Framework
ISO/IEC 27001:2022
Di cosa si tratta
Lo standard internazionale per un sistema di gestione della sicurezza delle informazioni (ISMS). I punti da 4 a 10 sono requisiti obbligatori del sistema di gestione; l'Allegato A elenca 93 controlli di riferimento, selezionati tramite il trattamento del rischio e giustificati in una Dichiarazione di Applicabilità.
Chi ne ha bisogno
Organizzazioni che necessitano di una prova della sicurezza riconosciuta a livello internazionale: comune per le aziende di software e servizi che vendono a grandi imprese e alla pubblica amministrazione, in particolare al di fuori degli Stati Uniti.
Come viene valutato
Un organismo di certificazione accreditato esegue un audit di Fase 1 (documentazione) e di Fase 2 (implementazione). Il certificato ha una validità di tre anni, con audit di sorveglianza nel primo e nel secondo anno. Vedi come ottenere la certificazione.
Leggi la guida: Come ottenere la certificazione ISO 27001 →
123
Controlli dell'Allegato A e clausole dell'ISMS
123
Mappato su un altro framework
100%
Argomenti coperti (50/50)
Conteggi: clausole conteggiate al loro livello più basso (6.1.1–6.1.3, non 6.1).
Confronti
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Requisiti
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
| ID | Requisito | Argomenti | Mappato in |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Politica di governance | 9 di 13 |
| A.5.2 | Information security roles and responsibilities | Ruoli e responsabilità | 9 di 13 |
| A.5.3 | Segregation of duties | — | 3 di 13 |
| A.5.4 | Management responsibilities | Ruoli e responsabilità | 9 di 13 |
| A.5.5 | Contact with authorities | Segnalazione | 12 di 13 |
| A.5.6 | Contact with special interest groups | Comunicazione | 8 di 13 |
| A.5.7 | Threat intelligence | Threat Intelligence | 7 di 13 |
| A.5.8 | Information security in project management | — | 1 di 13 |
| A.5.9 | Inventory of information and other associated assets | Gestione degli asset | 13 di 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 di 13 |
| A.5.11 | Return of assets | Gestione degli asset | 13 di 13 |
| A.5.12 | Classification of information | Classificazione dei dati | 9 di 13 |
| A.5.13 | Labelling of information | Classificazione dei dati | 9 di 13 |
| A.5.14 | Information transfer | Protezione dei dati, Sicurezza della posta elettronica | 12 di 13 |
| A.5.15 | Access control | Controllo degli accessi, Zero Trust | 11 di 13 |
| A.5.16 | Identity management | Controllo degli accessi | 11 di 13 |
| A.5.17 | Authentication information | — | 2 di 13 |
| A.5.18 | Access rights | Controllo degli accessi | 11 di 13 |
| A.5.19 | Information security in supplier relationships | Gestione del rischio della supply chain, Gestione del rischio dei fornitori | 10 di 13 |
| A.5.20 | Addressing information security within supplier agreements | Gestione del rischio dei fornitori | 10 di 13 |
| A.5.21 | Managing information security in the ICT supply chain | Gestione del rischio della supply chain | 9 di 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Gestione del rischio dei fornitori | 10 di 13 |
| A.5.23 | Information security for use of cloud services | Sicurezza del cloud | 11 di 13 |
| A.5.24 | Information security incident management planning and preparation | Gestione degli incidenti | 12 di 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Gestione degli incidenti | 12 di 13 |
| A.5.26 | Response to information security incidents | Gestione degli incidenti, Mitigazione, Comunicazioni e ripristino | 12 di 13 |
| A.5.27 | Learning from information security incidents | Lezioni apprese | 9 di 13 |
| A.5.28 | Collection of evidence | Analisi forense | 7 di 13 |
| A.5.29 | Information security during disruption | Pianificazione del ripristino, Continuità operativa | 9 di 13 |
| A.5.30 | ICT readiness for business continuity | Pianificazione del ripristino, Continuità operativa, Disaster Recovery | 10 di 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Conformità | 10 di 13 |
| A.5.32 | Intellectual property rights | — | 2 di 13 |
| A.5.33 | Protection of records | — | 2 di 13 |
| A.5.34 | Privacy and protection of PII | — | 2 di 13 |
| A.5.35 | Independent review of information security | — | 3 di 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Conformità | 10 di 13 |
| A.5.37 | Documented operating procedures | Politica di governance | 9 di 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Minaccia interna | 9 di 13 |
| A.6.2 | Terms and conditions of employment | — | 2 di 13 |
| A.6.3 | Information security awareness, education and training | Consapevolezza e formazione | 10 di 13 |
| A.6.4 | Disciplinary process | Minaccia interna | 9 di 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 di 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 di 13 |
| A.6.7 | Remote working | Sicurezza mobile | 7 di 13 |
| A.6.8 | Information security event reporting | Segnalazione | 12 di 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Sicurezza fisica | 8 di 13 |
| A.7.2 | Physical entry | Sicurezza fisica | 8 di 13 |
| A.7.3 | Securing offices, rooms and facilities | Sicurezza fisica | 8 di 13 |
| A.7.4 | Physical security monitoring | Sicurezza fisica | 8 di 13 |
| A.7.5 | Protecting against physical and environmental threats | Sicurezza fisica | 8 di 13 |
| A.7.6 | Working in secure areas | Sicurezza fisica | 8 di 13 |
| A.7.7 | Clear desk and clear screen | — | 2 di 13 |
| A.7.8 | Equipment siting and protection | Sicurezza fisica | 8 di 13 |
| A.7.9 | Security of assets off-premises | — | 1 di 13 |
| A.7.10 | Storage media | — | 2 di 13 |
| A.7.11 | Supporting utilities | Sicurezza fisica | 8 di 13 |
| A.7.12 | Cabling security | Sicurezza fisica | 8 di 13 |
| A.7.13 | Equipment maintenance | — | 2 di 13 |
| A.7.14 | Secure disposal or re-use of equipment | Gestione degli asset | 13 di 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Protezione degli endpoint, Sicurezza mobile | 10 di 13 |
| A.8.2 | Privileged access rights | Accesso privilegiato | 10 di 13 |
| A.8.3 | Information access restriction | Controllo degli accessi | 11 di 13 |
| A.8.4 | Access to source code | — | 1 di 13 |
| A.8.5 | Secure authentication | Autenticazione a più fattori, Zero Trust, Sicurezza delle API | 10 di 13 |
| A.8.6 | Capacity management | — | 2 di 13 |
| A.8.7 | Protection against malware | Protezione degli endpoint | 10 di 13 |
| A.8.8 | Management of technical vulnerabilities | Gestione delle vulnerabilità, Gestione delle patch | 13 di 13 |
| A.8.9 | Configuration management | Configurazione sicura | 9 di 13 |
| A.8.10 | Information deletion | Protezione dei dati | 11 di 13 |
| A.8.11 | Data masking | Protezione dei dati | 11 di 13 |
| A.8.12 | Data leakage prevention | DLP | 7 di 13 |
| A.8.13 | Information backup | Backup e ripristino | 11 di 13 |
| A.8.14 | Redundancy of information processing facilities | Continuità operativa, Disaster Recovery | 10 di 13 |
| A.8.15 | Logging | Logging e audit | 10 di 13 |
| A.8.16 | Monitoring activities | Monitoraggio continuo, Intrusion Detection, Rilevamento delle anomalie, SIEM / SOC, Minaccia interna | 12 di 13 |
| A.8.17 | Clock synchronization | Logging e audit | 10 di 13 |
| A.8.18 | Use of privileged utility programs | Accesso privilegiato | 10 di 13 |
| A.8.19 | Installation of software on operational systems | Protezione degli endpoint | 10 di 13 |
| A.8.20 | Networks security | Firewall / Segmentazione di rete, Sicurezza DNS, WAF | 9 di 13 |
| A.8.21 | Security of network services | Firewall / Segmentazione di rete, Sicurezza DNS | 9 di 13 |
| A.8.22 | Segregation of networks | Firewall / Segmentazione di rete, Zero Trust | 9 di 13 |
| A.8.23 | Web filtering | — | 1 di 13 |
| A.8.24 | Use of cryptography | Crittografia | 10 di 13 |
| A.8.25 | Secure development life cycle | Sviluppo sicuro | 8 di 13 |
| A.8.26 | Application security requirements | Sviluppo sicuro, Sicurezza web, Sicurezza delle API | 8 di 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 di 13 |
| A.8.28 | Secure coding | Sviluppo sicuro | 8 di 13 |
| A.8.29 | Security testing in development and acceptance | Sviluppo sicuro | 8 di 13 |
| A.8.30 | Outsourced development | — | 2 di 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 di 13 |
| A.8.32 | Change management | — | 4 di 13 |
| A.8.33 | Test information | — | 2 di 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 di 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Contesto aziendale | 5 di 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Contesto aziendale | 5 di 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 di 13 |
| Clause 4.4 | Information security management system | — | 1 di 13 |
| Clause 5.1 | Leadership and commitment | — | 2 di 13 |
| Clause 5.2 | Policy | Politica di governance | 9 di 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 di 13 |
| Clause 6.1.1 | General | Gestione del rischio | 10 di 13 |
| Clause 6.1.2 | Information security risk assessment | Risk Assessment | 10 di 13 |
| Clause 6.1.3 | Information security risk treatment | Gestione del rischio, Risk Assessment | 10 di 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 di 13 |
| Clause 6.3 | Planning of changes | — | 2 di 13 |
| Clause 7.1 | Resources | — | 2 di 13 |
| Clause 7.2 | Competence | — | 3 di 13 |
| Clause 7.3 | Awareness | Consapevolezza e formazione | 10 di 13 |
| Clause 7.4 | Communication | Comunicazione, Comunicazioni e ripristino | 9 di 13 |
| Clause 7.5.1 | General | — | 1 di 13 |
| Clause 7.5.2 | Creating and updating | — | 1 di 13 |
| Clause 7.5.3 | Control of documented information | — | 1 di 13 |
| Clause 8.1 | Operational planning and control | — | 2 di 13 |
| Clause 8.2 | Information security risk assessment | — | 4 di 13 |
| Clause 8.3 | Information security risk treatment | — | 4 di 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Conformità | 10 di 13 |
| Clause 9.2.1 | General | — | 1 di 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 di 13 |
| Clause 9.3.1 | General | — | 1 di 13 |
| Clause 9.3.2 | Management review inputs | — | 1 di 13 |
| Clause 9.3.3 | Management review results | — | 1 di 13 |
| Clause 10.1 | Continual improvement | Lezioni apprese | 9 di 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 di 13 |
Copertura dell'argomento
Argomenti con requisiti ISO 27001 mappati (50):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentContesto aziendaleClassificazione dei datiGestione delle vulnerabilitàThreat IntelligenceControllo degli accessiAutenticazione a più fattoriCrittografiaProtezione dei datiBackup e ripristinoAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza mobileSicurezza del cloudSicurezza DNSWAFDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCGestione degli incidentiAnalisi forenseComunicazioneMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaLezioni appreseComunicazioni e ripristinoDisaster RecoverySicurezza delle APIMinaccia internaGestione del rischio dei fornitoriSicurezza fisica