Riservatezza delle informazioni

Le informazioni devono essere accessibili soltanto alle persone e ai soggetti autorizzati.

Integrità dei dati

Documenti, dati e registrazioni devono rimanere corretti, completi e protetti da modifiche o cancellazioni non autorizzate.

Disponibilità e continuità

Le informazioni e i sistemi necessari devono essere disponibili quando servono, anche in caso di incidente o interruzione.

Rischi e priorità

Il sistema aiuta a individuare le informazioni importanti, valutare i rischi e scegliere controlli proporzionati alle attività realmente svolte.

Fornitori e servizi esterni

Cloud, software, consulenti, fornitori informatici e altri soggetti esterni vengono gestiti attraverso requisiti e responsabilità più chiari.

Clienti, contratti e filiere

La certificazione può essere richiesta o valorizzata da clienti, partner, contratti, capitolati, qualifiche dei fornitori e procedure di gara.

ISO/IEC 27001 non riguarda soltanto computer, server o programmi informatici.

Il sistema comprende anche contratti, offerte, progetti, disegni, fotografie, email, dati di clienti e collaboratori, archivi cartacei, credenziali, conoscenze interne e informazioni affidate a fornitori esterni.

Le misure tecniche sono importanti, ma devono essere collegate a responsabilità, regole operative, formazione, gestione degli accessi, valutazione dei rischi e capacità di reagire agli incidenti.

Eventuali attività tecniche specialistiche, come test di penetrazione, scansioni delle vulnerabilità, monitoraggio continuo o risposta forense, devono essere valutate e concordate separatamente con professionisti qualificati.

ISO/IEC 27001 è applicabile a organizzazioni di ogni dimensione e settore.

Il percorso può essere adatto, tra gli altri, a:

• studi professionali e società di consulenza;

• studi di architettura, ingegneria e progettazione;

• imprese informatiche e fornitori di servizi digitali;

• aziende che gestiscono dati di clienti, dipendenti o partner;

• società che utilizzano servizi cloud o lavoro da remoto;

• imprese che gestiscono progetti, documenti riservati o proprietà intellettuale;

• aziende produttive con sistemi e processi digitalizzati;

• organizzazioni che lavorano con fornitori informatici esterni;

• imprese che devono rispondere a requisiti contrattuali o di filiera;

• organizzazioni con più sedi, collaboratori o accessi esterni.

La norma non è riservata alle grandi aziende o alle società informatiche. Il sistema viene proporzionato alle dimensioni, alle informazioni gestite e ai rischi reali dell’organizzazione.

1 CHECK INIZIALE

Analizziamo attività, organizzazione, sedi, informazioni gestite, sistemi, fornitori, accessi, backup, incidenti, requisiti contrattuali e documenti già disponibili.

Riceverete una checklist essenziale delle informazioni e delle evidenze da preparare.

2 PROGETTAZIONE DEL SISTEMA

Definiamo campo di applicazione, responsabilità, criteri di valutazione, rischi, piano di trattamento e controlli applicabili.

Prepariamo un piano con fasi, tempi e persone coinvolte.

3 IMPLEMENTAZIONE E AUDIT INTERNO

Introduciamo procedure e modelli, raccogliamo le evidenze, verifichiamo l’applicazione e svolgiamo l’audit interno.

Prima della visita dell’organismo di certificazione chiudiamo insieme gli eventuali punti ancora aperti.

Il percorso comprende, in funzione della vostra organizzazione:

• analisi iniziale e piano di lavoro;

• definizione del campo di applicazione;

• politica per la sicurezza delle informazioni;

• individuazione delle informazioni e delle risorse rilevanti;

• metodologia per la valutazione dei rischi;

• registro dei rischi;

• piano di trattamento dei rischi;

• Dichiarazione di Applicabilità dei controlli;

• definizione di ruoli e responsabilità;

• criteri per accessi, credenziali e autorizzazioni;

• criteri per backup, ripristino e continuità operativa;

• gestione di fornitori e servizi esterni;

• gestione degli incidenti di sicurezza;

• regole per documenti, dispositivi, lavoro da remoto e informazioni riservate;

• sensibilizzazione delle persone coinvolte;

• moduli, registri e checklist;

• gestione di non conformità e azioni correttive;

• audit interno;

• riesame della direzione;

• preparazione alla visita dell’organismo di certificazione.

I controlli vengono selezionati in base ai rischi e alla realtà dell’organizzazione. Non vengono introdotte misure inutili soltanto per riempire documenti.

ISO/IEC 27001 riguarda la gestione della sicurezza delle informazioni. Può supportare l’organizzazione delle misure tecniche e organizzative e rendere più verificabili responsabilità, controlli ed evidenze.

Non sostituisce però il GDPR, il registro dei trattamenti, le informative, le nomine, le valutazioni d’impatto o gli altri adempimenti applicabili alla protezione dei dati personali.

La certificazione ISO/IEC 27001 non dimostra automaticamente la completa conformità alla normativa sulla privacy.

Quando l’obiettivo principale riguarda la gestione sistematica dei dati personali, può essere valutata anche ISO/IEC 27701:2025, dedicata ai sistemi di gestione delle informazioni sulla privacy.

Gli obblighi applicabili devono essere verificati in base al ruolo dell’organizzazione, alle categorie di dati trattate e alle attività effettivamente svolte.

ISO/IEC 27001 è solo per aziende informatiche?

No. È adatta a qualsiasi organizzazione che gestisca informazioni importanti, riservate o necessarie alla continuità delle proprie attività.

Riguarda soltanto dati digitali?

No. Il sistema comprende informazioni digitali, cartacee, verbali, conservate nel cloud o affidate a fornitori esterni.

Dobbiamo acquistare nuovi programmi o strumenti costosi?

Non necessariamente. Si parte dai rischi e dagli strumenti già presenti. Le eventuali misure aggiuntive vengono definite in modo proporzionato alle necessità reali.

La certificazione garantisce che non subiremo attacchi o perdite di dati?

No. Nessun sistema può eliminare completamente il rischio. ISO/IEC 27001 aiuta a prevenire, ridurre, rilevare e gestire i rischi in modo strutturato.

ISO/IEC 27001 sostituisce il GDPR?

No. La norma riguarda la sicurezza delle informazioni e può supportare alcune misure organizzative, ma non sostituisce gli obblighi previsti dalla normativa sulla protezione dei dati personali.

È necessario avere un reparto informatico interno?

No. Anche le organizzazioni che affidano l’informatica a fornitori esterni possono adottare il sistema. In questo caso diventano particolarmente importanti la gestione dei fornitori e la chiarezza delle responsabilità.

Possiamo integrarla con ISO 9001, ISO 14001 e ISO 45001?

Sì. Le norme condividono una struttura compatibile. Gestione documentale, obiettivi, audit, azioni correttive e riesame della direzione possono essere integrati.

Quanto dura il percorso?

Dipende dalle dimensioni, dal campo di applicazione, dal numero di sedi, dai sistemi coinvolti e dalla situazione iniziale. Dopo il check riceverete un piano realistico con fasi e tempi.

La certificazione viene rilasciata da Studio Bergmoser?

No. Studio Bergmoser vi affianca nella costruzione e implementazione del sistema e svolge l’audit interno. Il certificato viene rilasciato da un organismo di certificazione indipendente e qualificato.