Confronto
ISO 27001 vs GDPR: la metà sicurezza di una legge sulla privacy
ISO/IEC 27001:2022 · GDPR · dati al 2026-10-27
Per Paul Gillet · Aggiornato il 2026-10-17
Il GDPR è una legge sulla privacy; ISO 27001 è uno standard di sicurezza. I due si incontrano negli articoli che impongono obblighi di sicurezza: integrità e riservatezza (articolo 5, paragrafo 1, lettera f), protezione dei dati fin dalla progettazione (articolo 25), responsabili del trattamento (articolo 28), sicurezza del trattamento (articolo 32), notifica delle violazioni (articoli 33–34), valutazioni d'impatto (articolo 35) e responsabili della protezione dei dati (articoli 37–39). ControlMapping mappa solo questi articoli e ogni collegamento al GDPR è una scelta editoriale, poiché non esiste un crosswalk ufficiale.
Partendo da ISO 27001 verso gli articoli di sicurezza del GDPR, quasi tutto è coperto: un ISMS fornisce misure di sicurezza basate sul rischio, una gestione degli incidenti che può alimentare la notifica delle violazioni, controlli sui fornitori per i responsabili del trattamento e responsabilità documentate. L'eccezione è la posizione del responsabile della protezione dei dati (articolo 38), che ISO non affronta.
Partendo dal GDPR verso ISO 27001, gran parte dell'Allegato A risulta mappata o con correlazione debole, ma il GDPR non richiede un sistema di gestione, quindi le clausole ISMS, la sicurezza fisica e alcuni controlli tecnici (dispositivi endpoint, capacità, logging) risultano come Nessuna mappatura nei nostri dati. Il GDPR richiede anche molto che esula da questo ambito, come la base giuridica, la trasparenza e i diritti degli interessati; ISO/IEC 27701 estende un ISMS fino a coprire la gestione della privacy.
Punti chiave
- ISO 27001 è una forte evidenza per l'articolo 32 del GDPR, ma non per la conformità al GDPR nel suo complesso.
- Aggiungi procedure di notifica delle violazioni (72 ore all'autorità di controllo) al tuo processo di gestione degli incidenti.
- Per la gestione della privacy, valuta ISO/IEC 27701 in aggiunta all'ISMS.
Dei 13 requisiti di GDPR, 12 corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati.
Il GDPR è una legge sulla privacy: qui sono mappati solo gli articoli relativi alla sicurezza, e tutte le mappature sono editoriali.
Probabile lavoro aggiuntivo: requisiti di GDPR senza mappature verso ISO 27001 (1)
| GDPR | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso ISO 27001 nei nostri dati. |
Mappato (12)
| GDPR | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | Redazione | A.5.14A.8.10A.8.11+3 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| Art.24 | Responsibility of the controller | Redazione | Clause 6.1.1Clause 6.1.3A.5.37+1 | Stesso argomento: Gestione del rischio, Politica di governance (selezione della redazione) |
| Art.25 | Data protection by design and by default | Redazione | A.8.25A.8.26A.8.28+5 | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| Art.28 | Processor | Redazione | A.5.19A.5.20A.5.21+2 | Stesso argomento: Gestione del rischio della supply chain, Gestione del rischio dei fornitori (selezione della redazione) |
| Art.29 | Processing under the authority of the controller or processor | Redazione | A.6.1A.6.4A.8.16 | Stesso argomento: Minaccia interna (selezione della redazione) |
| Art.30 | Records of processing activities | Redazione | A.5.9A.5.11A.7.14 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| Art.32 | Security of processing | Redazione | A.8.24A.5.16A.5.18+6 | Stesso argomento: Crittografia, Controllo degli accessi (selezione della redazione) |
| Art.33 | Notification of a personal data breach to the supervisory authority | Redazione | A.5.5A.5.24A.5.25+2 | Stesso argomento: Segnalazione, Gestione degli incidenti (selezione della redazione) |
| Art.34 | Communication of a personal data breach to the data subject | Redazione | A.5.5A.5.26A.6.8+2 | Stesso argomento: Segnalazione, Comunicazioni e ripristino (selezione della redazione) |
| Art.35 | Data protection impact assessment | Redazione | Clause 6.1.2Clause 6.1.3 | Stesso argomento: Risk Assessment (selezione della redazione) |
| Art.37 | Designation of the data protection officer | Redazione | A.5.2A.5.4 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| Art.39 | Tasks of the data protection officer | Redazione | A.5.2A.5.4A.6.3+1 | Stesso argomento: Ruoli e responsabilità, Consapevolezza e formazione (selezione della redazione) |
Dei 123 requisiti di ISO/IEC 27001:2022, 47 corrispondono a qualcosa in GDPR, 47 sono solo debolmente correlati e 29 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di ISO 27001 senza mappature verso GDPR (29)
| ISO 27001 | Requisito | Corrispondenza | GDPR | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.5.35 | Independent review of information security | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.2 | Physical entry | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.3 | Securing offices, rooms and facilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.5 | Protecting against physical and environmental threats | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.6 | Working in secure areas | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.8 | Equipment siting and protection | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.11 | Supporting utilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.7.12 | Cabling security | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.8.6 | Capacity management | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| A.8.15 | Logging | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 4.3 | Determining the scope of the ISMS | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 4.4 | Information security management system | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 5.1 | Leadership and commitment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 6.2 | Information security objectives and planning to achieve them | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 6.3 | Planning of changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 7.5.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 7.5.2 | Creating and updating | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 7.5.3 | Control of documented information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 8.2 | Information security risk assessment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 8.3 | Information security risk treatment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 9.2.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 9.2.2 | Internal audit programme | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 10.1 | Continual improvement | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
| Clause 10.2 | Nonconformity and corrective action | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso GDPR nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (47)
| ISO 27001 | Requisito | Corrispondenza | GDPR | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | Condivide solo le sottocategorie CSF ID.RA-03, ID.RA-05, ID.RA-06: correlato, non una mappatura | |
| A.5.8 | Information security in project management | Art.30(1) | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Condivide solo le sottocategorie CSF PR.DS-01, ID.AM-08: correlato, non una mappatura | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | Condivide solo le sottocategorie CSF ID.IM-04, RS.MA-01, RS.MA-02: correlato, non una mappatura | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | Condivide solo le sottocategorie CSF RS.MA-01, RS.MA-02, RC.CO-03: correlato, non una mappatura | |
| A.5.32 | Intellectual property rights | Art.24(2) | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | Condivide solo le sottocategorie CSF GV.RR-04, GV.RR-03: correlato, non una mappatura | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | Condivide solo le sottocategorie CSF GV.PO-01, PR.AA-05, PR.PS-01: correlato, non una mappatura | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | Condivide solo le sottocategorie CSF DE.CM-03: correlato, non una mappatura | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Condivide solo le sottocategorie CSF PR.DS-01, ID.AM-08: correlato, non una mappatura | |
| A.7.13 | Equipment maintenance | Art.30(1) | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02…: correlato, non una mappatura | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-05: correlato, non una mappatura | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.9 | Configuration management | Art.28(1) | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03: correlato, non una mappatura | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | Condivide solo le sottocategorie CSF PR.DS-02, PR.IR-01: correlato, non una mappatura | |
| A.8.21 | Security of network services | Art.28(1) | Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.8.23 | Web filtering | Art.28(1) | Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura | |
| A.8.30 | Outsourced development | Art.5(2) | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | Condivide solo le sottocategorie CSF PR.PS-06: correlato, non una mappatura | |
| A.8.32 | Change management | Art.5(2) | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Condivide solo le sottocategorie CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10…: correlato, non una mappatura | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | Condivide solo le sottocategorie CSF GV.RR-03: correlato, non una mappatura | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | Condivide solo le sottocategorie CSF GV.RR-01, GV.RR-02, GV.RR-03: correlato, non una mappatura | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-03, RC.RP-04: correlato, non una mappatura | |
| Clause 9.3.1 | General | Art.28(1) | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.3 | Management review results | Art.28(1) | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
Mappato (47)
| ISO 27001 | Requisito | Corrispondenza | GDPR | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | Redazione | Art.24(2) | Stesso argomento: Politica di governance (selezione della redazione) |
| A.5.2 | Information security roles and responsibilities | Redazione | Art.37(1)Art.39(1) | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| A.5.4 | Management responsibilities | Redazione | Art.37(1)Art.39(1) | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| A.5.5 | Contact with authorities | Redazione | Art.33(1)Art.34(1) | Stesso argomento: Segnalazione (selezione della redazione) |
| A.5.9 | Inventory of information and other associated assets | Redazione | Art.30(1) | Stesso argomento: Gestione degli asset (selezione della redazione) |
| A.5.11 | Return of assets | Redazione | Art.30(1) | Stesso argomento: Gestione degli asset (selezione della redazione) |
| A.5.14 | Information transfer | Redazione | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Stesso argomento: Protezione dei dati (selezione della redazione) |
| A.5.15 | Access control | Redazione | Art.25(2)Art.32(1)(b) | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| A.5.16 | Identity management | Redazione | Art.25(2)Art.32(1)(b) | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| A.5.18 | Access rights | Redazione | Art.25(2)Art.32(1)(b) | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| A.5.19 | Information security in supplier relationships | Redazione | Art.28(1)Art.28(3) | Stesso argomento: Gestione del rischio della supply chain, Gestione del rischio dei fornitori (selezione della redazione) |
| A.5.20 | Addressing information security within supplier agreements | Redazione | Art.28(1)Art.28(3) | Stesso argomento: Gestione del rischio dei fornitori (selezione della redazione) |
| A.5.21 | Managing information security in the ICT supply chain | Redazione | Art.28(1) | Stesso argomento: Gestione del rischio della supply chain (selezione della redazione) |
| A.5.22 | Monitoring, review and change management of supplier services | Redazione | Art.28(1)Art.28(3) | Stesso argomento: Gestione del rischio dei fornitori (selezione della redazione) |
| A.5.23 | Information security for use of cloud services | Redazione | Art.28(1) | Stesso argomento: Sicurezza del cloud (selezione della redazione) |
| A.5.24 | Information security incident management planning and preparation | Redazione | Art.33(1)Art.33(5) | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| A.5.25 | Assessment and decision on information security events | Redazione | Art.33(1)Art.33(5) | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| A.5.26 | Response to information security incidents | Redazione | Art.33(1)Art.33(5)Art.34(1) | Stesso argomento: Gestione degli incidenti, Comunicazioni e ripristino (selezione della redazione) |
| A.5.29 | Information security during disruption | Redazione | Art.32(1)(b)Art.32(1)(c) | Stesso argomento: Continuità operativa, Pianificazione del ripristino (selezione della redazione) |
| A.5.30 | ICT readiness for business continuity | Redazione | Art.32(1)(b)Art.32(1)(c) | Stesso argomento: Continuità operativa, Pianificazione del ripristino, Disaster Recovery (selezione della redazione) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Redazione | Art.5(2) | Stesso argomento: Conformità (selezione della redazione) |
| A.5.36 | Compliance with policies, rules and standards for information security | Redazione | Art.5(2) | Stesso argomento: Conformità (selezione della redazione) |
| A.5.37 | Documented operating procedures | Redazione | Art.24(2) | Stesso argomento: Politica di governance (selezione della redazione) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Redazione | Art.29Art.32(4) | Stesso argomento: Minaccia interna (selezione della redazione) |
| A.6.3 | Information security awareness, education and training | Redazione | Art.39(1)(b) | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| A.6.4 | Disciplinary process | Redazione | Art.29Art.32(4) | Stesso argomento: Minaccia interna (selezione della redazione) |
| A.6.8 | Information security event reporting | Redazione | Art.33(1)Art.34(1) | Stesso argomento: Segnalazione (selezione della redazione) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Redazione | Art.30(1) | Stesso argomento: Gestione degli asset (selezione della redazione) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | Redazione | Art.25(2)Art.32(1)(b) | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| A.8.8 | Management of technical vulnerabilities | Redazione | Art.32(1)(d) | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| A.8.10 | Information deletion | Redazione | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Stesso argomento: Protezione dei dati (selezione della redazione) |
| A.8.11 | Data masking | Redazione | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Stesso argomento: Protezione dei dati (selezione della redazione) |
| A.8.13 | Information backup | Redazione | Art.32(1)(c) | Stesso argomento: Backup e ripristino (selezione della redazione) |
| A.8.14 | Redundancy of information processing facilities | Redazione | Art.32(1)(b)Art.32(1)(c) | Stesso argomento: Continuità operativa, Disaster Recovery (selezione della redazione) |
| A.8.16 | Monitoring activities | Redazione | Art.29Art.32(4) | Stesso argomento: Minaccia interna (selezione della redazione) |
| A.8.24 | Use of cryptography | Redazione | Art.32(1)(a)Art.34(3)(a) | Stesso argomento: Crittografia (selezione della redazione) |
| A.8.25 | Secure development life cycle | Redazione | Art.25(1) | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| A.8.26 | Application security requirements | Redazione | Art.25(1) | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| A.8.28 | Secure coding | Redazione | Art.25(1) | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| A.8.29 | Security testing in development and acceptance | Redazione | Art.25(1) | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | Redazione | Art.24(2) | Stesso argomento: Politica di governance (selezione della redazione) |
| Clause 6.1.1 | General | Redazione | Art.24(1)Art.32(2) | Stesso argomento: Gestione del rischio (selezione della redazione) |
| Clause 6.1.2 | Information security risk assessment | Redazione | Art.35(1)Art.35(7) | Stesso argomento: Risk Assessment (selezione della redazione) |
| Clause 6.1.3 | Information security risk treatment | Redazione | Art.24(1)Art.32(2)Art.35(1)+1 | Stesso argomento: Gestione del rischio, Risk Assessment (selezione della redazione) |
| Clause 7.3 | Awareness | Redazione | Art.39(1)(b) | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| Clause 7.4 | Communication | Redazione | Art.34(1) | Stesso argomento: Comunicazioni e ripristino (selezione della redazione) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Redazione | Art.5(2) | Stesso argomento: Conformità (selezione della redazione) |
Per tema
Coperti da entrambi (23):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentGestione delle vulnerabilitàControllo degli accessiCrittografiaProtezione dei datiBackup e ripristinoSviluppo sicuroSicurezza del cloudGestione degli incidentiSegnalazionePianificazione del ripristinoContinuità operativaComunicazioni e ripristinoDisaster RecoveryMinaccia internaGestione del rischio dei fornitori
Solo ISO 27001 (27):
Contesto aziendaleClassificazione dei datiThreat IntelligenceAutenticazione a più fattoriAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSicurezza della posta elettronicaSicurezza webZero TrustSicurezza mobileSicurezza DNSWAFDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCAnalisi forenseComunicazioneMitigazioneLezioni appreseSicurezza delle APISicurezza fisica
Domande
ISO 27001 ti rende conforme al GDPR?
No. Supporta gli obblighi di sicurezza, in particolare l'articolo 32, ma il GDPR copre anche il trattamento lecito, la trasparenza, i diritti degli interessati e altro ancora.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.