ISO 27001, in pratica.
Standard volontario, certificabile da ente accreditato (DNV, BSI, RINA). In piattaforma trovi NIS2. Molte delle prove che raccogli per la NIS2 sono le stesse che un auditor ISO 27001 chiede: l'ordine che costruisci oggi ti serve anche domani.
Cos'è
Sistema di gestione della sicurezza delle informazioni.
ISO/IEC 27001:2022 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni (Information Security Management System, ISMS). Pubblicato da ISO/IEC, non è un obbligo di legge: si sceglie di certificarsi.
La struttura dello standard è in due parti. La prima — clausole 4-10 — descrive il sistema di gestione: contesto dell'organizzazione, leadership, pianificazione, supporto, operatività, valutazione delle prestazioni, miglioramento continuo. La seconda — l'Annex A — elenca 93 controlli di sicurezza distribuiti su quattro aree (Organizzazione, Persone, Fisico, Tecnologico).
Per ottenere la certificazione, l'azienda deve dimostrare all'ente accreditato — durante un audit di terza parte — che il proprio ISMS è progettato, implementato e mantenuto in modo coerente con lo standard. Le evidenze documentali sono il materiale principale di quell'audit.
Annex A → Comprova
Le quattro aree di controlli, e come ti aiuta la piattaforma.
L'Annex A è organizzato in quattro aree per un totale di 93 controlli. Qui sotto, per ogni area, cosa chiede ISO 27001 e quali prove puoi raccogliere con Comprova. Comprova non mappa i singoli controlli dell'Annex A.
| Area | Cosa chiede | In Comprova |
|---|---|---|
A.5 Organizzazione 37 controlli | Politiche di sicurezza, ruoli e responsabilità, gestione fornitori, gestione incidenti, continuità operativa, conformità. | Policy editabili, registro delle attività, modulo Fornitori (contratto, questionario, DPA), registro incidenti, piano di continuità come scheda di prova. |
A.6 Persone 8 controlli | Selezione del personale, condizioni di impiego, formazione e sensibilizzazione, processo disciplinare, riservatezza, lavoro a distanza. | Modulo Formazione con quiz e attestati, registro della formazione. Prove caricabili per condizioni di impiego, NDA, processi disciplinari. |
A.7 Fisico 14 controlli | Aree sicure, controllo accessi fisici, sicurezza apparecchiature e cablaggi, smaltimento sicuro, postazioni di lavoro. | Prove caricabili per procedure di accesso fisico, registri visitatori, log apparecchiature. La parte fisica resta competenza del cliente: Comprova archivia le prove. |
A.8 Tecnologico 34 controlli | Gestione asset, controllo accessi, crittografia, sicurezza operativa (backup, log, malware), sviluppo sicuro, gestione vulnerabilità. | Impronte SHA-256 nell'Audit Pack, registro delle attività, ruoli distinti, prove per scansioni di vulnerabilità, policy sui controlli crittografici e sulla continuità. |
La sovrapposizione con le misure NIS2 (D.Lgs. 138/2024, art. 24) è ampia: molte prove raccolte per la NIS2 servono anche a un auditor ISO 27001, soprattutto su organizzazione, persone e tecnologia. La parte fisica (A.7) resta da documentare a parte. Comprova non garantisce la conformità né la certificazione.
Stai pensando a una certificazione ISO 27001?
Scrivici: capiamo insieme quali prove hai già raccolto col lavoro NIS2. La certificazione la rilascia un ente accreditato.