Come ottenere la certificazione ISO 27001

Per Paul Gillet · Aggiornato il 2026-10-17

ISO/IEC 27001 è lo standard internazionale per un sistema di gestione della sicurezza delle informazioni (ISMS): il modo in cui un'organizzazione decide quali rischi per la sicurezza sono rilevanti, li tratta e continua a migliorare. A differenza di SOC 2, si conclude con un certificato, rilasciato da un organismo di certificazione accreditato e valido per tre anni, con audit di sorveglianza nel frattempo.

Cosa richiede lo standard

• I punti da 4 a 10 sono obbligatori: contesto e ambito (4), leadership e politica (5), valutazione dei rischi, trattamento dei rischi e obiettivi (6), risorse, competenza, consapevolezza, comunicazione e informazioni documentate (7), esecuzione del piano (8), monitoraggio, audit interno e riesame della direzione (9), e azioni correttive e miglioramento (10).
• L'Allegato A elenca 93 controlli in quattro temi: organizzativi, persone, fisici e tecnologici. Sono un insieme di riferimento, non una checklist: si scelgono i controlli attraverso il trattamento dei rischi e si giustifica ogni inclusione ed esclusione nello Statement of Applicability (SoA).

L'edizione attuale è ISO/IEC 27001:2022 (con un emendamento del 2024 che aggiunge i cambiamenti climatici ai punti sul contesto). La transizione dall'edizione 2013 si è conclusa il 31 ottobre 2025, quindi ogni certificato valido è ora riferito all'edizione 2022.

Le fasi

1. Definire l'ambito (4.3): quali parti dell'organizzazione, quali sedi e quali servizi. I clienti leggono l'ambito sul certificato, quindi assicuratevi che copra ciò che acquistano.
2. Ottenere l'impegno della leadership (5): una politica per la sicurezza delle informazioni, ruoli e responsabilità assegnati e risorse.
3. Definire un metodo di valutazione dei rischi ed eseguirlo (6.1.2): identificare i rischi per riservatezza, integrità e disponibilità, con responsabili, probabilità e impatto.
4. Trattare i rischi (6.1.3): scegliere i controlli, confrontarli con l'Allegato A e redigere lo SoA e un piano di trattamento dei rischi approvato dai responsabili dei rischi.
5. Definire obiettivi di sicurezza misurabili (6.2) e pianificare come raggiungerli.
6. Implementare e gestire (7–8): politiche, procedure, formazione e consapevolezza, controlli e le evidenze documentate del loro funzionamento.
7. Misurare e riesaminare (9): monitorare l'ISMS, condurre un audit interno affidato a una persona indipendente dall'attività sottoposta ad audit e svolgere un riesame della direzione.
8. Correggere ciò che emerge (10): registrare le non conformità e le azioni correttive.
9. Audit di Stage 1: l'organismo di certificazione esamina la documentazione e il grado di preparazione.
10. Audit di Stage 2: l'organismo di certificazione verifica se l'ISMS funziona nella pratica. Le non conformità maggiori devono essere chiuse prima del rilascio del certificato.

Scegliere un organismo di certificazione

Rivolgetevi a un organismo accreditato per ISO/IEC 27001 da un ente di accreditamento nazionale membro dell'International Accreditation Forum (ad esempio UKAS, ANAB, DAkkS o JAS-ANZ), e verificate che l'accreditamento copra il vostro ambito. I certificati emessi da organismi non accreditati costano meno, ma spesso vengono respinti dai clienti.

Tempistiche tipiche

Molte piccole e medie organizzazioni impiegano da sei a dodici mesi dall'avvio alla certificazione. L'ISMS deve funzionare abbastanza a lungo da produrre registrazioni reali prima dello Stage 2: almeno un audit interno, un riesame della direzione e la prova che i controlli operano. Dopo la certificazione, aspettatevi audit di sorveglianza nel primo e nel secondo anno e un audit di ricertificazione nel terzo anno.

Evidenze che gli auditor cercano

• l'ambito, la politica di sicurezza e gli obiettivi, con le relative misurazioni;
• il metodo di valutazione dei rischi, il registro dei rischi e il piano di trattamento dei rischi;
• lo Statement of Applicability, con le giustificazioni;
• registrazioni di competenza e formazione;
• rapporti di audit interno e verbali del riesame della direzione;
• registri delle non conformità e delle azioni correttive;
• registrazioni operative dei controlli selezionati: verifiche degli accessi, registrazioni delle modifiche, valutazioni dei fornitori, registri degli incidenti, backup.

Errori che colgono di sorpresa

• Valutazioni dei rischi basate su modelli: gli auditor chiedono come sono stati identificati i rischi e perché è stato scelto ciascun controllo. Un elenco generico senza responsabili non supera questa verifica.
• Esclusioni non giustificate dallo SoA: escludere un controllo richiede una motivazione legata ai rischi o all'ambito.
• Indipendenza dell'audit interno: chi ha costruito l'ISMS non dovrebbe verificare il proprio lavoro.
• Un ambito troppo ristretto per essere utile: un certificato che copre un solo ufficio non soddisfa un cliente che acquista il vostro servizio cloud.

Come ti aiuta questo sito

ControlMapping elenca ogni controllo dell'Allegato A e ogni punto dell'ISMS con i rispettivi equivalenti in altri dieci framework. I collegamenti dell'Allegato A a NIST CSF 2.0 e SP 800-53 derivano da crosswalk pubblicati; il testo dei controlli è protetto dal copyright di ISO, quindi mostriamo solo i titoli. Se già seguite SOC 2, NIST o NIS2, la tabella sottostante e la gap analysis mostrano cosa può essere riutilizzato. Il sistema di gestione dei punti da 4 a 10 è di solito la parte più impegnativa del nuovo lavoro.

Hai già un altro framework?

Quanti requisiti di ISO 27001 corrispondono a ciascun framework che potresti già seguire. Apri un report dei gap per l'elenco requisito per requisito.

Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · Correlazione debole condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. I conteggi derivano dagli stessi dati di analisi del gap; una mappatura indica requisiti correlati, non la prova che l'uno soddisfi l'altro.

Domande

Quanto dura un certificato ISO 27001?

Tre anni, a condizione che gli audit annuali di sorveglianza siano superati. Un audit di ricertificazione è necessario prima della scadenza.

Dobbiamo implementare tutti i 93 controlli dell'Allegato A?

No. Si scelgono i controlli attraverso il trattamento dei rischi e si giustifica ogni inclusione ed esclusione nello Statement of Applicability.

ISO 27001 o SOC 2: quale è migliore?

Nessuno dei due è migliore; i clienti chiedono cose diverse. ISO 27001 è una certificazione riconosciuta a livello internazionale; SOC 2 è un report di attestazione in stile statunitense. Vedi ISO 27001 vs SOC 2.

Non costituisce consulenza legale o di conformità. Verifica il testo ufficiale e confrontati con il tuo auditor, valutatore o ente regolatore prima di farvi affidamento.