Come implementare un ISMS cloud: guida ISO 27001, 27017, 27018

Un sistema di gestione della sicurezza delle informazioni (ISMS) per il cloud è un insieme strutturato di processi, controlli e responsabilità conforme agli standard internazionali ISO 27001, ISO 27017 e ISO 27018, progettato per proteggere dati e servizi in ambienti cloud. Implementarlo correttamente significa partire da ISO 27001 come base normativa, estendere i controlli con ISO 27017 per la sicurezza tecnica specifica del cloud, e aggiungere ISO 27018 quando si trattano dati personali per conto di terzi.

Il percorso di implementazione si articola in fasi distinte:

• Definizione del perimetro: identificare quali sistemi, dati e processi rientrano nell’ISMS cloud.
• Analisi del contesto e delle parti interessate: mappare requisiti normativi, aspettative dei clienti e obblighi contrattuali con i fornitori cloud.
• Valutazione dei rischi: identificare minacce specifiche del cloud e definire i controlli di trattamento.
• Implementazione dei controlli: applicare i controlli ISO 27001, integrati con quelli aggiuntivi di ISO 27017 e ISO 27018.
• Documentazione: produrre policy, procedure, registri dei rischi e piani di risposta agli incidenti.
• Formazione del personale: garantire che il team comprenda le responsabilità specifiche in ambiente cloud.
• Audit interno e certificazione: verificare la conformità prima dell’audit con l’ente certificatore accreditato.

Quali sono i requisiti di ISO 27001 per un ISMS efficace?

ISO 27001 richiede che l’organizzazione definisca una politica di sicurezza delle informazioni, conduca una valutazione strutturata dei rischi e implementi un ciclo di miglioramento continuo. Questi requisiti non sono opzionali: costituiscono la struttura portante su cui si reggono tutte le estensioni cloud.

I requisiti chiave dello standard si distribuiscono su dieci clausole principali:

• Leadership e impegno della direzione: il top management deve approvare la politica di sicurezza e assegnare risorse adeguate.
• Definizione del perimetro (scope): stabilire con precisione quali asset, processi e sedi rientrano nell’ISMS.
• Valutazione e trattamento dei rischi: identificare minacce e vulnerabilità, stimare impatto e probabilità, scegliere i controlli di mitigazione.
• Dichiarazione di applicabilità (SoA): documentare quali controlli dell’Allegato A sono applicati e perché.
• Pianificazione e obiettivi di sicurezza: fissare traguardi misurabili con responsabili e scadenze definite.
• Supporto operativo: gestire competenze, consapevolezza, comunicazione e documentazione del sistema.
• Controllo operativo: implementare i processi definiti e gestire i fornitori esterni, inclusi i provider cloud.
• Monitoraggio e misurazione: raccogliere metriche sulle prestazioni dei controlli e sull’efficacia dell’ISMS.
• Audit interno: verificare periodicamente la conformità ai requisiti dello standard.
• Riesame della direzione e miglioramento continuo: aggiornare l’ISMS sulla base dei risultati degli audit e delle variazioni del contesto.

L’approccio sistematico di ISO 27001 garantisce che la sicurezza non sia un progetto una tantum, ma un processo gestito nel tempo. Per le organizzazioni che operano in cloud, questo significa aggiornare periodicamente la valutazione dei rischi ogni volta che cambiano i servizi cloud adottati o le configurazioni infrastrutturali.

Come si applicano ISO 27017 e ISO 27018 alla sicurezza cloud?

ISO 27017 e ISO 27018 sono estensioni verticali di ISO 27001: non sostituiscono lo standard base, ma ne ampliano i controlli per rispondere alle specificità del cloud computing. La distinzione tra le due norme è netta e vale la pena chiarirla subito.

ISO 27017 si concentra sulla sicurezza tecnica e organizzativa dei servizi cloud. Introduce controlli specifici per il cloud che non esistono in ISO 27001, tra cui:

• Segregazione degli ambienti virtuali tra clienti diversi sullo stesso provider.
• Gestione delle configurazioni delle macchine virtuali con template pre-approvati.
• Definizione esplicita delle responsabilità condivise tra Cloud Service Provider e cliente.
• Monitoraggio delle attività del cliente all’interno dell’ambiente cloud.
• Procedure per la rimozione e la restituzione degli asset al termine del contratto.
• Protezione delle interfacce di servizio contro accessi non autorizzati.
• Allineamento tra ambienti virtuali e fisici per garantire coerenza nei controlli.

ISO 27018 si concentra invece sulla protezione delle informazioni personali identificabili (PII) trattate in ambienti cloud, con particolare rilevanza per i provider che agiscono come responsabili del trattamento per conto dei propri clienti. I principi introdotti dalla norma includono il consenso informato, la minimizzazione dei dati, la limitazione della finalità, la trasparenza nel trattamento e la gestione strutturata delle violazioni di dati personali. L’allineamento con il GDPR è diretto: ISO 27018 traduce i principi del regolamento europeo in controlli operativi concreti, rendendo più agevole dimostrare la conformità al Garante della Privacy.

Per integrare queste norme nell’ISMS esistente, il punto di partenza è la Dichiarazione di applicabilità. I controlli aggiuntivi di ISO 27017 e ISO 27018 vanno aggiunti alla SoA con la relativa giustificazione, e le procedure operative devono essere aggiornate per riflettere le nuove responsabilità.

Un consiglio: Prima di avviare l’integrazione di ISO 27017 nell’ISMS, richiedere al proprio provider cloud la documentazione sui controlli di sicurezza già implementati. Molti provider pubblicano report di conformità che consentono di evitare duplicazioni e concentrare gli sforzi sui gap reali.

Per approfondire i requisiti tecnici di ISO 27018, la guida ai punti chiave ISO 27018 di Securityhub offre un riferimento pratico e aggiornato.

Come strutturare il team, i processi e la documentazione per un ISMS cloud?

Un ISMS cloud funzionante richiede ruoli chiari, processi definiti e una documentazione che supporti sia la governance interna sia la verifica esterna. Strutturare responsabilità precise nel team è la condizione preliminare per qualsiasi altra attività.

Ruoli chiave nel team ISMS

Processi fondamentali

La gestione degli accessi in cloud richiede l’adozione del principio del minimo privilegio e l’autenticazione a più fattori (MFA) per tutti gli account con accesso a dati sensibili. Il monitoraggio continuo deve coprire sia gli accessi agli ambienti cloud sia le modifiche alle configurazioni, con alert automatici per comportamenti anomali.

Il piano di risposta agli incidenti di sicurezza cloud deve prevedere procedure specifiche per scenari tipici del cloud: accesso non autorizzato a storage, compromissione di credenziali di servizio, misconfigurazioni esposte pubblicamente. Ogni procedura deve indicare tempi di risposta, responsabili e modalità di notifica, inclusa quella al Garante della Privacy entro 72 ore in caso di violazione di dati personali.

Struttura documentale minima

La documentazione ISMS per il cloud deve includere:

• Politica di sicurezza delle informazioni approvata dalla direzione.
• Registro dei rischi aggiornato con minacce specifiche del cloud.
• Dichiarazione di applicabilità con i controlli ISO 27001, ISO 27017 e ISO 27018.
• Procedure operative per gestione accessi, backup, monitoraggio e risposta agli incidenti.
• Contratti con i provider cloud che definiscono le responsabilità condivise.
• Registri di audit interno e verbali di riesame della direzione.

La formazione del personale merita attenzione specifica: non basta distribuire le policy, occorre verificare che i collaboratori comprendano i rischi specifici del cloud e sappiano riconoscere comportamenti anomali o tentativi di phishing mirati.

Come condurre l’analisi dei rischi per la sicurezza cloud nell’ISMS?

L’analisi dei rischi in ambiente cloud differisce da quella tradizionale perché parte di infrastruttura e responsabilità è delegata al provider. Questo non riduce il perimetro di rischio dell’organizzazione: lo sposta e lo modifica.

Le principali minacce per gli ambienti cloud che l’analisi deve coprire includono:

• Violazioni dei dati: accesso non autorizzato a informazioni sensibili tramite attacchi hacker o phishing.
• API insicure: interfacce di programmazione vulnerabili che espongono l’ambiente a intrusioni esterne.
• Hijacking degli account: furto di credenziali per accedere a risorse cloud con privilegi elevati.
• Minacce interne: dipendenti o partner che abusano dei propri privilegi di accesso.
• Misconfigurazioni: errori nell’impostazione dei servizi cloud, come storage pubblico non protetto.
• Attacchi DDoS: interruzioni deliberate dei servizi tramite traffico malevolo.
• Non conformità normativa: violazione di GDPR o altri obblighi di legge applicabili.
• Perdita di dati: cancellazione accidentale o malfunzionamenti in assenza di backup adeguati.

Dato rilevante: ISO 27001 definisce un framework con controlli applicabili al cloud che coprono sistematicamente queste otto categorie di minaccia, dalla gestione degli accessi (controllo A.9) alla crittografia (A.10), dal monitoraggio delle attività (A.12.4) alla continuità operativa (A.17).

Il processo di assessment si articola in tre fasi. Prima si raccolgono i dati sugli asset cloud: quali servizi sono in uso, dove risiedono i dati, chi ha accesso e con quali privilegi. Poi si valutano impatto e probabilità per ciascuna minaccia identificata, producendo una matrice di rischio che guida la priorità degli interventi. Infine si selezionano i controlli di mitigazione, documentando le scelte nella Dichiarazione di applicabilità.

L’analisi dei rischi non è un’attività da svolgere una volta sola. Ogni modifica significativa all’infrastruttura cloud, ogni nuovo servizio adottato o ogni cambio di provider deve innescare una revisione parziale del registro dei rischi. Integrare questo processo nel ciclo operativo dell’ISMS, con revisioni programmate almeno annuali, è la differenza tra un sistema di gestione vivo e uno che invecchia sulla carta.

Come prepararsi all’audit di certificazione ISO 27001, 27017 e 27018?

La preparazione all’audit di certificazione richiede un percorso strutturato che parte dall’analisi dello stato attuale e arriva alla verifica documentale completa. Non si tratta di raccogliere carta: si tratta di dimostrare che i controlli funzionano davvero.

Le fasi principali del percorso certificativo sono:

• Valutazione iniziale (gap analysis): confrontare lo stato attuale dei sistemi e dei processi con i requisiti delle norme, identificando le aree di non conformità.
• Pianificazione e implementazione: definire le policy e i controlli mancanti, assegnare responsabilità e scadenze per la loro adozione.
• Formazione e sensibilizzazione: coinvolgere il personale sui requisiti specifici delle norme e sulle procedure operative aggiornate.
• Audit interno: condurre una verifica interna completa prima dell’audit di certificazione, simulando le verifiche dell’ente esterno.
• Riesame della direzione: presentare i risultati dell’audit interno al top management e approvare i piani di azione correttivi.
• Audit di certificazione: l’ente terzo accreditato verifica la conformità ai requisiti ISO 27001 e alle estensioni cloud applicabili.

Per ISO 27017, l’organizzazione deve dimostrare di aver implementato controlli specifici: clausole contrattuali con i provider cloud che definiscono ruoli e responsabilità, gestione delle chiavi crittografiche, log di sicurezza, segregazione degli ambienti virtualizzati e procedure per la gestione sicura delle identità digitali.

Un consiglio: Preparare una checklist interna che mappi ogni controllo richiesto dalla norma con l’evidenza documentale corrispondente. Questo strumento accelera l’audit interno e riduce il rischio di sorprese durante la verifica esterna.

La checklist per la certificazione ISO 27017 disponibile su Securityhub offre un punto di partenza concreto per questa fase preparatoria.

Quali sono le best practice per PMI italiane che gestiscono la sicurezza cloud?

Le PMI italiane che implementano un ISMS cloud affrontano una sfida specifica: risorse limitate a fronte di requisiti normativi complessi. La risposta non è semplificare i controlli, ma concentrarli dove il rischio è più alto e automatizzare dove possibile.

Le strategie più efficaci per questo contesto includono:

• Coinvolgimento diretto della direzione: senza un mandato esplicito del management, l’ISMS rimane un progetto IT senza peso organizzativo. La direzione deve approvare la politica di sicurezza, partecipare ai riesami periodici e allocare budget specifico.
• Monitoraggio continuo degli accessi: implementare strumenti di Identity and Access Management (IAM) con revisioni periodiche dei privilegi assegnati. Gli accessi non revocati dopo la fine di un rapporto di lavoro o di un contratto con un fornitore sono tra le vulnerabilità più frequenti nelle PMI.
• Aggiornamento regolare di policy e procedure: le policy scritte due anni fa non riflettono i servizi cloud adottati oggi. Un ciclo di revisione annuale, collegato al riesame della direzione, mantiene la documentazione allineata alla realtà operativa.
• Formazione mirata sui rischi cloud: la formazione del personale aumenta la consapevolezza sui rischi specifici del cloud e riduce gli errori operativi. Sessioni brevi e frequenti, focalizzate su scenari reali come il phishing o la gestione delle credenziali, producono risultati migliori rispetto a corsi annuali generici.
• Integrazione con i fornitori cloud: richiedere ai provider cloud la documentazione delle loro certificazioni ISO 27001 e ISO 27017 riduce il lavoro di verifica e consente di concentrarsi sui controlli di competenza del cliente.
• Documentazione agile: adottare template standardizzati per policy e procedure riduce il tempo di aggiornamento e garantisce coerenza tra i documenti. Non occorre reinventare ogni documento da zero.

Un consiglio: Per le PMI che partono da zero, la sequenza ottimale è: prima ottenere ISO 27001, poi aggiungere ISO 27017 se si erogano o si utilizzano servizi cloud in modo significativo, infine ISO 27018 se si trattano dati personali per conto di clienti. Affrontare tutte e tre le certificazioni contemporaneamente è possibile ma richiede risorse che molte PMI non hanno.

Le strategie di sicurezza ISMS per PMI e provider cloud elaborate da Securityhub offrono un riferimento aggiornato per questo percorso.

Come gestire la conformità normativa nei paesi dell’Europa Centrale?

Le organizzazioni italiane che operano in Europa Centrale devono confrontarsi con un quadro normativo che varia da paese a paese, pur condividendo la base comune del GDPR. L’ISMS cloud diventa lo strumento principale per gestire questa complessità in modo sistematico.

Il GDPR si applica uniformemente in tutta l’Unione Europea, ma la sua attuazione pratica è affidata alle autorità nazionali di protezione dei dati, che possono emettere linee guida specifiche o applicare sanzioni con approcci differenti. In Germania, il Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI) ha storicamente adottato posizioni rigorose sui trasferimenti di dati verso paesi terzi. In Austria, la Datenschutzbehörde ha emesso decisioni significative sull’uso di strumenti cloud americani. In Svizzera, pur non essendo membro UE, la revisione della legge federale sulla protezione dei dati (nLPD) entrata in vigore nel settembre 2023 ha allineato i requisiti agli standard europei.

Per gestire questa variabilità, le strategie più efficaci sono:

• Mappatura normativa per paese: identificare, per ciascun mercato in cui si opera, i requisiti specifici dell’autorità locale di protezione dei dati e le eventuali normative settoriali applicabili (sanità, finanza, infrastrutture critiche).
• Clausole contrattuali standard (SCC): per i trasferimenti di dati personali verso paesi extra-UE, adottare le Clausole Contrattuali Standard approvate dalla Commissione Europea e documentarne l’applicazione nel registro dei trattamenti.
• Localizzazione dei dati: valutare se i requisiti normativi di specifici paesi impongano la residenza dei dati all’interno del territorio nazionale o europeo, e configurare i servizi cloud di conseguenza.
• Coordinamento con il DPO: il Data Protection Officer deve monitorare le evoluzioni normative nei paesi di operatività e aggiornare le procedure dell’ISMS quando cambiano i requisiti locali.
• Audit di conformità periodici: pianificare verifiche specifiche per ciascun paese, integrate nel ciclo di audit interno dell’ISMS, per identificare tempestivamente eventuali scostamenti rispetto ai requisiti locali.

L’adozione combinata di ISO 27001, ISO 27017 e ISO 27018 fornisce una base documentale riconosciuta a livello internazionale che semplifica le verifiche di conformità in contesti multinazionali. Le autorità di controllo europee tendono a valutare positivamente la presenza di certificazioni ISO accreditate come evidenza di un approccio strutturato alla sicurezza dei dati.

Punti chiave

Implementare un ISMS cloud richiede ISO 27001 come base normativa, ISO 27017 per i controlli tecnici cloud e ISO 27018 per la protezione dei dati personali, con un ciclo di gestione del rischio continuo e documentazione strutturata.

Securityhub supporta la certificazione del tuo ISMS cloud

Securityhub affianca le aziende italiane nell’intero percorso di certificazione ISO 27001, ISO 27017 e ISO 27018, dalla gap analysis iniziale fino all’audit con l’ente accreditato. Il team di Securityhub combina competenze da security architect e CTO con una conoscenza approfondita del contesto normativo europeo, offrendo documentazione su misura, formazione del personale e supporto operativo continuo.

Per avviare il percorso di certificazione ISO 27001 o approfondire i passaggi specifici per il cloud, Securityhub mette a disposizione una guida completa e un team dedicato alle PMI italiane.

Raccomandati

• Certificazione ISO 27017
• Step by step ISO 27017: guida pratica per aziende cloud – Security Hub
• Guida passo passo ISO 27017 per aziende cloud sicure – Security Hub
• Checklist certificazione ISO 27017: guida pratica completa – Security Hub