Maurice Müller
Senior Content Manager
Maurice Müller è un giornalista e content strategist con esperienza sia nella print che nei digital media. Presso Formalize, traduce tematiche complesse relative alla conformità e alla normativa in contenuti chiari e pratici destinati ai professionisti dei settori della conformità, del rischio e della sicurezza in tutta Europa.
Punti chiave:
La norma ISO 27001 è lo standard internazionale per la creazione e la gestione di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI).
Si basa sulla triade CIA: riservatezza, integrità e disponibilità.
L’Allegato A della revisione del 2022 definisce 93 controlli suddivisi in quattro aree tematiche: organizzativa, umana, fisica e tecnologica.
Conformità significa allinearsi allo standard; certificazione significa superare un audit indipendente.
Il processo di certificazione richiede in genere dai 6 ai 12 mesi, a seconda delle dimensioni dell’azienda e degli strumenti a disposizione.
Nel 2026 il costo medio di una violazione dei dati ha raggiunto i 4,99 milioni di dollari a livello globale. Si tratta di un livello record, secondo il Cost of a Data Breach Report di IBM. La pressione normativa è aumentata altrettanto rapidamente: secondo il CMS GDPR Enforcement Tracker, solo le multe previste dal GDPR hanno superato i 6 miliardi di euro dal 2018. Clienti, partner e autorità di regolamentazione si aspettano sempre più spesso che un'organizzazione dimostri di prendere seriamente la sicurezza delle informazioni, e non si limiti a una semplice dichiarazione su una pagina di vendita. La norma ISO 27001 offre alle organizzazioni un framework collaudato e riconosciuto a livello globale per salvaguardare in modo sistematico le risorse informative critiche. Sostituisce le soluzioni ad hoc e i fogli di calcolo sparsi con un processo strutturato. È inoltre lo standard più spesso richiesto nei questionari di sicurezza dei fornitori e negli approvvigionamenti aziendali, il che rende la sua comprensione utile ben oltre i team di sicurezza.
Che cos'è la norma ISO 27001?
La norma ISO/IEC 27001 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni (SGSI). Fornisce un framework per gestire e proteggere i dati sensibili attraverso una gestione sistematica del rischio. Lo standard stabilisce i requisiti che un'organizzazione deve soddisfare per individuare, trattare e monitorare continuamente i rischi legati alla sicurezza delle informazioni.
Lo standard è pubblicato congiuntamente dall'International Organization for Standardization (ISO) e dalla International Electrotechnical Commission (IEC). Per questo motivo viene indicato come "ISO/IEC 27001". La versione attuale, ISO/IEC 27001:2022, ha riorganizzato il set di controlli standard. Ha inoltre introdotto una terminologia aggiornata per tenere conto delle moderne sfide in materia di sicurezza, quali i servizi cloud e la threat intelligence.
La norma ISO 27001 è deliberatamente indipendente dal settore. Si applica allo stesso modo a una startup di cinque persone e a un'impresa multinazionale. Questo perché lo standard definisce un processo per la gestione del rischio, non un elenco fisso di tecnologie da implementare. È anche il motivo per cui si abbina bene ai requisiti specifici di settore. Un'organizzazione può sviluppare un SGSI e mapparlo sulla norma ISO 27001 e su altri framework di riferimento come SOC 2 o normative di settore, invece di gestirli separatamente. Questa flessibilità è anche il motivo per cui lo standard interessa a lettori così diversi. I Compliance manager che definiscono l'ambito di un progetto di certificazione, i CISO (Chief Information Security Officer) che stabiliscono dove dare priorità agli investimenti e i leader aziendali che valutano il livello di sicurezza di un fornitore arrivano tutti, a un certo punto, a chiedersi cosa richieda concretamente la norma ISO 27001.
Per una panoramica completa sui requisiti dello standard, fai riferimento alla guida ISO 27001 di Formalize.
I pilastri fondamentali: la triade CIA nella norma ISO 27001
La norma ISO 27001 è strutturata attorno alla protezione di tre principi fondamentali della sicurezza delle informazioni, noti collettivamente come triade CIA. Lo standard non considera la sicurezza come un unico obiettivo. Richiede invece alle organizzazioni di valutare tre obiettivi distinti, e talvolta in contrasto tra loro, per ciascun asset informativo:
Riservatezza
Garantire che solo il personale autorizzato possa accedere alle informazioni sensibili.
Integrità
Proteggere l'accuratezza dei dati e prevenire modifiche o manomissioni non autorizzate.
Disponibilità
Garantire che i sistemi e i dati siano accessibili agli utenti autorizzati quando necessario.
Un SGSI efficace bilancia tutti e tre i principi. Investire eccessivamente su uno solo rischia di compromettere gli altri. Ad esempio, proteggere i dati a tal punto da impedire agli utenti autorizzati di svolgere il proprio lavoro ne vanifica l'obiettivo. Una valutazione del rischio condotta ai sensi della norma ISO 27001 si chiede, per ciascun asset, quale dei tre elementi sia il più importante e che cosa potrebbe comprometterlo. È proprio questa domanda a trasformare la triade CIA da un concetto astratto a uno strumento pratico di prioritizzazione.
Cos'è un sistema di gestione della sicurezza delle informazioni (SGSI)?
Un SGSI è il meccanismo pratico alla base della norma ISO 27001. Si tratta di un framework gestionale che unisce persone, processi, tecnologia e gestione del rischio organizzativo in un unico sistema verificabile. Non è un progetto IT una tantum.
Un SGSI definisce il modo in cui un'organizzazione individua i rischi per i propri asset informativi. Determina inoltre quali controlli applicare, chi ne sia il responsabile e come le prestazioni vengano verificate nel tempo. Si tratta di una sfida ben diversa dall'implementazione isolata di un firewall o di una politica di controllo degli accessi. Nella pratica, un SGSI attraversa ambiti estremamente vari, come le procedure di onboarding e offboarding delle risorse umane, i contratti con i fornitori, l'accesso fisico agli uffici, le pratiche di sviluppo software e la risposta agli incidenti. In sostanza, si estende a qualunque punto in cui le informazioni fluiscano all'interno dell'organizzazione.
Poiché l’ambito di applicazione copre l’intera organizzazione, la norma ISO 27001 richiede una responsabilità chiara. Qualcuno deve essere responsabile del registro dei rischi. Qualcuno deve approvare la Dichiarazione di applicabilità. E qualcuno deve verificare che i controlli continuino a funzionare man mano che emergono nuovi rischi. Senza tale struttura, le attività di sicurezza tendono a concentrarsi nel reparto IT. Tuttavia, molti dei rischi con maggiore impatto, come il phishing o le violazioni da parte dei fornitori, si collocano al di fuori di esso.
È proprio qui che gli approcci basati sui fogli di calcolo tendono a fallire. Un foglio di calcolo può contenere un registro dei rischi o un elenco di controlli, ma non è in grado di garantire la responsabilità, avviare revisioni o collegare automaticamente le prove ai controlli. Man mano che l'SGSI si espande per coprire un numero sempre maggiore di rischi, controlli, evidenze e parti interessate, i fogli di calcolo diventano un ostacolo piuttosto che un sistema di registrazione.
Componenti chiave dello standard ISO 27001
Lo standard si compone di due parti principali. La prima è l'insieme delle clausole obbligatorie che definiscono il funzionamento dell'SGSI stesso. La seconda è l'Allegato A, la lista di riferimento dei controlli di sicurezza a cui un'organizzazione attinge. Gli auditor verificano ogni clausola obbligatoria, ma controllano unicamente i controlli dell'Allegato A che l'organizzazione ha selezionato come pertinenti.
Clausole 4–10 (il framework dell'SGSI)
Le clausole da 4 a 10 sono obbligatorie per l'ottenimento della certificazione. Riguardano il contesto dell'organizzazione, l'impegno della direzione, la pianificazione, il supporto, le attività operative, la valutazione delle prestazioni e il miglioramento continuo. Gli esperti mappano comunemente questa struttura sul ciclo Plan-Do-Check-Act (PDCA):
Pianificazione (Plan): definire il campo di applicazione dell'SGSI, valutare i rischi e stabilire gli obiettivi.
Esecuzione (Do): Implementare il piano di gestione dei rischi e i controlli selezionati.
Verifica (Check): monitorare, misurare e sottoporre ad audit interno l'SGSI.
Azione (Act): gestire le non conformità e perseguire il miglioramento continuo.
Questo ciclo si ripete continuamente anziché essere eseguito una sola volta. Un rischio individuato durante la fase di "Verifica", ad esempio un nuovo fornitore che accede ai dati dei clienti, ritorna nella fase di "Pianificazione". È proprio questo ciclo di feedback a mantenere l'SGSI costantemente aggiornato man mano che l’organizzazione e il relativo panorama delle minacce cambiano. Non si tratta di un’istantanea una tantum risalente alla certificazione iniziale.
Controlli dell'Allegato A
L'Allegato A della ISO/IEC 27001:2022 elenca 93 controlli, organizzati in quattro tematiche:
Controlli organizzativi (37): politiche, ruoli, relazioni con i fornitori e gestione degli incidenti.
Controlli relativi alle persone (8): screening, consapevolezza e termini di assunzione.
Controlli fisici (14): protezione di strutture, apparecchiature e media.
Controlli tecnologici (34): controllo degli accessi, crittografia e monitoraggio.
Aggiornamento ISO/IEC 27001:2022: La revisione del 2022 ha consolidato i precedenti 114 controlli ripartiti su 14 domini (nella versione del 2013) in questi 93 controlli suddivisi in quattro tematiche. Il cambiamento riflette i rischi attuali come la sicurezza del cloud e la threat intelligence. Le organizzazioni non sono tenute a implementare ogni singolo controllo: selezionano quelli pertinenti alla propria valutazione del rischio e documentano le esclusioni in una dichiarazione di applicabilità (SoA). Il periodo di transizione per i certificati ISO 27001:2013 esistenti si è chiusa il 31 ottobre 2025. La ISO/IEC 27001:2022 è ormai l'unica versione valida; qualsiasi certificato che faccia ancora riferimento all'edizione 2013 non è più riconosciuto.
L’Allegato A funge da elenco di riferimento, non da lista di controllo da completare integralmente. Durante la certificazione, gli auditor non si aspettano che siano in atto tutti i 93 controlli. Si aspettano invece che il SoA giustifichi ogni esclusione e confermi che i controlli effettivamente selezionati dall’organizzazione siano realmente operativi, e non solo documentati su carta. Una lacuna comune consiste nell’implementare controlli semplicemente perché figurano nell’allegato, anziché perché richiesti da uno specifico rischio identificato.
Qual è la differenza tra conformità e certificazione ISO 27001?
Questi due termini vengono spesso utilizzati in modo intercambiabile, ma descrivono fasi diverse:
Conformità: indica che un'organizzazione ha allineato le proprie pratiche e politiche di sicurezza interne allo standard ISO 27001.
Certificazione: indica che un ente di certificazione di terze parti accreditato ha sottoposto l’organizzazione a un audit formale e ha rilasciato un certificato ufficiale ISO 27001.
Un’organizzazione può essere conforme senza essere certificata. Tuttavia, la certificazione richiede sempre una conformità dimostrata, verificata da un auditor esterno. Alcune organizzazioni gestiscono un SGSI conforme senza perseguire una certificazione formale, ad esempio durante la fase di preparazione interna. La maggior parte dei requisiti dei clienti e degli acquisti, tuttavia, richiede specificatamente il certificato stesso, poiché conferma che una parte indipendente ha verificato quanto dichiarato.
Come ottenere la certificazione ISO 27001: I 5 Step
Definizione dell’ambito e analisi delle lacune. Identificare quali asset, sistemi, team e sedi saranno coperti dall'SGSI. Valutare quindi i controlli di sicurezza esistenti rispetto allo standard per individuare le lacune. Definire correttamente l’ambito sin dall’inizio evita costose rielaborazioni in seguito. Se l’ambito è troppo ristretto, la certificazione non coprirà ciò che i clienti effettivamente richiedono. Se è troppo ampio, il progetto si arenerà sotto il proprio peso.
Valutazione e gestione dei rischi. Identificare le minacce per ciascun asset incluso nell’ambito di applicazione e classificare i rischi in base alla probabilità e all’impatto. Decidere come gestire ciascuno di essi (accettare, mitigare, trasferire o evitare). Successivamente, redigere una Dichiarazione di Applicabilità (SoA) che documenti quali controlli dell’Allegato A sono applicabili.
Implementazione dei controlli. Mettere in pratica i controlli selezionati dell’Allegato A: politiche, controlli di accesso, due diligence dei fornitori e altre misure di salvaguardia. Raccogliere le prove man mano che i controlli vengono implementati, non successivamente.
Audit interno e revisione da parte della direzione. Verificare internamente l'SGSI, idealmente da parte di qualcuno indipendente dalla gestione quotidiana dei controlli. Ciò conferma che il sistema funziona come previsto ed è pronto per la revisione esterna. La direzione esamina quindi formalmente i risultati e approva il tutto.
Audit esterni di Fase 1 e Fase 2. Un ente di certificazione ISO accreditato esamina innanzitutto la documentazione e lo stato di preparazione (Fase 1). Successivamente, valuta l’implementazione effettiva e le prove a sostegno (Fase 2) prima di rilasciare la certificazione. Seguono audit di sorveglianza annuali per il mantenimento.
La maggior parte delle organizzazioni completa questo processo in un arco di tempo compreso tra i 6 e i 12 mesi. La tempistica dipende dalle dimensioni dell’azienda, dalla sua complessità e dalla percentuale di lavoro svolto manualmente rispetto a quello supportato da strumenti dedicati. La ricertificazione avviene con cadenza triennale, con audit di sorveglianza meno approfonditi nel periodo intermedio.
Quali sono i vantaggi della norma ISO 27001?
La norma ISO 27001 può aiutare le organizzazioni a:
Identificare e gestire i rischi legati alla sicurezza delle informazioni in modo sistematico, anziché limitarsi a reagire agli incidenti dopo che si sono verificati.
Dimostrare la propria maturità in materia di sicurezza a clienti e partner, in particolare nelle revisioni di sicurezza dei fornitori e degli acquisti aziendali.
Ridurre il costo e la frequenza degli incidenti di sicurezza, grazie a controlli che vengono testati, non solo documentati.
Ottenere un vantaggio competitivo rispetto ad altri framework. Un SGSI funzionante copre già gran parte di ciò che richiedono anche NIS2 e DORA.
Fornire alla dirigenza e al personale un processo coerente per le decisioni in materia di sicurezza, anziché affidarsi a valutazioni soggettive che variano da persona a persona.
Ottimizzazione della conformità alla norma ISO 27001 con Formalize
Formalize integra lo standard ufficiale ISO/IEC 27001:2022 direttamente nella piattaforma, grazie a una collaborazione con l’UNE, Spain's national standards body, formalizzata nell’aprile 2026. I team lavorano partendo dal contenuto ufficiale e con licenza, anziché da un PDF acquistato separatamente. Formalize è il primo provider GRC in Spagna, e tra i primi in Europa, ad aver stretto una collaborazione diretta di questo tipo con i rappresentanti di ISO/IEC.
Formalize partecipa inoltre a un pilota IA ufficiale con ISO e UNE. Il progetto pilota sta sviluppando una funzionalità IA denominata Formalize IQ, pensata per trasformare i requisiti ISO statici in workflow operativi e nativi non appena sarà rilasciata.
Il software SGSI di Formalize centralizza la raccolta delle evidenze e associa i controlli ai rischi, invece di doverli rintracciare in file scollegati tra loro. Mantiene l’organizzazione costantemente pronta per gli audit, con una visibilità che rimane aggiornata tra un ciclo di certificazione e l’altro, non solo nelle settimane precedenti a un audit. Questo aspetto assume particolare importanza proprio nel momento in cui i fogli di calcolo tendono a rivelarsi inefficaci: quando la responsabilità deve essere chiara, le evidenze devono essere riconducibili a un controllo specifico e i revisori necessitano di un quadro aggiornato senza dover andare alla ricerca dell’ultima versione di un file.
I rischi legati alla sicurezza delle informazioni raramente si presentano in modo isolato. Ecco perché Formalize collega anche le attività relative alla norma ISO 27001 al framework di gestione dei rischi dell’organizzazione. Un incidente di phishing, ad esempio, può confluire direttamente sull’aggiornamento del punteggio di rischio, invece di rimanere confinato in un registro degli incidenti.
Anche la norma ISO 27001 raramente è l'unica a far parte del quadro di conformità di un'organizzazione. Formalize mappa i controlli dell’Allegato A direttamente ad altri framework, tra cui NIS2, e a standard nazionali quali l’ENS spagnolo, il CyFun belga e il BSI IT-Grundschutz tedesco. È sufficiente aggiornare un controllo una sola volta perché tale aggiornamento si rifletta in tutti i framework a cui è mappato. Ciò evita di dover dimostrare nuovamente lo stesso controllo separatamente per ogni autorità di regolamentazione, da cui deriva in realtà la maggior parte del lavoro di audit duplicato.
Il prezzo del servizio di Formalize non è basato sul numero di postazioni. I team di sicurezza possono invitare direttamente nella piattaforma gli auditor legali, operativi ed esterni senza dover pagare per ogni accesso aggiuntivo. Le attività legate alla ISO 27001 coinvolgono regolarmente la gestione legale e operativa, e i costi legati alle licenze utente sono una delle cause principali dell'esclusione di tali funzioni dagli strumenti di lavoro.