Che cosa riguarda
ISO/IEC 27018 adatta i controlli ISO/IEC 27002 al trattamento di dati personali nel cloud pubblico. Il riferimento è il ruolo del fornitore che tratta informazioni personali per conto dei clienti.
Indicazioni specifiche per la protezione dei dati personali quando un fornitore di cloud pubblico opera come responsabile del trattamento.
A chi si rivolge
Fornitori di cloud pubblico con ruolo di responsabile del trattamento e organizzazioni che ne valutano le garanzie.
Perché intraprendere questo percorso
Possibili benefici di una gestione efficace: non risultati garantiti dal solo rilascio di un certificato o di una dichiarazione.
01
Ruolo del fornitore
Chiarire le responsabilità sul trattamento.
02
Protezione dei dati
Collegare controlli e ciclo delle informazioni.
03
Trasparenza
Migliorare la leggibilità delle relazioni cloud.
I temi da presidiare
Una lettura orientativa degli ambiti da considerare. I requisiti applicabili e il campionamento sono definiti sulla norma e sullo schema pertinenti.
Dati e finalità
Trattamenti nel perimetro del servizio.
Responsabilità
Rapporti fra fornitore e cliente.
Ciclo dei dati
Raccolta, uso, conservazione e cancellazione.
Controlli cloud
Misure pertinenti alla protezione dei dati.
Dalla gestione alle evidenze
Campioni documentali e informazioni da esaminare, da selezionare in funzione del perimetro e dei rischi dell’incarico.
01. Un servizio cloud esaminato rispetto ai dati personali trattati per il cliente.
02. Un’istruzione del cliente confrontata con il processo operativo del fornitore.
03. Una procedura di cancellazione verificata rispetto al caso selezionato.
04. Un subfornitore esaminato per chiarire il ruolo svolto e le informazioni disponibili.
Come si svolge il percorso
01
Identificare il servizio cloud
Si chiariscono servizi, ruoli del cliente e del fornitore, responsabilità condivise, regioni e informazioni trattate.
02
Concordare il criterio
Si definisce l’utilizzo della linea guida all’interno del sistema di sicurezza e dello specifico schema di attestazione eventualmente richiesto.
03
Valutare controlli ed evidenze
Il campionamento mette in relazione accordi, architetture, configurazioni e registrazioni. L’esame considera anche i confini delle responsabilità del fornitore.
04
Formalizzare l’esito
L’esito descrive il criterio effettivamente utilizzato e il perimetro verificato. Non va presentato come una certificazione autonoma universale del sistema cloud.
Durata e modalità non sono fisse: dipendono dal perimetro, dalla complessità e dalle regole applicabili. Il rilascio è subordinato a un esito favorevole della valutazione e della decisione.
Da sapere prima di iniziare
L’eventuale attestazione deve specificare servizio, ruolo, schema di valutazione e relazione con ISO/IEC 27001, senza estensioni implicite.
Domande frequenti
È la stessa cosa di ISO/IEC 27701?
No. ISO/IEC 27701 riguarda il sistema di gestione della privacy; ISO/IEC 27018 fornisce indicazioni specifiche per il cloud pubblico.
Si applica a qualsiasi titolare?
Il suo focus è il fornitore di cloud pubblico che agisce come responsabile del trattamento.
È una certificazione GDPR automatica?
No. L’attestazione e il quadro legale vanno distinti e descritti con precisione.
L’organismo può progettare il nostro sistema?
La valutazione indipendente non va confusa con la consulenza. L’organizzazione resta responsabile del proprio sistema e delle proprie informazioni; le eventuali attività formative devono rispettare le condizioni di imparzialità applicabili.
Edizione e riferimenti
ISO/IEC 27018:2025
Edizione 2025, allineata ai controlli ISO/IEC 27002:2022.
Riferimenti consultati il 9 ottobre 2026. Prima dell’incarico sono da confermare edizione applicabile, disposizioni di transizione e condizioni dello schema. Le sintesi non sostituiscono il testo ufficiale della norma.
Questa scheda è informativa e non attribuisce automaticamente un accreditamento ad ACM CERT per il servizio descritto. L’organismo competente, lo schema, il campo di accreditamento pertinente e le condizioni del servizio sono identificati nell’offerta.
