La ISO 27001 è lo standard internazionale che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Detta così sembra una formula da capitolato, e in effetti nella maggior parte dei casi è lì che la incontrate: in un bando, in un questionario di fornitura, nell’elenco dei requisiti di un cliente.
Il punto che conta è un altro, e lo spieghiamo perché riguarda anche voi quando siete dalla parte di chi compra: una certificazione ISO 27001 non attesta che un’azienda sia sicura, attesta che ha un sistema per gestire la sicurezza e che qualcuno di indipendente è venuto a verificarlo. La differenza sembra sottile e non lo è.
Vediamo che cosa comprende lo standard, come si ottiene una certificazione valida, in cosa si distingue dal GDPR e dalla NIS 2, e perché è un criterio di selezione sensato quando scegliete un fornitore di sicurezza informatica.
Che cosa certifica la ISO 27001
Lo standard è pubblicato dalla International Organization for Standardization e definisce i requisiti per pianificare, attuare, monitorare e migliorare un sistema di gestione della sicurezza delle informazioni, abbreviato in SGSI.
La parola decisiva è gestione. La ISO 27001 non prescrive quali tecnologie usare, non impone un firewall di una certa marca né un antivirus specifico. Stabilisce che l’organizzazione deve avere un processo documentato per capire quali informazioni protegge, quali rischi corre, quali controlli applica e come verifica che funzionino.
Da qui l’equivoco più comune. Un’azienda certificata non è per forza più sicura di una che non lo è. È un’azienda che ha messo per iscritto come gestisce la sicurezza e ha accettato che qualcuno venisse a verificarlo. Sono due cose diverse, e la seconda si può controllare.
Il sistema di gestione: cosa contiene
Il percorso verso la certificazione passa dalla costruzione del sistema, che si articola in quattro momenti ricorrenti.
| Fase | Cosa comporta |
|---|---|
| Individuare cosa proteggere | Stabilire quali informazioni sono critiche per l’attività e quali obblighi di legge o contrattuali le riguardano |
| Valutare i rischi | Analizzare probabilità e conseguenze, e decidere quali rischi si accettano e quali no. La soglia va dichiarata, non lasciata implicita |
| Applicare i controlli | Scegliere le misure tra quelle previste dallo standard e attuarle. Ogni esclusione va motivata |
| Verificare e migliorare | Controllare periodicamente che i controlli funzionino, e aggiornare il sistema quando cambiano l’organizzazione o le minacce |
La quarta fase è quella che distingue un sistema vivo da un raccoglitore in archivio, ed è anche quella dove le certificazioni si perdono. Verificare che un controllo funzioni vuol dire metterlo alla prova. Sui controlli tecnici questo significa fare analisi delle vulnerabilità e penetration test con una cadenza stabilita, e tenere da parte gli esiti.
Una procedura che dichiara di gestire le vulnerabilità non dimostra niente. Un report con una data, l’elenco di cosa è stato trovato e come è stato corretto, sì.
Le verifiche tecniche periodiche sono uno dei controlli che l’auditor va a guardare.
Il Vulnerability Assessment produce esattamente quel tipo di evidenza: lo stato dei sistemi a una data certa, le vulnerabilità rilevate e le priorità di intervento.
Come si ottiene, e chi certifica il certificatore
Un’azienda che vuole certificarsi si rivolge a un organismo di certificazione, che conduce un audit iniziale e poi verifiche periodiche di mantenimento. Il certificato ha una validità limitata nel tempo e va rinnovato: non è un titolo acquisito una volta per sempre.
C’è però un passaggio in più che quasi nessuno controlla, e che cambia il valore del certificato. Anche l’organismo di certificazione deve essere accreditato da un ente nazionale, che ne verifica competenza e imparzialità. In Italia quell’ente è Accredia, designato in attuazione del Regolamento europeo 765/2008, che prevede un ente unico per ogni Stato membro.
Un certificato rilasciato da un organismo non accreditato resta un documento, ma in una gara o in un audit non vale la stessa cosa. Se state valutando un fornitore che si dichiara certificato, la domanda utile non è se ha il certificato. È chi gliel’ha rilasciato.
ISO 27001, GDPR e NIS 2: tre cose diverse
La confusione tra questi tre riferimenti è frequente e ha conseguenze pratiche, perché portano obblighi di natura diversa.
Il GDPR è un regolamento europeo e riguarda la protezione dei dati personali. Si applica per legge a chiunque tratti dati di persone fisiche, indipendentemente dalla volontà di certificarsi.
La direttiva NIS 2, recepita in Italia con il D.lgs. 138/2024, impone obblighi di sicurezza a determinate categorie di soggetti in base a settore e dimensione. Anche questa è legge, e non si scegli: si è dentro o fuori dal perimetro.
La ISO 27001 invece è volontaria: nessuna norma obbliga a certificarsi. Però i controlli che prevede coprono in buona parte le misure che GDPR e NIS 2 richiedono. Quindi un sistema costruito sulla ISO 27001 rende più semplice dimostrare di essere conformi a entrambe. Non le sostituisce, le sostiene.
Diventa obbligatoria di fatto in un caso solo: quando è un cliente a chiedervela per qualificarvi come fornitore. Succede anche ad aziende che per legge non sarebbero tenute a niente.
Perché conta nella scelta di un fornitore
Quando affidate a un’azienda esterna un’attività di sicurezza informatica, quella azienda entra in contatto con i vostri sistemi e con i risultati delle verifiche. Un report di penetration test è, nella sostanza, l’elenco ordinato dei punti da cui la vostra azienda si può attaccare.
La domanda che conta non è quanto è competente il fornitore, ma come tiene quel documento. Chi ci accede, dove sta, per quanto tempo, cosa succede quando un analista se ne va. La ISO 27001 non vi risponde al posto suo. Garantisce che se lo sia chiesto, e che un auditor indipendente sia andato a verificare le risposte.
È il motivo per cui Cyberment è certificata ISO 27001 oltre che ISO 9001: potete vedere quali certificazioni abbiamo e da chi sono state rilasciate. Ed è il motivo per cui, se state confrontando più fornitori, quella è una delle poche domande a cui la risposta si può verificare senza fidarsi di una presentazione.
Un’ultima cosa sul lato interno. Molte aziende cominciano il percorso ISO 27001 e si fermano alle procedure, perché quella è la parte che si può fare in riunione. L’auditor poi guarda l’altra: le prove che i controlli funzionino. Ed è lì che serve qualcuno che i test li faccia, non che li descriva.
Un sistema di gestione funziona se le persone lo applicano.
La formazione del personale è uno dei controlli previsti dallo standard, e i percorsi della Cyberment Academy la rendono documentabile con registri e verifiche di apprendimento.
- Autore articolo
- Gli ultimi articoli
Responsabile Marketing per due aziende leader nel settore della Sicurezza Informatica: organizzo e progetto iniziative di diffusione della cultura cybersecurity e dei rischi cyber-crime attraverso contenuti web, eventi on e off line e materiale info-grafico. Ho una naturale propensione per far coesistere il lato metodico e preciso del mio carattere con la parte più creativa, visionaria e ambiziosa di me. Sono curiosa, riflessiva e non metto freni alla mia fame di conoscenza.