestazioni di sicurezza: non conformità e azioni correttive, monitoraggio e misurazioni, risultati degli audit, raggiungimento degli obiettivi
- I riscontri delle parti interessate
- I risultati della valutazione dei rischi e lo stato del piano di trattamento
- Le opportunità di miglioramento continuo
In uscita il riesame produce decisioni sulle opportunità di miglioramento e su eventuali modifiche al SGSI, da documentare.
La transizione dalla ISO 27001:2013
Il periodo di transizione di tre anni dalla versione 2013 alla 2022 si è chiuso il 31 ottobre 2025. Da quella data i certificati emessi secondo la versione 2013 non sono più validi. Un'organizzazione che non ha completato la transizione in tempo non può semplicemente aggiornarla: deve affrontare una nuova certificazione iniziale secondo la versione 2022.
Se ti presentano ancora un certificato ISO 27001:2013, per esempio nella documentazione di un fornitore, quel certificato oggi non è più valido. È un controllo da fare nella qualifica dei fornitori.
Il percorso di certificazione, fase per fase
La certificazione la rilascia un organismo di certificazione accreditato; in Italia l'ente di accreditamento è Accredia. Il percorso tipico ha queste fasi:
Gap analysis
Misuri la distanza tra la situazione attuale e i requisiti. L'autovalutazione serve a questo.
Progettazione e attuazione
Definisci il campo di applicazione, valuti i rischi, scrivi politiche e procedure, attui i controlli e prepari la SoA.
Funzionamento e verifica interna
Il sistema gira per un periodo sufficiente a produrre evidenze. Svolgi almeno un audit interno completo e un riesame della direzione.
Audit di stage 1
L'organismo esamina la documentazione e verifica che il sistema sia pronto: campo di applicazione, rischi, SoA, audit interno e riesame.
Audit di stage 2
L'organismo verifica sul campo che il sistema sia attuato ed efficace, con interviste ed evidenze. Per le non conformità rilevate l'organismo chiede correzioni e azioni correttive prima di decidere.
Certificato e mantenimento
Il certificato ha validità triennale, con audit di sorveglianza periodici, di norma annuali, e un audit di ricertificazione alla scadenza.
Gli errori tipici
- Procedure copiate da un modello. L'auditor chiede alle persone come lavorano: se la risposta non corrisponde al documento, è una non conformità.
- SoA scritta una volta e mai aggiornata. Controlli dichiarati "attuati" che nessuno sa più mostrare.
- Esclusioni senza giustificazione. Ogni controllo escluso va motivato, e la motivazione deve reggere rispetto ai rischi.
- Rischi senza responsabile. La norma chiede un responsabile per ogni rischio, che accetti formalmente il rischio residuo.
- Audit interno fatto da chi ha costruito il sistema. Gli auditor devono essere obiettivi e imparziali.
- Riesame che non decide nulla. Un verbale senza decisioni in uscita non soddisfa la 9.3.
- Campo di applicazione troppo stretto. Certificare un perimetro che esclude i servizi che i clienti comprano rende il certificato poco utile nei questionari di sicurezza dei clienti.
- Evidenze che scadono. La formazione dell'anno scorso o il backup verificato una volta non dimostrano che il controllo funziona oggi.
Come ti aiuta Dottor Box
Il modulo Compliance e GRC è modellato sulla ISO 27001: catalogo di requisiti e controlli, procedure scritte in piattaforma con la storia delle revisioni, cicli di audit secondo la ISO 19011 con checklist generata dalla norma, non conformità con un ciclo che non si chiude se l'azione risulta non efficace, verbale di riesame secondo la 9.3 che diventa immutabile dopo l'approvazione. La SoA nasce dallo stato dei task collegati e la tua decisione sul singolo controllo prevale sempre; si esporta in PDF con gli altri documenti di conformità.
Il Risk Assessment copre le clausole 6.1 e 8.2 con il confronto fra rischio inerente e residuo, la Formazione fornisce il registro dei corsi per la 7.2, e i moduli tecnici come il Vulnerability Assessment e l'Asset Management producono evidenze per i controlli tecnologici. Dottor Marc, che sviluppa la piattaforma, è certificata ISO/IEC 27001: lo stesso percorso lo abbiamo fatto anche noi.