ISO/IEC 27001 – Sistema di Gestione della Sicurezza delle Informazioni (SGSI)

ISO/IEC 27001 è lo standard internazionale di riferimento (certificabile) per impostare, attuare e migliorare un Sistema di Gestione della Sicurezza delle Informazioni. L’obiettivo è proteggere le informazioni garantendo riservatezza, integrità e disponibilità (CIA) tramite un approccio basato sul rischio, così da dare fiducia a clienti e stakeholder sul fatto che i rischi siano gestiti in modo adeguato.

Nota “aggiornamento versione”: oggi lo standard in uso è ISO/IEC 27001:2022 (pubblicata a ottobre 2022). La precedente ISO/IEC 27001:2013 è uscita dal periodo di transizione: molte guide di organismi di certificazione indicano come data di fine transizione il 31 ottobre 2025.

Che cos’è il SGSI?

Il SGSI è l’insieme organizzato di responsabilità, regole, processi, controlli e verifiche con cui un’organizzazione governa la sicurezza delle informazioni lungo tutto il loro ciclo di vita.

In pratica, lo standard ti chiede di:

• partire dal contesto (cosa fai, per chi, con quali vincoli e rischi);

• trattare l’“informazione” come un asset (risorsa informativa) da censire e valorizzare (non solo digitale: può essere su carta, nei sistemi IT e nelle attività delle persone);

• svolgere una valutazione del rischio coerente con il tuo contesto e decidere misure proporzionate;

• dimostrare che l’approccio è efficace e migliorato nel tempo.

Elemento centrale è l’Annex A, cioè un set di controlli di sicurezza da considerare come riferimento. Con l’edizione 2022 i controlli sono stati aggiornati e riallineati a ISO/IEC 27002:2022, passando a 93 controlli raggruppati in 4 famiglie (Organizzativi, Persone, Fisici, Tecnologici).

Altro documento-chiave è la Statement of Applicability (SoA): collega rischi → controlli scelti, spiegando cosa applichi, cosa escludi e perché. È esplicitamente richiamata nei requisiti (clausola 6.1.3).

I vantaggi dell’implementazione del SGSI

Implementare un SGSI secondo ISO/IEC 27001 porta benefici concreti, anche per aziende non “tech”:

• Riduzione del rischio (incidenti, data breach, indisponibilità di sistemi/servizi) perché ragioni in modo strutturato su minacce, vulnerabilità e impatti, e scegli contromisure proporzionate.

• Migliore affidabilità verso clienti e stakeholder: dimostri un metodo riconosciuto per gestire la sicurezza e rendi più “robuste” gare, qualifica fornitori e requisiti contrattuali.

• Conformità più gestibile: il SGSI aiuta a organizzare requisiti legali/contrattuali (privacy, proprietà intellettuale, continuità operativa, obblighi verso clienti) dentro processi e responsabilità chiare.

• Sicurezza non solo tecnologica: lo standard spinge su aspetti organizzativi (ruoli, formazione, procedure, gestione fornitori), spesso decisivi quanto firewall e antivirus.

• Miglioramento continuo: misuri performance e risultati (indicatori, audit interni, riesami) e aggiorni il sistema quando cambiano rischi, tecnologie o business.

  
  

Da dove iniziare?

Step 1 - Definisci scopo e perimetro (scope)

Decidi quali sedi/processi/sistemi/informazioni rientrano nel SGSI, quali parti interessate e requisiti (legali e contrattuali) devi considerare, e formalizza policy e obiettivi.

Step 2 - Censisci e “valorizza” gli asset informativi

Elenca informazioni e risorse (dati, applicazioni, infrastrutture, fornitori, documenti, persone/ruoli chiave), assegna ownership e criteri CIA (riservatezza–integrità–disponibilità).

Step 3 - Valuta i rischi e pianifica il trattamento

Definisci metodo e criteri (probabilità/impatti), identifica rischi e priorità, poi scegli come trattarli: riduzione, trasferimento, accettazione o eliminazione.

Step 4 - Seleziona i controlli e costruisci la SoA

Confronta i controlli necessari con il riferimento dell’Annex A e redigi la Statement of Applicability, motivando inclusioni/esclusioni e lo stato di attuazione; quindi implementa misure organizzative e tecniche (incluse quelle su fornitori e consapevolezza del personale).

Step 5 - Misura, verifica, correggi (e poi certifica)

Attiva monitoraggi e indicatori, conduci audit interni e riesami della direzione, chiudi le non conformità e prepara l’audit di terza parte. Tipicamente la certificazione segue un ciclo triennale con verifiche periodiche di sorveglianza.