ISO 27001.
Istituire un sistema di gestione della sicurezza delle informazioni, governare i rischi e scegliere l'attestazione adatta per clienti e partner contrattuali.
- ISO/IEC 27001:2022 + Amd 1:2024
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 8 min.
Risposta breve.
ISO 27001 è la norma internazionale per i sistemi di gestione della sicurezza delle informazioni, in breve ISMS. Descrive come organizzare, gestire e migliorare la sicurezza in base ai rischi. ISO/IEC 27001:2022 si applica a dimensioni e settori diversi. Un organismo indipendente può certificare la conformità del sistema nell'ambito definito; ISO non rilascia certificati.
ISO 27001 e ISMS.
ISO 27001 descrive i requisiti per la gestione della sicurezza delle informazioni. Un ISMS collega le decisioni della direzione alla gestione di informazioni, persone, processi e tecnologia. Protegge riservatezza, integrità e disponibilità: chi può vedere le informazioni, come mantenerle affidabili e quando devono essere utilizzabili? La descrizione pubblica di ISO/IEC 27001:2022 pone al centro un approccio basato sui rischi.
L'edizione di base pubblicata è ISO/IEC 27001:2022, integrata dall'Amd 1:2024. L'emendamento introduce la considerazione dei temi climatici nel contesto del sistema di gestione. Secondo il comunicato congiunto ISO/IAF di febbraio 2024, occorre verificarne la rilevanza per il rispettivo sistema di gestione. Non ne deriva un programma di misure identico per ogni organizzazione.
L'ISMS è il lavoro continuo dell'organizzazione; la certificazione è una possibile attestazione esterna. Uno strumento introdotto, un questionario compilato o un certificato di formazione non sostituiscono né la gestione del sistema né la sua valutazione indipendente.
A chi è adatta ISO 27001.
Secondo la descrizione pubblica di ISO, ISO 27001 è adatta a organizzazioni di dimensioni e settori diversi. Contano le informazioni e le dipendenze nell'ambito scelto. Un piccolo fornitore può quindi avere bisogno di responsabilità e procedure diverse da un'impresa con più sedi, senza che cambi il compito fondamentale della gestione della sicurezza.
I requisiti dei clienti determinano spesso l'ambito di certificazione necessario. Chiarite se un partner contrattuale vuole far valutare un determinato servizio, una sede o una persona giuridica. Un perimetro delimitato consapevolmente deve considerare le interfacce rilevanti. Un'attività esternalizzata non scompare dalla valutazione della sicurezza solo perché la svolge un fornitore.
I requisiti di ISO 27001.
I requisiti di ISO 27001 collegano il governo dell'ISMS alla gestione di misure di sicurezza adeguate. I seguenti sei ambiti di lavoro riassumono con parole proprie i capitoli da 4 a 10 di ISO/IEC 27001:2022 a scopo orientativo.
Definire contesto e ambito di applicazione.
L'organizzazione delimita le attività e le informazioni comprese nell'ISMS. Vi rientrano i requisiti rilevanti delle parti interessate e le dipendenze da altre aree. Per l'attuazione è consigliabile una descrizione comprensibile sia ai responsabili di funzione sia ai lettori esterni: il solo nome di un servizio non ne spiega sistemi di supporto e interfacce.
Consolidare leadership e responsabilità.
La direzione dà orientamento, poteri e risorse al lavoro sulla sicurezza. I responsabili devono poter prendere decisioni coerenti con i propri compiti. Una persona con ruolo centrale di coordinamento può mantenere la visione d'insieme; ciò non le trasferisce automaticamente tutti i compiti di risorse umane, acquisti, IT o sviluppo.
Valutare e trattare i rischi.
La valutazione e il trattamento dei rischi determinano quali problemi affrontare per primi. Criteri di valutazione, persone responsabili e decisioni tracciabili collegano l'analisi al lavoro concreto. La dichiarazione di applicabilità, chiamata anche Statement of Applicability o SoA, registra le misure scelte e le motivazioni. L'allegato A funge da riferimento per le misure di sicurezza.
Organizzare risorse e documentazione.
Competenze, comunicazione e informazioni documentate aggiornate sostengono l'operatività. Stabilite concretamente chi approva una disposizione, chi la applica e dove trovare la versione valida. Una vasta raccolta di documenti serve poco se le dichiarazioni divergono dal lavoro effettivo o se i responsabili non conoscono i propri compiti.
Gestire le misure nella pratica quotidiana.
Le misure di sicurezza devono funzionare effettivamente nell'ambito scelto. Disposizioni organizzative, relative al personale, fisiche e tecniche interagiscono tra loro. Come ausilio pratico, per ogni misura scelta i responsabili possono registrare quale processo protegge e quali registrazioni ne dimostrano il funzionamento. L'articolo sull'allegato A approfondisce selezione e gestione delle misure.
Valutare e migliorare.
Audit interni, riesami della direzione e gestione delle non conformità mantengono attivo l'ISMS. L'organizzazione verifica se il proprio modo di lavorare soddisfa i requisiti e sostiene i risultati attesi. Nella pratica è utile stabilire già quando si definisce una correzione come riconoscerne in seguito l'efficacia.
Il percorso verso la certificazione ISO 27001.
Concordare obiettivo e perimetro.
Come punto di partenza pratico, chiarite quale attestazione serve per quale attività e descrivete l'ambito, comprese le dipendenze rilevanti.
Definire responsabilità e capacità.
Individuate la direzione con potere decisionale, il coordinamento e i responsabili dei processi e riservate tempo per introduzione e manutenzione continua.
Gestire rischi e misure.
Applicate un metodo di valutazione tracciabile, decidete il trattamento e documentate la selezione delle misure nella dichiarazione di applicabilità.
Collegare operatività ed evidenze.
Attuate le misure scelte e conservate registrazioni adeguate dell'operatività effettiva, anziché limitarvi a compilare modelli di documenti.
Valutare e correggere internamente.
Utilizzate audit interno e riesame della direzione per affrontare decisioni aperte, non conformità e fabbisogno di risorse prima della verifica esterna.
Pianificare verifica esterna e gestione successiva.
Concordate ambito e programma di audit con un organismo di certificazione adeguato e proseguite la gestione dell'ISMS dopo la decisione di certificazione, con le verifiche necessarie.
Cosa attesta il certificato ISO 27001.
Il certificato ISO 27001 conferma la conformità valutata del sistema di gestione nell'ambito indicato. Verificate quindi insieme perimetro, edizione della norma, organismo emittente, data di validità e stato attuale. Il certificato non garantisce che ogni area aziendale sia stata inclusa o che in futuro non possano verificarsi incidenti di sicurezza.
La certificazione viene eseguita da organismi esterni; ISO non rilascia certificati. ISO/IEC 27006-1:2024 integra i requisiti di tali organismi per la certificazione degli ISMS. L'accreditamento riguarda la loro competenza e si distingue dal certificato dell'organizzazione verificata. La pagina pubblica ISO sulla certificazione spiega come controllare lo stato di certificazione e accreditamento.
La pianificazione non termina con il primo rilascio. Chiedete al vostro organismo di certificazione di spiegare il programma di audit, le condizioni di mantenimento e la procedura di rinnovo. Per decidere il budget contano queste prestazioni ricorrenti insieme alla gestione interna, non solo il primo preventivo.
Approfondimenti sul blog.
- Cos'è un ISMS?Collegare il lavoro sulla sicurezza alle decisioni dell'organizzazione.
- Preparare la certificazione ISO 27001Pianificare in dettaglio preparazione, impegno e verifiche.
- ISO 27001, allegato AIntegrare le misure scelte nell'operatività.
- Audit interno ISO 27001Organizzare criteri di audit, evidenze e correzioni.
- Checklist ISO 27001Ordinare preliminarmente ambiti di lavoro e ausili esistenti per iniziare.
Inquadrare gli altri framework.
ISO 27002 integra ISO 27001 con indicazioni per attuare le misure di sicurezza delle informazioni. IT-Grundschutz descrive una metodologia BSI per il lavoro sulla sicurezza e un percorso di certificazione proprio. NIS2 istituisce obblighi legali autonomi per i soggetti interessati; un certificato ISO 27001 non ne sostituisce la verifica. TISAX utilizza una procedura propria di valutazione e scambio per la filiera automobilistica.
In Secani.
Secani offre un proprio catalogo redazionale di verifica relativo a ISO/IEC 27001:2022 con Amendment 1:2024. Nel workspace è possibile gestire in modo collegato misure, evidenze e attività. Il catalogo contiene indicazioni proprie di attuazione e non sostituisce il testo della norma concesso in licenza; valutazione specialistica e decisione di certificazione restano compiti separati.
Iniziare con un ambito concreto.
Scegliete un servizio per cui serve un'attestazione di sicurezza tracciabile. Registrate quali informazioni, team coinvolti e fornitori ne fanno parte e chi può decidere sui rischi. Su questa base è possibile discutere l'estensione dell'attuazione e le aspettative sul certificato.
Richiedete poi un preventivo di audit basato sullo stesso perimetro. Distinguete impegno interno, miglioramenti necessari e costi della verifica esterna. I preventivi diventano così più confrontabili senza promettere già una data di certificazione o un risultato.
Fonti.
- ENX: manuale del partecipante TISAX
- ISO/IEC 27001:2022: pagina pubblica della norma
- ISO/IEC 27001:2022/Amd 1:2024
- Comunicato ISO/IAF sulle integrazioni climatiche, febbraio 2024
- ISO: certificazione e accreditamento
- ISO/IEC 27006-1:2024: requisiti degli organismi di certificazione
- ISO/IEC 27002:2022: guida integrativa all'attuazione
Domande frequenti.
No, non esiste un obbligo generale di certificazione ISO 27001 per ogni impresa. La necessità di una specifica attestazione dipende dai requisiti legali, contrattuali o settoriali applicabili.
Non è possibile indicare un prezzo unico affidabile senza conoscere ambito e situazione iniziale. Pianificate separatamente impegno interno, miglioramenti necessari, costi di audit esterni e mantenimento continuo.
La selezione dipende dai rischi e dai requisiti rilevanti. La dichiarazione di applicabilità documenta le misure necessarie, il livello di attuazione e le esclusioni motivate delle misure di riferimento.
Sì. Attuare un ISMS e farlo certificare da un organismo esterno sono decisioni distinte; ISO descrive la certificazione come attestazione facoltativa.
No. I certificati sono rilasciati da organismi di certificazione esterni; ISO sviluppa e pubblica le norme.
Chiarire l'ambito di applicazione.
Parliamo di come gestire requisiti, misure ed evidenze in Secani.
Questa pagina inquadra ISO 27001 con parole proprie e non sostituisce il testo della norma concesso in licenza né una verifica specialistica. Fanno fede le pubblicazioni originali e la procedura di certificazione applicabile.