Che cosa riguarda
ISO/IEC 27001 definisce il sistema di gestione della sicurezza delle informazioni. Il percorso parte dai rischi e dal trattamento necessario a tutelare riservatezza, integrità e disponibilità nel perimetro dichiarato.
Persone, processi e tecnologie in un sistema di gestione che rende tracciabili le scelte di sicurezza delle informazioni.
A chi si rivolge
Imprese di ogni settore, fornitori digitali, società di servizi, organizzazioni pubbliche e realtà che trattano informazioni critiche.
Perché intraprendere questo percorso
Possibili benefici di una gestione efficace: non risultati garantiti dal solo rilascio di un certificato o di una dichiarazione.
01
Rischi espliciti
Rendere motivati i controlli di sicurezza.
02
Responsabilità chiare
Collegare sicurezza e processi aziendali.
03
Fiducia verificabile
Fornire evidenze sul sistema adottato.
I temi da presidiare
Una lettura orientativa degli ambiti da considerare. I requisiti applicabili e il campionamento sono definiti sulla norma e sullo schema pertinenti.
Perimetro
Informazioni, processi, sedi e interfacce.
Valutazione del rischio
Criteri e decisioni di trattamento.
Controlli
Scelta e applicazione delle misure.
Miglioramento
Incidenti, monitoraggi, audit e riesame.
Dalla gestione alle evidenze
Campioni documentali e informazioni da esaminare, da selezionare in funzione del perimetro e dei rischi dell’incarico.
01. Un servizio esaminato dalla gestione degli accessi fino alla cessazione del rapporto con l’utente.
02. Un rischio collegato al controllo adottato e alla dichiarazione di applicabilità.
03. Una prova di ripristino o una gestione di incidente con evidenze dei risultati.
04. Un fornitore critico valutato rispetto a requisiti, responsabilità e monitoraggio.
Come si svolge il percorso
01
Definire il perimetro
La domanda identifica attività, sedi, addetti e norma richiesta. Il riesame verifica la possibilità di assumere l’incarico, il campo applicabile e le competenze necessarie.
02
Pianificare la valutazione
Si definiscono programma, durata, gruppo di audit e modalità, secondo le regole dello schema. Il piano chiarisce quali processi e siti saranno campionati.
03
Raccogliere evidenze
Documenti, interviste e osservazioni delle attività sono messi in relazione. Eventuali rilievi devono essere affrontati secondo le modalità e i tempi applicabili.
04
Decidere e mantenere
La decisione è distinta dall’esecuzione dell’audit. Sorveglianze, rinnovo e comunicazione dei cambiamenti seguono il programma di certificazione pertinente.
Durata e modalità non sono fisse: dipendono dal perimetro, dalla complessità e dalle regole applicabili. Il rilascio è subordinato a un esito favorevole della valutazione e della decisione.
Da sapere prima di iniziare
Il certificato del sistema non equivale alla certificazione di sicurezza di ogni software, prodotto o infrastruttura utilizzata.
Domande frequenti
Riguarda soltanto l’informatica?
No. Comprende anche persone, organizzazione e informazioni su supporti non digitali.
Garantisce assenza di attacchi?
No. Dimostra un sistema di gestione del rischio, non l’inviolabilità.
Può integrarsi con privacy e cloud?
Sì. Occorre distinguere i rispettivi riferimenti e perimetri di valutazione.
L’organismo può progettare il nostro sistema?
La valutazione indipendente non va confusa con la consulenza. L’organizzazione resta responsabile del proprio sistema e delle proprie informazioni; le eventuali attività formative devono rispettare le condizioni di imparzialità applicabili.
Edizione e riferimenti
ISO/IEC 27001:2022 + Amd 1:2024
Riferimento internazionale 2022 con Amd 1:2024. La sigla nazionale di recepimento può riportare un anno diverso.
Riferimenti consultati il 9 ottobre 2026. Prima dell’incarico sono da confermare edizione applicabile, disposizioni di transizione e condizioni dello schema. Le sintesi non sostituiscono il testo ufficiale della norma.
Questa scheda è informativa e non attribuisce automaticamente un accreditamento ad ACM CERT per il servizio descritto. L’organismo competente, lo schema, il campo di accreditamento pertinente e le condizioni del servizio sono identificati nell’offerta.
