Questo articolo spiega cosa prevede la norma, quali organizzazioni possono trarne beneficio, come si articola il percorso verso la certificazione e quali errori evitare durante la preparazione.
Cos’è la ISO/IEC 27001 e cosa certifica
La ISO/IEC 27001 è uno standard internazionale pubblicato dall’International Organization for Standardization (ISO) e dalla International Electrotechnical Commission (IEC). La versione attualmente in vigore è la ISO/IEC 27001:2022, che ha sostituito l’edizione del 2013.
Lo standard definisce i requisiti per stabilire, implementare, mantenere e migliorare continuamente un sistema di gestione per la sicurezza delle informazioni. Un SGSI è un insieme di politiche, procedure, processi e controlli progettati per proteggere la riservatezza, l’integrità e la disponibilità delle informazioni gestite dall’organizzazione.
È importante distinguere due concetti spesso confusi:
- Implementazione: l’organizzazione adotta un SGSI conforme ai requisiti della norma
- Certificazione: un organismo di certificazione accreditato verifica attraverso audit che il SGSI sia effettivamente conforme e rilascia un certificato
L’implementazione è un processo interno. La certificazione è un riconoscimento esterno, volontario e soggetto a rinnovo periodico.
Il ruolo della ISO/IEC 27002
La ISO/IEC 27002 è una norma complementare che fornisce linee guida dettagliate sui controlli di sicurezza. Non è uno standard di certificazione autonomo, ma un riferimento per selezionare e implementare i controlli elencati nell’Annex A della ISO/IEC 27001. La versione 2022 della ISO/IEC 27002 ha riorganizzato i controlli in quattro categorie: organizzativi, relativi alle persone, fisici e tecnologici.
A chi serve la certificazione ISO 27001
La certificazione ISO 27001 non è obbligatoria per legge in termini generali. Tuttavia, diverse situazioni rendono questa scelta strategicamente rilevante o praticamente necessaria.
Requisiti contrattuali e di filiera
Molte grandi imprese e pubbliche amministrazioni richiedono ai propri fornitori di dimostrare l’adozione di standard di sicurezza riconosciuti. La certificazione ISO 27001 risponde a questa esigenza in modo verificabile e standardizzato.
Settori come quello finanziario, sanitario, energetico e della pubblica amministrazione presentano frequentemente requisiti di questo tipo nei capitolati di gara o nei contratti di fornitura.
Obblighi normativi correlati
Alcune normative, pur non imponendo direttamente la certificazione ISO 27001, richiedono l’adozione di misure di sicurezza che trovano nello standard un riferimento consolidato:
- Il GDPR richiede misure tecniche e organizzative adeguate per proteggere i dati personali. Un SGSI certificato può contribuire a dimostrare l’accountability del titolare
- La Direttiva NIS2, recepita in Italia con il D.lgs. 138/2024, impone ai soggetti essenziali e importanti l’adozione di misure di gestione dei rischi cyber. L’Agenzia per la cybersicurezza nazionale può emanare indicazioni che fanno riferimento a standard internazionali
Vantaggi competitivi e organizzativi
Oltre agli obblighi esterni, la certificazione può produrre benefici interni:
- Strutturazione dei processi di sicurezza
- Maggiore consapevolezza del personale
- Identificazione sistematica dei rischi
- Miglioramento continuo documentato
- Maggiore fiducia da parte di clienti e partner
I requisiti della ISO/IEC 27001:2022
Lo standard si articola in due parti principali: il corpo normativo (clausole 4-10) e l’Annex A che elenca i controlli di riferimento.
Le clausole del corpo normativo
Le clausole definiscono i requisiti per il sistema di gestione:
| Clausola | Contenuto |
|---|---|
| 4 | Contesto dell’organizzazione: parti interessate, ambito del SGSI |
| 5 | Leadership: impegno della direzione, politica, ruoli e responsabilità |
| 6 | Pianificazione: valutazione dei rischi, obiettivi di sicurezza |
| 7 | Supporto: risorse, competenze, consapevolezza, comunicazione, documentazione |
| 8 | Attività operative: implementazione dei piani, gestione dei rischi |
| 9 | Valutazione delle prestazioni: monitoraggio, audit interni, riesame della direzione |
| 10 | Miglioramento: non conformità, azioni correttive, miglioramento continuo |
L’Annex A e i controlli
L’Annex A della ISO/IEC 27001:2022 contiene 93 controlli organizzati in quattro categorie. L’organizzazione deve valutare quali controlli siano applicabili in base alla propria analisi dei rischi e documentare le esclusioni nella Dichiarazione di Applicabilità (Statement of Applicability o SoA).
Non tutti i controlli sono obbligatori per ogni organizzazione. La selezione dipende dal contesto, dai rischi identificati e dagli obiettivi di sicurezza.
Il percorso verso la certificazione ISO 27001
Il percorso di certificazione richiede una preparazione strutturata. Di seguito le fasi principali.
Fase 1: Analisi iniziale e definizione dell’ambito
Prima di avviare il progetto, l’organizzazione deve:
- Comprendere il proprio contesto e le aspettative delle parti interessate
- Definire l’ambito (scope) del SGSI: quali processi, sedi, sistemi informativi rientrano nel perimetro
- Ottenere il commitment della direzione
- Identificare le risorse disponibili
Un errore comune è definire un ambito troppo ampio o troppo ristretto. Un ambito eccessivo aumenta complessità e costi. Un ambito troppo limitato può non coprire i processi realmente critici.
Fase 2: Analisi dei rischi
L’analisi dei rischi ISO 27001 è il cuore del sistema. L’organizzazione deve:
- Identificare gli asset informativi rilevanti
- Individuare le minacce e le vulnerabilità
- Valutare la probabilità e l’impatto dei rischi
- Determinare il livello di rischio accettabile
- Definire le opzioni di trattamento: mitigazione, trasferimento, accettazione, eliminazione
La norma non prescrive una metodologia specifica. L’organizzazione può adottare approcci riconosciuti come quelli basati su ISO/IEC 27005 o altri framework, purché il processo sia documentato e ripetibile.
Fase 3: Implementazione dei controlli
Sulla base dell’analisi dei rischi, l’organizzazione implementa i controlli selezionati:
- Politiche e procedure documentate
- Controlli tecnici sui sistemi informativi
- Misure fisiche di protezione
- Programmi di formazione e sensibilizzazione
- Processi di gestione degli incidenti
- Procedure di backup e continuità operativa
La Dichiarazione di Applicabilità documenta quali controlli dell’Annex A sono stati adottati, con quale giustificazione, e quali sono stati esclusi.
Fase 4: Audit interno e riesame della direzione
Prima di richiedere la certificazione, l’organizzazione deve:
- Condurre almeno un ciclo completo di audit interno
- Effettuare il riesame della direzione del SGSI
- Gestire le eventuali non conformità rilevate
Queste attività sono requisiti della norma e saranno verificate durante l’audit di certificazione.
Fase 5: Audit di certificazione
L’audit ISO 27001 di certificazione si svolge in due fasi:
Stage 1: l’organismo di certificazione verifica la documentazione del SGSI, l’analisi dei rischi, la SoA e la preparazione dell’organizzazione. Identifica eventuali lacune da colmare prima dello Stage 2.
Stage 2: audit sul campo per verificare l’effettiva implementazione del sistema. Gli auditor intervistano il personale, esaminano le evidenze, verificano i processi operativi.
Se l’esito è positivo, l’organismo rilascia il certificato con validità triennale.
Mantenimento e rinnovo
La certificazione richiede:
- Audit di sorveglianza annuali
- Audit di rinnovo al termine del triennio
- Mantenimento continuo del sistema di gestione
La certificazione non è un traguardo statico ma un impegno continuativo.
Tempi e costi della certificazione ISO 27001
I tempi certificazione ISO 27001 variano significativamente in base a diversi fattori:
- Dimensione dell’organizzazione
- Complessità dei processi e dei sistemi informativi
- Maturità delle pratiche di sicurezza esistenti
- Risorse dedicate al progetto
- Ampiezza dell’ambito di certificazione
Per una PMI con processi mediamente strutturati, il percorso dalla decisione iniziale al conseguimento della certificazione richiede generalmente da 6 a 18 mesi.
I costi ISO 27001 comprendono diverse voci:
- Eventuale consulenza esterna per gap analysis, implementazione e preparazione all’audit
- Formazione del personale
- Eventuali investimenti tecnologici per colmare lacune nei controlli
- Costi dell’organismo di certificazione per gli audit
- Tempo del personale interno dedicato al progetto
Non è possibile fornire cifre universalmente valide. Un’analisi preliminare del contesto aziendale è necessaria per stimare l’investimento richiesto.
Errori comuni da evitare
L’esperienza evidenzia alcuni errori ricorrenti nel percorso verso la certificazione:
Approccio documentale senza sostanza
Creare documenti formalmente conformi senza che riflettano pratiche realmente operative. Gli auditor verificano l’effettiva implementazione, non solo l’esistenza della documentazione.
Sottovalutare il coinvolgimento della direzione
Senza un reale commitment del management, il SGSI diventa un esercizio burocratico. La leadership deve partecipare attivamente al riesame e alle decisioni strategiche.
Analisi dei rischi superficiale
Un’analisi dei rischi generica o copiata da template non coglie le specificità dell’organizzazione e porta a controlli inadeguati o ridondanti.
Trascurare la formazione
La sicurezza delle informazioni dipende fortemente dal comportamento delle persone. Programmi di sensibilizzazione inadeguati lasciano vulnerabilità significative.
Considerare la certificazione come punto di arrivo
Il SGSI richiede manutenzione continua. Trascurare il sistema dopo la certificazione porta a non conformità durante le sorveglianze e, nei casi peggiori, alla sospensione del certificato.
Come prepararsi: una checklist operativa
Per avviare il percorso verso la certificazione ISO 27001, l’organizzazione può seguire questi passaggi:
- Ottenere il commitment formale della direzione
- Nominare un responsabile del progetto SGSI
- Definire l’ambito di certificazione
- Condurre una gap analysis rispetto ai requisiti della norma
- Identificare le risorse necessarie (interne e consulenziali)
- Pianificare il progetto con milestone realistiche
- Selezionare una metodologia per l’analisi dei rischi
- Mappare gli asset informativi nell’ambito
- Condurre l’analisi dei rischi
- Redigere la Dichiarazione di Applicabilità
- Implementare i controlli selezionati
- Formare il personale coinvolto
- Condurre audit interni
- Effettuare il riesame della direzione
- Selezionare un organismo di certificazione accreditato
- Affrontare l’audit di certificazione
Domande frequenti
La certificazione ISO 27001 è obbligatoria?
No, la certificazione ISO 27001 è volontaria. Tuttavia, può diventare un requisito contrattuale per partecipare a gare o fornire servizi a determinate organizzazioni. Alcune normative settoriali possono inoltre richiedere misure di sicurezza che trovano nella certificazione un riferimento riconosciuto.
Quanto tempo serve per ottenere la certificazione?
I tempi variano da 6 a 18 mesi per una PMI, in base alla complessità organizzativa, alla maturità delle pratiche esistenti e alle risorse dedicate. Progetti più ampi o organizzazioni con significative lacune iniziali possono richiedere tempi maggiori.
Qual è la differenza tra ISO 27001 e ISO 27002?
La ISO/IEC 27001 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni ed è lo standard rispetto al quale si ottiene la certificazione. La ISO/IEC 27002 fornisce linee guida sui controlli di sicurezza e non prevede una certificazione autonoma.
Un’azienda può implementare la ISO 27001 senza certificarsi?
Sì, un’organizzazione può adottare un SGSI conforme alla ISO/IEC 27001 senza richiedere la certificazione formale. In questo caso non potrà però dichiarare di essere certificata né utilizzare il marchio dell’organismo di certificazione.
Cosa succede se non si supera l’audit di certificazione?
Se l’audit evidenzia non conformità maggiori, l’organismo di certificazione non rilascia il certificato fino alla loro risoluzione. L’organizzazione dovrà implementare le azioni correttive necessarie e sottoporsi a una nuova verifica.
Conclusioni
La certificazione ISO 27001 rappresenta un impegno significativo che richiede risorse, tempo e coinvolgimento organizzativo. Non è un adempimento formale ma un percorso di strutturazione delle pratiche di sicurezza che, se condotto correttamente, produce benefici duraturi.
Per affrontare questo percorso con consapevolezza, è utile partire da un’analisi oggettiva della situazione attuale e da una pianificazione realistica.
