ISO 27002.
Le linee guida per le misure di sicurezza delle informazioni: cosa organizza ISO 27002, come applicarla e quali evidenze ne derivano.
- ISO/IEC 27002:2022
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 7 min.
Risposta breve.
ISO 27002 è la guida internazionale all'attuazione delle misure di sicurezza delle informazioni. ISO/IEC 27002:2022 organizza i controlli in temi organizzativi, relativi alle persone, fisici e tecnologici e ne illustra l'applicazione. Le organizzazioni la utilizzano secondo rischi e operatività. Non esiste una certificazione autonoma ISO 27002; i requisiti certificabili di un ISMS sono contenuti in ISO 27001.
ISO 27002:2022 come guida all'attuazione.
ISO 27002 illustra le misure di sicurezza, mentre ISO 27001 descrive i requisiti di un sistema di gestione della sicurezza delle informazioni, in breve ISMS. Il termine inglese Controls indica misure che influenzano i rischi di sicurezza. Comprende procedure organizzative e protezioni tecniche o fisiche. Un catalogo di misure non descrive quindi un semplice elenco di prodotti né soltanto il lavoro di un reparto IT.
La pagina pubblica dell'editore riporta ISO/IEC 27002:2022 come terza edizione di febbraio 2022 e cita una versione inglese corretta di marzo 2022. L'articolo delle curatrici nello SC-27-Journal, numero di dicembre 2022, pagine da 13 a 15, illustra la struttura con 93 misure in quattro temi e gli attributi integrativi. Questo orientamento non sostituisce l'utilizzo della norma acquisita legittimamente.
Le linee guida si applicano nel contesto della propria organizzazione. La descrizione del prodotto IEC cita sia l'utilizzo in un ISMS sia lo sviluppo di linee guida di sicurezza specifiche dell'organizzazione. Adottare un catalogo non stabilisce ancora quale ambiente sia protetto, chi gestisca una misura o se questa funzioni effettivamente.
A chi è adatta ISO 27002.
Secondo la descrizione pubblica ISO, ISO 27002 si rivolge a organizzazioni di dimensioni e settori diversi. Può sostenere il lavoro sulle misure di un ISMS esistente o orientare il lavoro sulla sicurezza. Puntare a una certificazione non è un prerequisito. Prima dell'introduzione occorre chiarire se servano un linguaggio tecnico comune, una migliore attuazione o un'attestazione per un destinatario specifico.
L'applicazione coinvolge regolarmente più funzioni. Come ripartizione pratica, i responsabili della sicurezza possono coordinare la selezione, i responsabili del servizio spiegare l'ambiente interessato e le funzioni aziendali occuparsi dell'attuazione. Acquisti, personale, gestione degli edifici e sviluppo partecipano quando la misura concreta riguarda i loro processi. Questa ripartizione è una raccomandazione organizzativa, non un'assegnazione universale dei ruoli prevista dalla norma.
I controlli ISO 27002 come base di lavoro.
Quattro temi strutturano le misure; selezione e attributi aiutano ad applicarle. I seguenti sei ambiti collegano questa struttura a decisioni pratiche, senza rappresentare sei capitoli ufficiali della norma o un elenco completo di misure.
Responsabilità organizzativa.
Le misure organizzative costituiscono un tema autonomo. Per l'attuazione pratica, chiarite dove una decisione viene presa, approvata e verificata. Una disposizione comprensibile collega il servizio protetto alla funzione competente; la sola esistenza di un documento di politica non spiega ancora questo rapporto.
Persone e procedure di lavoro.
Le misure relative alle persone considerano la sicurezza in rapporto alle persone e al loro lavoro. Nell'applicazione, verificate quali eventi quotidiani attivano un'azione e chi la svolge. Formazione e cambiamento di ruolo richiedono attuazioni diverse, anche quando li segue la stessa funzione.
Ambiente fisico.
Le misure fisiche riguardano l'ambiente in cui vengono utilizzati informazioni e mezzi di supporto. Nella delimitazione pratica distinguete sedi proprie e prestazioni dei fornitori. Un'evidenza sul data center, per esempio, non risponde automaticamente alle domande sulla gestione dei dispositivi nel proprio ufficio.
Attuazione tecnologica.
Le misure tecnologiche costituiscono il quarto tema. Per applicarle, descrivete prima quali sistemi e informazioni deve coprire una protezione tecnica. Potrete poi verificare la coerenza tra configurazione, procedura operativa e monitoraggio. Una funzione attivata è un punto di partenza della verifica, non una dichiarazione completa di efficacia.
Collegare la selezione al rischio.
L'applicazione dovrebbe partire dalle esigenze di protezione e dai rischi dell'operatività considerata. Come raccomandazione pratica, registrate quale decisione sostiene una misura e quali dipendenze sono state considerate. Resta così comprensibile perché due servizi possano richiedere attuazioni diverse pur avendo la stessa linea guida come riferimento.
Usare gli attributi per viste comprensibili.
Secondo l'articolo delle curatrici, gli attributi consentono viste diverse sull'insieme delle misure. Usatele, per esempio, nel coordinamento tra organizzazione della sicurezza e responsabili operativi. L'ordinamento facilita la navigazione; non sostituisce né la decisione di applicazione né la prova che una misura sia attuata o efficace.
Applicare ISO 27002 nell'operatività.
Scegliere un ambito gestibile.
Come avvio pratico, delimitate un servizio con informazioni, sistemi e soggetti coinvolti, affinché la successiva attuazione abbia un confine verificabile.
Registrare la base decisionale.
Descrivete rischi rilevanti e requisiti aziendali, legali o contrattuali prima di ricorrere alle linee guida adatte per lavorare sulle misure.
Leggere le linee guida nel contesto.
Verificate sulla norma acquisita legittimamente quali indicazioni siano adatte al vostro ambiente e non trattate una breve descrizione come una disposizione completa di attuazione.
Determinare attuazione e responsabilità.
Concordate cosa deve accadere nell'operatività considerata, chi ne è responsabile e a quale processo esistente si collega il lavoro.
Verificare le dichiarazioni con evidenze.
Scegliete registrazioni o test che coprano effettivamente l'ambito descritto e registrate risultato, data di verifica e azioni successive necessarie.
Rivalutare i cambiamenti.
Definite occasioni adatte di riesame, per esempio una modifica del servizio o un incidente, e aggiornate la decisione di attuazione con i responsabili interessati.
Evidenze senza certificato ISO 27002.
Secondo le FAQ del prodotto ISO, non è prevista una certificazione autonoma ISO 27002. Chi necessita di un'attestazione ISMS certificata deve considerare ISO 27001 e l'ambito concreto di certificazione. ISO non esegue direttamente queste certificazioni; secondo la pagina ISO sulla certificazione se ne occupano organismi esterni. Per la guida all'attuazione non esiste quindi neppure una durata generale del certificato.
Per il proprio lavoro sulle evidenze è consigliabile una dichiarazione chiara: quale attuazione va dimostrata in quale ambiente? Una procedura può descrivere il modo di operare pianificato, mentre una registrazione ne mostra l'esecuzione. Un test esamina invece un'aspettativa concreta. Questi tipi di evidenza possono integrarsi, ma rispondono a domande diverse.
Prima di trasmettere un'evidenza, verificate origine, periodo e ambito. Un'impostazione attuale non dimostra l'operatività storica; un campione non spiega automaticamente ogni eccezione. Documentate la copertura limitata e il lavoro che ne deriva, anziché dedurre da un singolo documento un impegno completo di sicurezza o conformità.
Inquadrare gli altri framework.
ISO 27001 descrive i requisiti dell'ISMS, ISO 27002 sostiene il lavoro sulle misure al suo interno. IT-Grundschutz fornisce una metodologia BSI propria con standard e Compendio. Gli obblighi legali dei soggetti interessati dal BSIG richiedono una verifica separata; utilizzare una guida all'attuazione non conferma la conformità a NIS2.
In Secani.
Secani contiene un catalogo redazionale di lavoro su ISO/IEC 27002:2022 con dati di profilo, tra l'altro, su servizi cloud, sviluppo software e lavoro mobile. Il catalogo serve a una gestione strutturata e non è un testo ufficiale della norma. Le decisioni di applicabilità richiedono una motivazione; lo strumento redazionale non sostituisce una verifica specialistica autonoma.
Iniziare con un'attuazione tracciabile.
Scegliete un servizio con responsabili e dipendenze noti. Registrate una decisione concreta di sicurezza con motivo, attuazione prevista e percorso di verifica adatto. Chiarite poi con i soggetti coinvolti se questa descrizione corrisponde al lavoro effettivamente svolto. Solo allora l'approccio può essere esteso utilmente ad altri servizi.
Fonti.
Domande frequenti.
No. ISO 27002 è una guida all'attuazione; per un'attestazione certificata del sistema di gestione della sicurezza delle informazioni, la norma di requisiti pertinente è ISO 27001.
No. L'attuazione concreta dipende dal contesto e dai rischi dell'ambiente considerato; un riferimento comune non implica un modello operativo identico per tutte le organizzazioni.
No. Gli attributi consentono diverse viste sulle misure e aiutano a ordinarle; non sostituiscono una decisione di applicabilità né un'evidenza di attuazione.
No. Una politica comprensibile o una procedura operativa può sostenere più misure, purché le rispettive attuazione e responsabilità restino tracciabili.
Gestire le misure in modo tracciabile.
Organizzate rischi, responsabilità ed evidenze in Secani.
Questa pagina inquadra la guida all'attuazione. Fanno fede le norme acquisite legittimamente e il contesto concreto di applicazione.