L’Annex A è la parte della ISO/IEC 27001 che la maggior parte delle persone immagina quando sente “ISO 27001” — l’elenco dei controlli di sicurezza. Nella versione 2022 contiene 93 controlli organizzati in quattro temi. Ecco cosa significa in pratica.
I quattro temi
| Tema | Numero | Cosa copre |
|---|---|---|
| A.5 Organizzativi | 37 | Politiche, ruoli, fornitori, incidenti, conformità |
| A.6 Persone | 8 | Assunzione, formazione, uscita, lavoro da remoto |
| A.7 Fisici | 14 | Locali, apparecchiature, supporti, cablaggi |
| A.8 Tecnologici | 34 | Accessi, backup, logging, cifratura, sviluppo |
A.5 — Organizzativi (37)
È lo scheletro del sistema: politica per la sicurezza delle informazioni (5.1), ruoli e responsabilità, classificazione delle informazioni, controllo degli accessi, rapporti con i fornitori, gestione degli incidenti (5.24–5.28), requisiti legali e contrattuali. Contiene anche i nuovi controlli su threat intelligence (5.7), sicurezza delle informazioni nell’uso dei servizi cloud (5.23) e preparazione ICT per la continuità operativa (5.30).
A.6 — Persone (8)
Screening (6.1), termini e condizioni di impiego (6.2), consapevolezza, istruzione e formazione (6.3), processo disciplinare (6.4), responsabilità dopo la cessazione (6.5), accordi di riservatezza (6.6), lavoro da remoto (6.7) e segnalazione degli eventi (6.8). Pochi controlli — ma è qui che avviene la maggior parte delle violazioni.
A.7 — Fisici (14)
Perimetri e accesso fisico, monitoraggio della sicurezza fisica (7.4 — un nuovo controllo), scrivania e schermo puliti (7.7), protezione delle apparecchiature, supporti di memorizzazione, cablaggi e smaltimento sicuro (7.14).
A.8 — Tecnologici (34)
Il gruppo più ampio per il team IT: dispositivi endpoint (8.1), accessi privilegiati (8.2), autenticazione (8.5), protezione dal malware (8.7), gestione delle vulnerabilità (8.8), backup (8.13), logging (8.15), crittografia (8.24) e sviluppo sicuro.
Quali 11 controlli sono nuovi nel 2022?
- 5.7 Threat intelligence
- 5.23 Sicurezza delle informazioni nell’uso dei servizi cloud
- 5.30 Preparazione ICT per la continuità operativa
- 7.4 Monitoraggio della sicurezza fisica
- 8.9 Gestione della configurazione
- 8.10 Cancellazione delle informazioni
- 8.11 Mascheramento dei dati
- 8.12 Prevenzione della perdita di dati
- 8.16 Attività di monitoraggio
- 8.23 Filtraggio web
- 8.28 Codifica sicura
Il periodo di transizione dalla versione 2013 si è concluso il 31 ottobre 2025 — oggi tutti i certificati fanno riferimento alla ISO/IEC 27001:2022.
Tutti i 93 controlli sono obbligatori?
No. È l’equivoco più comune. La norma richiede una valutazione dei rischi e, in base a questa, decidete quali controlli si applicano. La decisione è documentata nella Dichiarazione di applicabilità (SoA) — per ciascuno dei 93 controlli indicate se si applica, perché, e in caso contrario perché no.
Ad esempio, un’azienda senza sviluppo interno può escludere con giustificazione alcuni controlli di codifica sicura. Un’azienda senza un ufficio fisico applicherà i controlli fisici in modo molto più limitato.
Obbligatori sono i punti 4–10 della norma — contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento. L’Annex A è un catalogo da cui scegliere in base al rischio.
Da dove iniziare?
- Gap analysis — dove siete oggi rispetto alla norma.
- Registro degli asset e valutazione dei rischi — cosa proteggete e da cosa.
- SoA — quali controlli applicate.
- Implementazione — partite dai controlli con il maggiore impatto: MFA, backup, gestione degli accessi, formazione.
L’errore più comune è iniziare dai documenti. Iniziate dal rischio — i documenti seguiranno.