DottPrivacy
DottPrivacy
ISO/IEC 27001:2022
Lo standard ISO/IEC 27001 definisce i requisiti di un Sistema di Gestione della Sicurezza delle Informazioni. Dal 31 ottobre 2025 la revisione 2013 non è più valida: ogni certificato in corso di validità è emesso sulla versione 2022, con i suoi 93 controlli riorganizzati in quattro temi.
Richiedi gap analysisRagioni
Quasi mai per convinzione interna. Nella manifattura la certificazione arriva perché qualcuno la chiede: un bando, una capogruppo, un cliente estero, un assicuratore. Il valore si costruisce dopo, quando il sistema smette di essere un raccoglitore e diventa il modo in cui l'azienda governa i propri dati.
Gare pubbliche, albi fornitori e questionari di qualifica chiedono il certificato come prova sintetica di affidabilità. Senza, la valutazione si ferma prima del merito tecnico.
Un SGSI conforme copre gran parte delle misure di gestione del rischio richieste dalla NIS2 e costituisce un elemento di prova delle misure adeguate previste dall'art. 32 del GDPR.
Il risk assessment obbliga la direzione a decidere che cosa proteggere per primo. È da qui che il percorso comincia a produrre valore, a prescindere dal certificato.
Percorso
Parti interessate, requisiti applicabili e definizione del campo di applicazione. Un perimetro scritto male costa per tutta la vita del certificato.
Fotografia dello stato di fatto rispetto ai requisiti delle clausole 4-10 e ai controlli dell'Annex A, con stima realistica di tempi e costi residui.
Metodologia, criteri di accettazione, valutazione dei rischi sugli asset informativi e piano di trattamento approvato dalla direzione.
Motivazione controllo per controllo su tutti i 93 dell'Annex A, comprese le esclusioni. È il documento che l'auditor legge per primo.
Politiche, procedure operative e registrazioni. La documentazione descrive come si lavora davvero, perché in audit si verificano le prove, non le intenzioni.
Programma di audit interni, gestione delle non conformità e riesame di direzione. Solo dopo si convoca l'ente di certificazione per lo stage 1 e lo stage 2.
Annex A
Trentasette controlli organizzativi, otto sulle persone, quattordici fisici, trentaquattro tecnologici. La revisione 2022 ha spostato il baricentro su cloud, gestione delle minacce e sicurezza dello sviluppo.
Allegato A
La revisione 2022 ha riorganizzato i controlli in quattro temi. Su schermo largo la barra è in scala: la larghezza di ciascun tema è il suo peso reale sul totale. Selezionarne uno per vedere che cosa copre e quali prove servono in audit.
I controlli non si applicano tutti e non si applicano allo stesso modo: la dichiarazione di applicabilità motiva inclusioni ed esclusioni sulla base della valutazione del rischio. Nella revisione 2022 ogni controllo porta cinque attributi — tipo, proprietà di sicurezza, concetti di cybersecurity, capacità operative, domini — che servono a filtrarli e a costruire viste utili in azienda.
Domande ricorrenti
Per una PMI con perimetro circoscritto, dai sei ai dodici mesi. Il vincolo non è la documentazione ma il tempo necessario perché il sistema produca registrazioni: senza uno storico di audit e riesami, lo stage 2 non si supera.
Un organismo di certificazione accreditato, terzo e indipendente. Chi presta consulenza non può certificare la stessa organizzazione: la separazione dei ruoli è un requisito di accreditamento, non una cortesia.
No. Lo standard governa la sicurezza delle informazioni, il Regolamento protegge i diritti e le libertà delle persone fisiche in relazione al trattamento dei dati personali. Le due impalcature si integrano bene, ma il registro dei trattamenti e le basi giuridiche restano un impianto separato.
Sì, il campo di applicazione può limitarsi a un sito, a una linea di servizio o a un processo. Va però scritto in modo che il cliente che legge il certificato capisca che cosa copre davvero, altrimenti il vantaggio commerciale svanisce alla prima domanda.
Primo passo
Una giornata di verifica sul campo, il quadro dei requisiti già coperti e la stima di quanto manca. Prima di firmare qualsiasi preventivo di certificazione.
ParliamoneAltri ambiti