Spiegazione della norma ISO 27001

Una panoramica indipendente fornita da DQS, un ente di certificazione accreditato.

La norma ISO 27001 è lo standard internazionale di riferimento per i sistemi di gestione della sicurezza delle informazioni (ISMS). Specifica i requisiti che un'organizzazione deve soddisfare per identificare, valutare e gestire in modo sistematico i rischi legati alla sicurezza delle informazioni, coprendo persone, processi e tecnologia piuttosto che un singolo controllo tecnico. Lo standard è rilevante per le organizzazioni di ogni dimensione e settore, dagli istituti finanziari, agli operatori sanitari e alle autorità pubbliche, fino ai fornitori di servizi cloud, ai produttori e alle aziende di software che trattano informazioni sensibili per conto di clienti, dipendenti o partner. L’edizione attuale è la ISO/IEC 27001:2022, che ha sostituito la versione del 2013; il periodo di transizione di tre anni per le organizzazioni già certificate si è concluso il 31 ottobre 2025, mentre un emendamento pubblicato nel 2024 (Emendamento 1:2024) ha aggiunto requisiti espliciti relativi all’azione per il clima.

Punti chiave sulla norma ISO 27001 in sintesi

Contesto e fattori determinanti per la norma ISO 27001

Pressione normativa sulla sicurezza delle informazioni

Il quadro normativo in materia di sicurezza delle informazioni si è notevolmente inasprito negli ultimi anni, in particolare nell’Unione Europea. La Direttiva sulla sicurezza delle reti e dell’informazione 2 (NIS2) estende gli obblighi di sicurezza informatica a una gamma significativamente più ampia di soggetti essenziali e importanti, comprese le organizzazioni di medie dimensioni in settori quali l’energia, i trasporti, la sanità, le infrastrutture digitali e l’industria manifatturiera. Il Digital Operational Resilience Act (DORA), applicabile agli enti finanziari e ai loro fornitori terzi di tecnologie dell’informazione e della comunicazione (TIC) di importanza critica, stabilisce requisiti dettagliati per la gestione dei rischi TIC, la segnalazione degli incidenti, i test di resilienza e la supervisione dei fornitori. Né la NIS2 né la DORA prescrivono la norma ISO 27001 come base di riferimento obbligatoria, ma entrambe fanno riferimento a standard di sicurezza delle informazioni riconosciuti a livello internazionale come punto di riferimento, e molte organizzazioni utilizzano un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) certificato come fondamento strutturale su cui costruire i propri programmi di conformità normativa.

Aspettative di mercato e fiducia dei clienti

Al di là della regolamentazione formale, la sicurezza delle informazioni è diventata un argomento ricorrente nei contratti business-to-business, nelle procedure di gara e nei programmi di qualificazione dei fornitori. I clienti aziendali richiedono sempre più spesso ai propri fornitori di dimostrare di disporre di un SGSI verificato esternamente prima di concedere l’accesso a sistemi o dati, e i certificati rilasciati da organismi di certificazione accreditati sono ampiamente accettati come prova di tale maturità. Per i fornitori di software, i provider di servizi cloud e altre organizzazioni il cui modello di business si basa sui dati dei clienti, un certificato ISO 27001 è diventato quasi un requisito imprescindibile per l’ingresso nel mercato in molti settori. Questa tendenza è rafforzata dalla crescente consapevolezza dell’opinione pubblica riguardo alle violazioni dei dati, al ransomware e agli attacchi alla catena di fornitura, che ha innalzato le aspettative su come le organizzazioni proteggano le informazioni lungo l’intera catena del valore.

Convergenza con resilienza, privacy e sostenibilità

La sicurezza delle informazioni non è più un ambito isolato. Si intreccia sempre più con la resilienza operativa, la continuità operativa, la privacy e — a partire dalla pubblicazione dell’Emendamento 1:2024 — con le considerazioni relative al clima. I consigli di amministrazione e i comitati di gestione dei rischi considerano la sicurezza delle informazioni come una dimensione di un quadro più ampio che include interruzioni dei servizi ICT, rischi legati a terze parti e perturbazioni causate da eventi meteorologici estremi che colpiscono le infrastrutture critiche. La norma ISO 27001 fornisce un punto di riferimento strutturale che consente alle organizzazioni di integrare questi temi correlati — privacy, continuità operativa, supervisione dei fornitori e resilienza fisica — in un unico sistema di gestione, anziché in un mosaico di iniziative scollegate tra loro.

Requisiti fondamentali della norma ISO 27001

La norma ISO/IEC 27001:2022 segue la struttura armonizzata dell’Allegato SL, comune alle moderne norme ISO sui sistemi di gestione. Le clausole da 1 a 3 definiscono l’ambito di applicazione, i riferimenti normativi e i termini. Le clausole da 4 a 10 contengono i requisiti verificabili del sistema di gestione, riassunti di seguito. L’Allegato A fa poi riferimento a 93 controlli di sicurezza delle informazioni descritti in dettaglio nella norma ISO 27002, tra i quali un’organizzazione seleziona quelli applicabili in base alla propria valutazione dei rischi.

Clausola 4 — Contesto dell’organizzazione

L’organizzazione identifica le questioni interne ed esterne che influenzano il proprio ISMS e determina le esigenze e le aspettative delle parti interessate, quali clienti, autorità di regolamentazione, partner della catena di fornitura e azionisti. Su questa base, definisce l’ambito di applicazione dell’ISMS, comprese le sedi, le attività aziendali, le tecnologie e le risorse informative che rientrano nel campo di applicazione.

Clausola 5 — Leadership

L’alta direzione dimostra leadership e impegno nei confronti dell’ISMS; viene firmata una politica di sicurezza delle informazioni e vengono assegnati ruoli, responsabilità e poteri. La sicurezza delle informazioni è considerata un tema di rilevanza strategica, non una funzione tecnica delegata.

Clausola 6 — Pianificazione

L’organizzazione effettua una valutazione dei rischi per la sicurezza delle informazioni, definisce i criteri per l’accettazione e la gestione dei rischi e seleziona i controlli necessari per affrontare tali rischi. La Dichiarazione di applicabilità documenta quali controlli dell’Allegato A si applicano, quali sono esclusi e la giustificazione in ciascun caso. Gli obiettivi di sicurezza delle informazioni sono definiti e allineati alla politica.

Clausola 7 — Supporto

Vengono affrontati gli aspetti relativi a risorse, competenze, sensibilizzazione, comunicazione e informazioni documentate. Il personale coinvolto nel SGSI riceve una formazione adeguata e la documentazione viene conservata in una forma proporzionata alle dimensioni e alla complessità dell’organizzazione.

Clausola 8 — Funzionamento

L’organizzazione pianifica, implementa e controlla i processi necessari per soddisfare i requisiti di sicurezza delle informazioni, esegue la valutazione dei rischi e i piani di trattamento degli stessi e gestisce i cambiamenti che potrebbero influire sull’ISMS.

Clausola 9 — Valutazione delle prestazioni

L’ISMS viene monitorato, misurato e analizzato. Gli audit interni e i riesami della direzione costituiscono la base per valutare se il sistema sia efficace, conforme e in continuo miglioramento. I risultati ottenuti vengono utilizzati per la pianificazione e le decisioni operative.

Clausola 10 — Miglioramento

Le non conformità vengono affrontate tramite azioni correttive e l’organizzazione è tenuta a migliorare continuamente l’idoneità, l’adeguatezza e l’efficacia dell’ISMS. Il miglioramento continuo è una caratteristica strutturale della norma piuttosto che un’aggiunta facoltativa.

Allegato A — Insieme di controlli di riferimento

L’Allegato A fa riferimento a 93 controlli raggruppati in quattro temi: controlli organizzativi (37), controlli relativi al personale (8), controlli fisici (14) e controlli tecnologici (34). La revisione del 2022 ha consolidato e riorganizzato i 114 controlli della versione del 2013, ha introdotto 11 nuovi controlli (tra cui intelligence sulle minacce, sicurezza delle informazioni per i servizi cloud, preparazione ICT per la continuità operativa, monitoraggio della sicurezza fisica, gestione della configurazione, cancellazione delle informazioni, mascheramento dei dati, prevenzione della fuga di dati, attività di monitoraggio, filtraggio web e codifica sicura) e ha applicato cinque attributi a ciascun controllo (tipo di controllo, proprietà di sicurezza delle informazioni, concetti di sicurezza informatica, capacità operative e domini di sicurezza) per supportare il filtraggio e la reportistica.

Destinatari e ambiti di applicazione della norma ISO 27001

La norma ISO 27001 è, per sua natura, indipendente dal settore. I suoi requisiti si applicano allo stesso modo a una banca multinazionale, a una rete ospedaliera regionale, a un ente pubblico e a una start-up di software che elabora i dati dei clienti per conto terzi. In pratica, alcune aree di applicazione sono diventate particolarmente rilevanti.

I fornitori di tecnologie dell’informazione e della comunicazione — tra cui piattaforme cloud, fornitori di Software-as-a-Service (SaaS), fornitori di servizi gestiti e gestori di data center — considerano spesso la norma ISO 27001 come il quadro di riferimento di base richiesto dai clienti aziendali. Le organizzazioni di servizi finanziari utilizzano la norma ISO 27001 per strutturare programmi di gestione dei rischi ICT che supportino anche gli obblighi previsti dal DORA. Le organizzazioni sanitarie la applicano per proteggere le informazioni dei pazienti e i sistemi clinici, spesso in combinazione con requisiti di privacy e sicurezza specifici del settore. Gli enti del settore pubblico e gli operatori di infrastrutture critiche implementano la norma ISO 27001 per adempiere agli obblighi previsti dalla direttiva NIS2 e dalla legislazione nazionale in materia di sicurezza informatica. Le organizzazioni del settore manifatturiero la adottano per proteggere la proprietà intellettuale, garantire la sicurezza degli ambienti tecnologici operativi e rispondere ai requisiti di sicurezza della catena di fornitura richiesti dai grandi clienti, compresi i produttori di apparecchiature originali (OEM).

Per ciascuna di queste organizzazioni, un ISMS certificato fornisce un quadro strutturato per decisioni basate su dati concreti riguardo agli investimenti e alle priorità in materia di sicurezza delle informazioni. Supporta decisioni informate da parte della dirigenza e fornisce la base per discussioni incentrate sul rischio con autorità di regolamentazione, clienti e partner della catena di fornitura, lasciando al contempo le decisioni sostanziali alle persone che ne sono responsabili.

Standard correlati alla norma ISO 27001

Struttura armonizzata e combinazioni tipiche

La norma ISO 27001 condivide la struttura armonizzata dell’Allegato SL con altre norme sui sistemi di gestione ampiamente utilizzate, tra cui la ISO 9001 (qualità), la ISO 14001 (ambiente) e la ISO 22301 (continuità operativa). Questa struttura comune consente alle organizzazioni di gestire un sistema di gestione integrato in cui i requisiti relativi alla sicurezza delle informazioni, alla qualità, all’ambiente e alla continuità condividono gli impegni della leadership, i processi di pianificazione, gli audit interni e le revisioni della direzione. Gli audit combinati tra questi schemi sono comuni nella pratica e tendono a ridurre le duplicazioni.

La famiglia di norme ISO 27000 

La norma ISO 27001 si colloca al centro della famiglia di norme ISO 27000, che nel loro insieme affrontano in modo approfondito la gestione della sicurezza delle informazioni. La norma ISO 27000 fornisce una panoramica e il vocabolario di riferimento per la famiglia. La norma ISO 27002 amplia ciascun controllo dell’Allegato A con indicazioni dettagliate per l’implementazione ed è la norma più spesso consultata insieme alla ISO 27001 durante l’implementazione. La norma ISO 27005 fornisce indicazioni sulla gestione dei rischi relativi alla sicurezza delle informazioni ed è ampiamente utilizzata per rendere operative le clausole basate sul rischio della norma ISO 27001. Le norme ISO 27017 e ISO 27018 estendono, rispettivamente, l’insieme dei controlli ai servizi cloud e alla protezione delle informazioni di identificazione personale (PII) in ambienti cloud pubblici. La norma ISO 27019 è una norma di orientamento per l’istituzione di un sistema di gestione della sicurezza delle informazioni per i sistemi di controllo utilizzati nell’approvvigionamento energetico. La norma si basa sui controlli di sicurezza delle informazioni delineati nella norma ISO 27002 e aggiunge requisiti specifici del settore che vanno oltre le misure generali definite in tale norma. La norma ISO 27701 specifica i requisiti e le linee guida per un Sistema di Gestione delle Informazioni sulla Privacy (PIMS).

Estensioni specifiche per settore e argomento

Numerose norme specifiche di settore si basano sulla norma ISO 27001 in senso normativo. La norma ISO/IEC 27011 fornisce ulteriori linee guida per le organizzazioni del settore delle telecomunicazioni. Le norme ISO/IEC 27017 e ISO/IEC 27018 trattano i controlli specifici per il cloud. La norma ISO/IEC 27019 fornisce linee guida per il settore dei servizi energetici. La norma ISO/IEC 27799 applica i controlli della norma ISO/IEC 27002 all’informatica sanitaria. Queste estensioni riutilizzano il sistema di gestione della norma ISO 27001 e aggiungono o perfezionano i controlli rilevanti per il settore in questione.

Differenziazione rispetto a quadri di riferimento simili

La norma ISO 27001 viene talvolta confrontata con altri quadri di riferimento per la sicurezza delle informazioni, in particolare SOC 2 e il NIST Cybersecurity Framework. La norma ISO 27001 è uno standard internazionale in base al quale un ISMS può essere certificato da un organismo di certificazione. SOC 2 è un quadro di riferimento per la rendicontazione definito dall’American Institute of Certified Public Accountants (AICPA), in base al quale i professionisti della verifica rilasciano rapporti di attestazione sui controlli relativi alla sicurezza, alla disponibilità, all’integrità del trattamento, alla riservatezza o alla privacy. Sebbene i due ambiti si sovrappongano, essi coprono ambiti diversi e seguono modelli di governance diversi, pertanto non dovrebbero essere descritti come equivalenti. Il Quadro di riferimento per la sicurezza informatica del NIST è un quadro volontario inteso a guidare la gestione dei rischi, in particolare negli Stati Uniti; non è certificabile nello stesso senso della norma ISO 27001.