ISO/IEC 27001:2022 · SGSI
ISO/IEC 27001 per gli enti pubblici: costruire e mantenere il SGSI
La ISO/IEC 27001 è la norma certificabile per la sicurezza delle informazioni. Chiede un sistema di gestione — contesto, leadership, rischio, supporto, attività operative, valutazione e miglioramento — e una Dichiarazione di Applicabilità sui 93 controlli dell'Annex A. AuditManagement gestisce il SGSI per intero e lo collega agli obblighi di legge.
- 118
- requisiti: clausole 4-10 e controlli Annex A
- 93
- controlli in 4 temi
- 187
- mappature verso i controlli comuni
- €0
- per le Pubbliche Amministrazioni
Clausole e controlli: due cose diverse
Le clausole 4-10 sono obbligatorie: descrivono il sistema di gestione. I 93 controlli dell'Annex A (organizzativi, sulle persone, fisici e tecnologici) si selezionano in base al rischio, motivando inclusioni ed esclusioni nella SoA. Confonderli è il modo più rapido per avere una SoA compilata e un sistema di gestione che non esiste.
Il rischio prima dei controlli
La selezione dei controlli parte dalla valutazione del rischio (6.1.2) e dal suo trattamento (6.1.3). In AuditManagement i rischi del SGSI vivono nel Registro Rischi dell'ente, con la metodologia dell'ente: nessun secondo registro, e i rischi della sicurezza si confrontano con quelli degli altri ambiti.
Audit interni, non conformità e riesame
Il ciclo si chiude con l'audit interno (9.2), il riesame di direzione (9.3) e il trattamento delle non conformità con l'azione correttiva (10.2). L'applicazione collega rilievi, non conformità e azioni, e precompila il riesame dai numeri dei registri.
Perché conviene anche senza certificazione
Molti obblighi di legge — misure NIS 2, art. 8 della Legge 90, continuità del CAD — chiedono cose che la 27001 organizza già. Con il Common Control Framework lo stesso controllo verificato una volta soddisfa i requisiti di più norme: è la ragione per cui un ente che costruisce il SGSI si trova già avanti sugli adempimenti.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 18 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
ISO/IEC 27001:2022Sistema di Gestione
- Cruscotto SGSIcruscottoQuadro d'insieme del sistema di gestione
- Gap Analysis ClausoleScostamento sulle clausole 4-10
- Dichiarazione di ApplicabilitàI 93 controlli Annex A (6.1.3)
- Riesami della DirezioneRiesame periodico del SGSI (9.3)
- Knowledge BaseGuide, glossario e domande frequenti
- CorrispondenzeDove le clausole e l'Annex A trovano riscontro nelle altre norme
ISO/IEC 27001:2022Rischi e Controlli
- Gestione dei RischiRischi del SGSI e accettazione del residuo
- Asset & ClassificazioneInventario e classificazione CIA (A.5.12)
- Business ContinuityBIA, piani di continuità e prove
- Gestione degli IncidentiIncidenti mappati sui controlli A.5.24-5.28
ISO/IEC 27001:2022Organizzazione
- Gestione delle PersoneScreening, NDA, onboarding e offboarding (A.6)
- Formazione & ConsapevolezzaCompetenze, sessioni e simulazioni (7.2-7.3)
- FornitoriSicurezza e valutazioni dei fornitori (A.5.19)
ISO/IEC 27001:2022Verifica e Documentazione
- Audit InterniProgramma, audit e rilievi (9.2)
- Non ConformitàCiclo completo con verifica di efficacia (10.2)
- Registro EvidenzeEvidenze raccolte, validità e scadenze
- Documenti & PolicyDocumentale con versioni e approvazioni (7.5)
- AI Policy DrafterBozze di policy dai dati reali dell'ente
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
Un Comune può certificarsi ISO 27001?
Sì, da parte di un organismo accreditato. Molti enti però usano la norma come riferimento senza certificarsi: AuditManagement funziona in entrambi i casi.
I 93 controlli dell'Annex A vanno applicati tutti?
No: si applicano quelli che il rischio rende necessari, e ogni esclusione va motivata nella Dichiarazione di Applicabilità.