Consulenza gratuita
ISO/IEC 27001 — Sistema di gestione della sicurezza delle informazioni
Sicurezza e resilienza

ISO/IEC 27001:2022 Sistema di gestione della sicurezza delle informazioni

La norma internazionale che dimostra a clienti, partner e autorità che gestite i rischi informativi in modo sistematico — dalle politiche ai server.

Consulenza gratuita Test di preparazione
controlli nell'Annex A
93
temi di controllo
4
punti obbligatori (4–10)
7
validità del certificato
3 anni
01 · Cos’è

Cos'è la ISO 27001

La ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni (SGSI). Protegge le tre proprietà fondamentali dell’informazione — riservatezza, integrità e disponibilità — attraverso la gestione dei rischi, non un elenco di prodotti.

La norma è pubblicata congiuntamente da ISO e IEC. La versione attuale è del 2022; il periodo di transizione dalla versione 2013 si è concluso il 31 ottobre 2025.

La certificazione è rilasciata da un organismo accreditato ed è valida 3 anni, con audit di sorveglianza annuali.

02 · Struttura

La struttura della norma

I punti 4–10 sono obbligatori e seguono la struttura comune delle norme ISO sui sistemi di gestione — per questo la 27001 si integra facilmente con la ISO 9001.

PDCA · Plan

Punto 4 — Contesto dell'organizzazione

Fattori interni ed esterni, parti interessate e loro requisiti, campo di applicazione del sistema.

PDCA · Plan

Punto 5 — Leadership

Impegno della direzione, politica per la sicurezza delle informazioni, ruoli e responsabilità.

PDCA · Plan

Punto 6 — Pianificazione

Valutazione e trattamento dei rischi, Dichiarazione di applicabilità, obiettivi, pianificazione delle modifiche.

PDCA · Do

Punto 7 — Supporto

Risorse, competenza, consapevolezza, comunicazione e informazioni documentate.

PDCA · Do

Punto 8 — Attività operative

Pianificazione e controllo operativi, esecuzione della valutazione e del trattamento dei rischi.

PDCA · Check

Punto 9 — Valutazione delle prestazioni

Monitoraggio e misurazione, audit interno e riesame della direzione.

PDCA · Act

Punto 10 — Miglioramento

Non conformità, azioni correttive e miglioramento continuo.

03 · Annex A

Annex A: 93 controlli in 4 temi

Quali controlli applicare lo decide la valutazione dei rischi e lo registra la Dichiarazione di applicabilità (SoA). L'edizione 2022 ha introdotto 11 nuovi controlli.

A.5 37

Organizzativi

Politiche, ruoli, fornitori, incidenti, servizi cloud.

40% di tutti i controlli
A.6 8

Persone

Screening, formazione, lavoro da remoto.

9% di tutti i controlli
A.7 14

Fisici

Accesso fisico, apparecchiature, supporti, smaltimento.

15% di tutti i controlli
A.8 34

Tecnologici

Accessi, backup, logging, crittografia, sviluppo sicuro.

37% di tutti i controlli
2022 11 nuovi controlli nell'edizione 2022 5.7 · 5.23 · 5.30 · 7.4 · 8.9 · 8.10 · 8.11 · 8.12 · 8.16 · 8.23 · 8.28
Annex A · ISO/IEC 27001:2022

La mappa dei 93 controlli

Tutti i controlli, organizzati nei quattro temi della norma. Puntate un punto dello scudo o scegliete un tema per vedere cosa protegge ogni controllo.

93 controlli
  1. 5.1 Politiche per la sicurezza delle informazioni
  2. 5.2 Ruoli e responsabilità per la sicurezza
  3. 5.3 Separazione dei compiti
  4. 5.4 Responsabilità della direzione
  5. 5.5 Contatti con le autorità
  6. 5.6 Contatti con gruppi specialistici
  7. 5.7 Threat intelligence Nuovo
  8. 5.8 Sicurezza nella gestione dei progetti
  9. 5.9 Inventario delle informazioni e degli asset associati
  10. 5.10 Uso accettabile delle informazioni e degli asset
  11. 5.11 Restituzione degli asset
  12. 5.12 Classificazione delle informazioni
  13. 5.13 Etichettatura delle informazioni
  14. 5.14 Trasferimento delle informazioni
  15. 5.15 Controllo degli accessi
  16. 5.16 Gestione delle identità
  17. 5.17 Informazioni di autenticazione
  18. 5.18 Diritti di accesso
  19. 5.19 Sicurezza nei rapporti con i fornitori
  20. 5.20 Sicurezza negli accordi con i fornitori
  21. 5.21 Sicurezza nella filiera ICT
  22. 5.22 Monitoraggio e modifiche dei servizi dei fornitori
  23. 5.23 Sicurezza nell’uso dei servizi cloud Nuovo
  24. 5.24 Pianificazione e preparazione alla gestione degli incidenti
  25. 5.25 Valutazione e decisione sugli eventi
  26. 5.26 Risposta agli incidenti
  27. 5.27 Apprendimento dagli incidenti
  28. 5.28 Raccolta delle evidenze
  29. 5.29 Sicurezza durante le interruzioni
  30. 5.30 Preparazione ICT per la continuità operativa Nuovo
  31. 5.31 Requisiti legali, normativi e contrattuali
  32. 5.32 Diritti di proprietà intellettuale
  33. 5.33 Protezione delle registrazioni
  34. 5.34 Privacy e protezione dei dati personali
  35. 5.35 Riesame indipendente della sicurezza
  36. 5.36 Conformità a politiche, regole e norme
  37. 5.37 Procedure operative documentate
  1. 6.1 Screening
  2. 6.2 Termini e condizioni di impiego
  3. 6.3 Consapevolezza, istruzione e formazione
  4. 6.4 Processo disciplinare
  5. 6.5 Responsabilità dopo la cessazione o il cambio di impiego
  6. 6.6 Accordi di riservatezza
  7. 6.7 Lavoro da remoto
  8. 6.8 Segnalazione degli eventi
  1. 7.1 Perimetri di sicurezza fisica
  2. 7.2 Accesso fisico
  3. 7.3 Protezione di uffici, locali e strutture
  4. 7.4 Monitoraggio della sicurezza fisica Nuovo
  5. 7.5 Protezione da minacce fisiche e ambientali
  6. 7.6 Lavoro in aree sicure
  7. 7.7 Scrivania e schermo puliti
  8. 7.8 Collocazione e protezione delle apparecchiature
  9. 7.9 Sicurezza degli asset fuori sede
  10. 7.10 Supporti di memorizzazione
  11. 7.11 Servizi di supporto
  12. 7.12 Sicurezza dei cablaggi
  13. 7.13 Manutenzione delle apparecchiature
  14. 7.14 Dismissione o riutilizzo sicuro delle apparecchiature
  1. 8.1 Dispositivi endpoint degli utenti
  2. 8.2 Diritti di accesso privilegiato
  3. 8.3 Restrizione dell’accesso alle informazioni
  4. 8.4 Accesso al codice sorgente
  5. 8.5 Autenticazione sicura
  6. 8.6 Gestione della capacità
  7. 8.7 Protezione dal malware
  8. 8.8 Gestione delle vulnerabilità tecniche
  9. 8.9 Gestione della configurazione Nuovo
  10. 8.10 Cancellazione delle informazioni Nuovo
  11. 8.11 Mascheramento dei dati Nuovo
  12. 8.12 Prevenzione della perdita di dati Nuovo
  13. 8.13 Backup delle informazioni
  14. 8.14 Ridondanza delle strutture di elaborazione
  15. 8.15 Logging
  16. 8.16 Attività di monitoraggio Nuovo
  17. 8.17 Sincronizzazione degli orologi
  18. 8.18 Uso di programmi di utilità privilegiati
  19. 8.19 Installazione di software sui sistemi operativi
  20. 8.20 Sicurezza delle reti
  21. 8.21 Sicurezza dei servizi di rete
  22. 8.22 Segregazione delle reti
  23. 8.23 Filtraggio web Nuovo
  24. 8.24 Uso della crittografia
  25. 8.25 Ciclo di vita dello sviluppo sicuro
  26. 8.26 Requisiti di sicurezza delle applicazioni
  27. 8.27 Principi di architettura sicura
  28. 8.28 Codifica sicura Nuovo
  29. 8.29 Test di sicurezza in sviluppo e collaudo
  30. 8.30 Sviluppo esternalizzato
  31. 8.31 Separazione degli ambienti di sviluppo, test e produzione
  32. 8.32 Gestione delle modifiche
  33. 8.33 Informazioni di test
  34. 8.34 Protezione dei sistemi durante i test di audit

11 nuovi controlli nell'edizione 2022

04 · Vantaggi

Cosa ottenete

Fiducia e nuovi clienti

Clienti corporate e internazionali la chiedono sempre più spesso già alla prima richiesta.

Una base per la NIS2

Copre gran parte delle misure di gestione dei rischi informatici della direttiva.

Meno incidenti

I rischi vengono individuati e trattati prima che diventino perdite.

Ordine negli accessi

È chiaro chi accede a cosa, chi è responsabile e cosa fare in caso di incidente.

Un vantaggio nelle gare

La certificazione è un criterio in molte gare pubbliche e private.

Supporto al GDPR

Le misure tecniche e organizzative dimostrano anche la protezione dei dati personali.

05 · Processo

Il percorso verso la certificazione

Sei fasi con un risultato chiaro in ognuna.

Scopri il servizio
  1. 01

    Gap analysis

    Dove siete e cosa fare per primo.

    1–2 sett.
  2. 02

    Campo e rischi

    Registro degli asset, valutazione e piano di trattamento dei rischi.

    2–3 sett.
  3. 03

    Documentazione e SoA

    Politiche, procedure e Dichiarazione di applicabilità.

    3–4 sett.
  4. 04

    Implementazione e formazione

    Controlli tecnici, registrazioni e formazione del personale.

    4–8 sett.
  5. 05

    Audit interno

    Verifica, riesame della direzione, azioni correttive.

    1–2 sett.
  6. 06

    Audit di certificazione

    Fase 1 e Fase 2 da parte di un organismo accreditato.

    Fase 1 + 2
06 · Tempi e costi

Tempi e costi — da cosa dipendono

Non esiste un “prezzo standard” per la ISO 27001. Questi sono i fattori che lo determinano — più una stima indicativa dei tempi.

01

Dipendenti e sedi

Determinano il carico di lavoro e i giorni di audit dell'organismo (secondo ISO/IEC 27006).

02

Campo di applicazione

L'intera azienda o un servizio, prodotto o ufficio specifico.

03

Maturità attuale

Quali politiche, processi e controlli tecnici esistono già.

04

Ambiente IT

Cloud, server propri, sviluppo, numero di sistemi critici.

05

Fornitori

Quanti fornitori critici e servizi cloud vanno valutati.

06

Costo di certificazione

Si paga a parte all'organismo di certificazione.

Tempi indicativi
Maturità attuale della sicurezza
Sedi
4–5 mesi alla preparazione per l'audit di certificazione

Indicativo. Piano e preventivo precisi dopo l'analisi gratuita.

Consulenza gratuita
01 Tutti i 93 controlli sono obbligatori?

No. Sono obbligatori i punti 4–10. I controlli dell'Annex A si selezionano in base alla valutazione dei rischi; la scelta e la giustificazione sono documentate nella Dichiarazione di applicabilità (SoA).

02 Che differenza c’è tra ISO 27001 e ISO 27002?

La ISO 27001 contiene i requisiti ed è certificabile. La ISO 27002 è una guida all’implementazione di ogni controllo — non è certificabile.

03 Il certificato può coprire solo una parte dell'azienda?

Sì. Siete voi a definire il campo — ad esempio un servizio, prodotto o ufficio specifico. Deve essere descritto chiaramente e difendibile davanti all'auditor.

04 Cosa succede all'audit di sorveglianza?

Una volta l'anno l'organismo verifica parti selezionate del sistema e che continui a funzionare e migliorare. Il terzo anno si svolge la ricertificazione.

05 La ISO 27001 soddisfa la NIS2?

Copre gran parte delle misure dell'articolo 21, ma la NIS2 ha anche requisiti propri — termini di notifica degli incidenti e responsabilità della direzione. Li copriamo entrambi.

06 Quanto tempo richiede?

Per un'azienda fino a 50 persone, di solito da 3 a 6 mesi fino alla preparazione all'audit di certificazione. Usate la stima come riferimento.

Approfondimenti
ISO 27001 — sicurezza delle informazioniValutazione dei rischi, Dichiarazione di applicabilità e implementazione dei controlli dell'Annex A. ISO 27001:2022 — i 93 controlli dell’Annex A spiegati Blog ISO 9001:2026Sistema di gestione per la qualità

La prima consulenza è gratuita

Raccontateci della vostra azienda e del vostro obiettivo. Riceverete un piano chiaro e un preventivo entro un giorno lavorativo.

Prenota una consulenza