ISO 27000 per responsabili IT: guida operativa completa
La famiglia ISO 27000 è l’insieme di standard internazionali che definisce il vocabolario, i requisiti e le linee guida per progettare e gestire un Sistema di gestione per la sicurezza delle informazioni (SGSI). La norma ISO 27000 in senso stretto, pubblicata in Italia come UNI CEI EN ISO 27000:2020, fornisce panoramica e terminologia condivisa: non è certificabile. La certificazione si ottiene esclusivamente con ISO 27001. Questo è il punto che molti responsabili IT fraintendono: cercare una «certificazione ISO 27000» è un errore pratico ricorrente, perché gli auditor usano quella norma come riferimento interpretativo, non come schema di certificazione.
Tre punti da tenere a mente fin dall’inizio:
- ISO 27000 fornisce termini e definizioni validi per tutta la famiglia; è il punto di partenza per redigere policy coerenti e superare un audit senza ambiguità linguistiche.
- ISO 27001 definisce i requisiti del SGSI ed è l’unica norma della famiglia per cui esiste un certificato di conformità riconosciuto da clienti e autorità.
- GDPR e NIS2 si appoggiano alla struttura del SGSI di ISO 27001: adottare la famiglia ISO 27000 è oggi un requisito strategico per la conformità normativa in Europa centrale.
Un consiglio: Prima di avviare qualsiasi progetto SGSI, scaricate e leggete ISO 27000 integralmente. Investire due ore su quel documento vi risparmierà settimane di revisioni documentali durante l’audit.
Indice
- Quali norme compongono la famiglia ISO 27000?
- Perché ISO 27000 definisce i termini: i concetti chiave da conoscere
- Qual è la differenza pratica tra ISO 27000 e ISO 27001?
- Come si usa ISO 27000 in un progetto SGSI?
- Perché la famiglia ISO 27000 è strategica per le aziende in Europa centrale?
- Dove si acquista la versione ufficiale di ISO 27000 in Italia?
- Punti chiave
- Il punto di vista dell’esperto sulla famiglia ISO 27000
- Fonti ufficiali e letture consigliate
Quali norme compongono la famiglia ISO 27000?
La famiglia ISO 27000 copre scenari che vanno dalla gestione del rischio alla protezione dei dati nel cloud. Ogni norma ha un ruolo preciso e si integra con le altre durante il ciclo di vita del SGSI.
| Norma | Versione | Ruolo pratico | Certificabile |
|---|---|---|---|
| ISO 27000 | 2018 (int.) / 2020 (UNI) | Panoramica e vocabolario per l’intera famiglia | No |
| ISO 27001 | 2022 | Requisiti del SGSI; base per la certificazione | Sì |
| ISO 27002 | 2022 | Guida ai 93 controlli di sicurezza (Appendice A di ISO 27001) | No |
| ISO 27005 | 2022 | Gestione del rischio per la sicurezza delle informazioni | No |
| — | 2020 | Linee guida per l’audit di un SGSI | No |
| ISO 27017 | — | Controlli di sicurezza per servizi cloud | No (ma supporta certificazione) |
| ISO 27018 | — | Protezione dei dati personali nel cloud pubblico | No (ma supporta certificazione) |
| ISO 27701 | — | Estensione privacy del SGSI (PIMS); allineamento GDPR | No |
Nella pratica, ISO 27001 e ISO 27002 lavorano in coppia: la prima definisce cosa fare, la seconda spiega come farlo per ciascun controllo. ISO 27017 e ISO 27018 aggiungono requisiti specifici per il cloud; chi gestisce infrastrutture ibride o SaaS troverà in queste due norme il riferimento tecnico più diretto. Per approfondire l’applicazione dei controlli cloud, la guida ISO 27017 di Securityhub offre un percorso operativo strutturato.
Perché ISO 27000 definisce i termini: i concetti chiave da conoscere
ISO 27000 risolve un problema concreto: senza un vocabolario condiviso, team interni, fornitori e auditor attribuiscono significati diversi agli stessi termini, generando ambiguità nei contratti e nelle evidenze di audit. Edward Humphreys, convenor del gruppo di lavoro che ha sviluppato la norma, ha sottolineato proprio questa funzione: creare un linguaggio professionale comune per la sicurezza delle informazioni.
I termini che compaiono più spesso nella documentazione di un SGSI e che richiedono la definizione precisa di ISO 27000:
- Asset informativo: qualsiasi dato, sistema o processo che ha valore per l’organizzazione e deve essere protetto.
- Rischio residuo: il rischio che rimane dopo l’applicazione dei controlli; deve essere accettato formalmente dalla direzione.
- Trattamento del rischio: l’insieme delle opzioni per modificare un rischio (riduzione, trasferimento, accettazione, eliminazione).
- Controllo: misura che modifica un rischio; può essere tecnica, organizzativa o procedurale.
- Dichiarazione di applicabilità (SoA): documento che elenca i controlli selezionati, quelli esclusi e la motivazione; è uno dei documenti chiave richiesti da ISO 27001.
- Parti interessate: soggetti interni ed esterni con interessi legittimi nel SGSI (clienti, autorità, fornitori).
- Incidente di sicurezza: evento che compromette riservatezza, integrità o disponibilità delle informazioni.
La consultazione di ISO 27000 è indispensabile per redigere documentazione interna coerente e per evitare contestazioni durante audit e gare d’appalto.
Un consiglio: Usate il vocabolario di ISO 27000 come checklist terminologica prima di finalizzare policy, SoA e clausole contrattuali con fornitori. Un termine usato in modo difforme dalla definizione ufficiale può invalidare un’evidenza durante l’audit.
Qual è la differenza pratica tra ISO 27000 e ISO 27001?
La distinzione è netta: ISO 27000 è uno strumento di riferimento, ISO 27001 è uno schema di certificazione. ISO 27001 definisce i requisiti certificabili per un SGSI; le organizzazioni la usano per dimostrare conformità a clienti e autorità regolatorie.
| Dimensione | ISO 27000 | ISO 27001 |
|---|---|---|
| Scopo | Vocabolario e panoramica | Requisiti del SGSI |
| Certificabilità | No | Sì |
| Struttura | Definizioni e introduzione alla famiglia | Clausole 4–9 + Appendice A |
| Uso in audit | Riferimento interpretativo | Schema di valutazione |
| Documento chiave prodotto | Nessuno | SoA, politica SGSI, registro rischi |
ISO 27002 entra in gioco come guida operativa ai 93 controlli elencati nell’Appendice A di ISO 27001 (aggiornati nella versione 2022). L’auditor non certifica ISO 27002, ma verifica che i controlli selezionati nella SoA siano implementati in modo coerente con le sue indicazioni. Per una mappa completa dei controlli aggiornati, l’elenco misure di sicurezza ISO 27001:2022 di Securityhub è un riferimento pratico.
Prima di un audit di certificazione, il responsabile IT deve verificare la disponibilità di questi documenti minimi:
- Politica per la sicurezza delle informazioni approvata dalla direzione
- Registro degli asset informativi
- Valutazione e piano di trattamento del rischio
- Dichiarazione di applicabilità (SoA) con motivazioni per inclusioni ed esclusioni
- Procedure per la gestione degli incidenti e la business continuity
- Evidenze di audit interno e riesame della direzione
Come si usa ISO 27000 in un progetto SGSI?
La famiglia ISO 27000 supporta la gestione della sicurezza come programma continuo, non come progetto una tantum. Il ciclo operativo segue questi passaggi:
- Definire contesto e asset: — identificare le parti interessate, i confini del SGSI e l’inventario degli asset informativi. ISO 27000 fornisce le definizioni operative per questa fase.
La timeline tipica per un’azienda che parte da zero prevede una fase di analisi e progettazione (2–3 mesi), un’implementazione dei controlli (3–6 mesi) e un audit di certificazione preceduto da un audit interno. Dopo la certificazione, gli audit di sorveglianza annuali e il riesame triennale mantengono il SGSI aggiornato.
Un consiglio: Integrate il vocabolario di ISO 27000 nelle policy fin dalla prima bozza. Quando il board chiede spiegazioni su un incidente o su una scelta di controllo, usare i termini ufficiali accelera la comprensione e dimostra maturità del programma di sicurezza.
Per una roadmap dettagliata, la guida all’implementazione ISO 27001 di Securityhub copre ogni fase con esempi pratici.
Perché la famiglia ISO 27000 è strategica per le aziende in Europa centrale?
GDPR e NIS2 non citano esplicitamente ISO 27001, ma i loro requisiti tecnici e organizzativi trovano corrispondenza diretta nei controlli di un SGSI ben strutturato e consolidato. Per i responsabili IT in Europa centrale, questa mappatura ha implicazioni concrete:
- Gestione degli accessi (ISO 27001, controllo A.5.15–A.5.18): — corrisponde all’obbligo GDPR di limitare l’accesso ai dati personali al personale autorizzato e al requisito NIS2 di controllo degli accessi per i soggetti essenziali.
Gli analisti evidenziano che la conoscenza pratica della famiglia ISO 27000 è un requisito strategico per la conformità a NIS2 e per rispondere alle richieste contrattuali in Europa. Le autorità nazionali di supervisione NIS2 nei paesi dell’Europa centrale stanno allineando le proprie aspettative di audit alla struttura del SGSI di ISO 27001.
Un consiglio: Per dimostrare conformità a NIS2 e GDPR durante un controllo regolatorio, preparate una matrice di mappatura che colleghi ogni requisito normativo al controllo ISO 27001 corrispondente e all’evidenza disponibile. Questo documento accelera significativamente la fase istruttoria con l’autorità.
Dove si acquista la versione ufficiale di ISO 27000 in Italia?
Le copie ufficiali delle norme si acquistano esclusivamente dagli enti di normazione autorizzati. Affidarsi a riassunti o post di blog per redigere documentazione di SGSI è un rischio concreto: le definizioni parziali o imprecise generano non conformità durante l’audit.
- ISO: pubblica e vende le versioni internazionali in inglese e francese. Il sito iso.org è il riferimento per le versioni aggiornate e per monitorare le revisioni in corso.
- UNI: pubblica la versione nazionale UNI CEI EN ISO 27000:2020, disponibile in italiano nello store UNI. È la versione da adottare per la documentazione in lingua italiana e per gli audit condotti in Italia.
- UNINFO e il Comitato nazionale SC27: la partecipazione italiana allo sviluppo delle norme avviene tramite UNINFO; le aziende possono aderire per monitorare e influenzare le revisioni future, anticipando i cambiamenti che impattano NIS2 e requisiti contrattuali europei.
La versione UNI include eventuali addenda nazionali e la traduzione ufficiale dei termini: è preferibile alla versione internazionale per la redazione di policy e contratti in italiano.
Punti chiave
La famiglia ISO 27000 è lo strumento operativo che trasforma la sicurezza delle informazioni da obbligo normativo a vantaggio competitivo: ISO 27000 fornisce il vocabolario, ISO 27001 i requisiti certificabili, e insieme supportano GDPR e NIS2 in modo strutturato.
| Punto | Dettagli |
|---|---|
| ISO 27000 non è certificabile | Solo ISO 27001 rilascia un certificato riconosciuto; ISO 27000 è un riferimento terminologico. |
| Vocabolario come strumento di audit | Usare le definizioni ufficiali nelle policy riduce le non conformità documentali durante l’audit. |
| 93 controlli aggiornati | ISO 27002:2022 dettaglia 93 controlli; la SoA deve motivare inclusioni ed esclusioni per ciascuno. |
| Mappatura GDPR e NIS2 | I controlli ISO 27001 coprono gestione accessi, incidenti e continuità operativa richiesti da entrambe le normative. |
| Acquisto dalla fonte ufficiale | La versione UNI CEI EN ISO 27000:2020 è quella da usare per documentazione e audit in Italia. |
Il punto di vista dell’esperto sulla famiglia ISO 27000
La famiglia ISO 27000 viene spesso trattata come un adempimento burocratico. È un errore di prospettiva che costa tempo e denaro.
Il problema più frequente che si osserva nelle aziende non è la mancanza di controlli tecnici: è la frammentazione documentale. Policy scritte senza consultare ISO 27000, SoA compilate copiando modelli generici, procedure che usano «rischio» e «minaccia» come sinonimi. Quando arriva l’auditor, queste incoerenze emergono come non conformità che ritardano la certificazione di mesi.
La priorità operativa corretta è questa: prima il vocabolario, poi i controlli. Leggere ISO 27000 prima di scrivere qualsiasi documento del SGSI non è un lusso accademico. È il modo più efficiente per evitare revisioni costose. I controlli critici da implementare per primi, indipendentemente dal settore, sono gestione degli accessi, gestione degli incidenti e inventario degli asset: coprono la maggior parte dei requisiti NIS2 e GDPR e sono i primi che un auditor verifica.
Un secondo errore ricorrente è non aggiornare la SoA dopo cambiamenti organizzativi o tecnologici. La SoA è un documento vivo: ogni nuovo servizio cloud, ogni acquisizione, ogni cambio di fornitore critico richiede una revisione. Le aziende che trattano la SoA come un documento statico post-certificazione si trovano impreparate agli audit di sorveglianza.
Securityhub supporta le aziende italiane nel tradurre i requisiti della famiglia ISO 27000 in evidenze auditabili: dalla redazione della SoA alla preparazione degli audit interni, fino alla certificazione ISO 27001 completa. Chi vuole capire da dove partire può consultare la guida ai passaggi per ISO 27001.
Fonti ufficiali e letture consigliate
- ISO — Famiglia ISO 27000: panoramica ufficiale: punto di partenza per comprendere la struttura della famiglia e accedere alle versioni internazionali. Da consultare per monitorare revisioni in corso.
- ISO 27000:2018 — testo ufficiale internazionale: versione in inglese e francese acquistabile direttamente da ISO; utile per chi lavora in contesti internazionali o multilingue.
- UNI CEI EN ISO 27000:2020 — versione nazionale italiana: la versione da adottare per documentazione e audit in Italia; include la traduzione ufficiale dei termini.
- PuntoSicuro — terminologia comune per la sicurezza delle informazioni: approfondimento sul ruolo del vocabolario ISO 27000 e sul contributo del convenor Edward Humphreys.
- Amblav — aggiornamento ISO 27000 e terminologia: analisi pratica dell’importanza della coerenza terminologica per audit e contratti.
- Wikipedia IT — serie ISO 27000: panoramica della famiglia con riferimenti a UNINFO e al Comitato nazionale SC27; utile per orientarsi nella struttura complessiva.
Per chi vuole approfondire l’implementazione cloud, ISO 27017 e ISO 27018 sono i documenti da leggere dopo ISO 27001 e ISO 27002. Per la privacy, ISO 27701 è l’estensione che collega il SGSI alle obbligazioni GDPR in modo strutturato. Integrare queste letture nella pianificazione annuale del programma di sicurezza garantisce che il SGSI rimanga aggiornato rispetto all’evoluzione normativa europea.
Raccomandati
