ISO/IEC 27001

ISO/IEC 27001:2022 (terza edizione, ottobre 2022, con l'emendamento 1 del febbraio 2024 sul clima) definisce i requisiti per istituire, attuare, mantenere e migliorare continuamente un sistema di gestione della sicurezza delle informazioni basato sul rischio.

Considera persone, regole e tecnologia insieme.

Qualsiasi organizzazione, pubblica o privata, di ogni dimensione e settore. È volontaria: diventa vincolante solo se richiesta da un contratto, da un bando o da uno schema di settore.

Per chi la adotta:
- Requisiti del sistema di gestione nelle clausole 4-10: contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento
- Valutazione e trattamento dei rischi
- Dichiarazione di applicabilità (SoA) sui 93 controlli dell'Allegato A, divisi in 4 temi: organizzativi, persone, fisici, tecnologici
- 11 nuovi controlli rispetto al 2013, tra cui threat intelligence, sicurezza dei servizi cloud, mascheramento dei dati e prevenzione della fuga di dati

Non prevede sanzioni di legge: è uno standard volontario. Le conseguenze sono la perdita o la mancata concessione della certificazione.

I certificati accreditati sulla versione 2013 sono scaduti il 31 ottobre 2025 (documento IAF MD 26).

1. Fai un'analisi delle differenze tra quello che fai oggi e i requisiti della versione 2022.
2. Aggiorna la valutazione dei rischi e la dichiarazione di applicabilità sui 93 controlli.
3. Pianifica l'audit con un ente di certificazione accreditato.