ISO/IEC 27001

Lo standard ISO/IEC 27001 (Tecnologia delle informazioni - Tecniche di sicurezza - Sistemi di gestione della sicurezza delle informazioni - Requisiti) è una norma internazionale che contiene i requisiti per impostare e gestire un sistema di gestione della sicurezza delle informazioni (SGSI o ISMS, dall'inglese Information Security Management System).

La ISO 27001 non è (unicamente) uno standard di sicurezza informatica in quanto, oltre alla sicurezza logica, include la sicurezza fisica/ambientale e la sicurezza organizzativa.

Storia

La norma è stata redatta e pubblicata nell'ottobre 2005 (la versione italiana UNI è del 2006) a fini certificativi, in modo da costituire un sistema completo per garantire la gestione della sicurezza nella tecnologia dell'informazione.

Con la sua pubblicazione ha sostituito la norma inglese BS 7799:2 (che conteneva la linea guida e lo standard vero e proprio), che fino ad allora rappresentava la principale norma di riferimento per l'applicazione di un sistema di gestione per la sicurezza delle informazioni (SGSI). Il nuovo standard ha assorbito entrambe le parti: la linea guida è stata recepita dall'ISO come ISO 17799 (Information Technology - Security Techniques - Code of practice for information security management), mentre la seconda parte, lo standard vero e proprio, è stato emesso nell'ottobre 2005 come ISO 27001.

Nel 2007 anche il documento ISO 17799 è stato ritirato e sostituito dalla norma ISO 27002, meglio coordinata con la ISO 27001 e parte della serie 27000 che comprende oggi svariati altri documenti correlati al tema della sicurezza delle informazioni.

Nel 2022 è stata pubblicata la ISO/IEC 27001: 2022 (pubblicata il 25 ottobre 2022), recepita in Europa come EN ISO/IEC 27001:2023 (pubblicata il 26 luglio 2023).

Cronologia e Versioni

Anno	Descrizione	emissioni commissioni EN	recepimento e adozione UNI
2005	ISO/IEC 27001 (1ª Edizione)
2013	ISO/IEC 27001:2013 (2ª Edizione)
2014	ISO/IEC 27001:2013/Cor 1:2014 (2ª Edizione)	EN ISO/IEC 27001:2017	UNI CEI EN ISO/IEC 27001:2017
2022	ISO/IEC 27001:2022 (3ª Edizione)	EN ISO/IEC 27001:2023	UNI CEI EN ISO/IEC 27001:2024
2024	ISO/IEC 27001:2022 (3ª Edizione ADM:1 -Climate Change)	EN ISO/IEC 27001:2023/A1:2024	UNI CEI EN ISO/IEC 27001:2024+A1:2024

Versione 2017

in Italia fu pubblicata una versione della norma UNI CEI EN ISO/IEC 27001:2017 (pubblicata il 30 marzo 2017), che non era altro che la versione 2013 con due corrigenda (emessi dall'ISO nel 2014 e 2015):

1. requisito A.8.1.1: l'inventario, la classificazione e trattamento degli "asset" riguardava anche le “informazioni” cui gli asset sono associati.
2. requisito 6.1.3: la Dichiarazione di Applicabilità doveva specificare se erano implementati o meno i “controlli necessari”, e non solo i controlli riferiti all'Annex A.

Non essendo stati introdotti nuovi requisiti, la norma ISO era in versione edizione 2013, per cui l’unico impatto sui certificati emessi era sul riferimento normativo nazionale in essi riportato.

Versione 2022

In Italia l'edizione 2022 è stata recepita come UNI CEI EN ISO/IEC 27001:2024 (pubblicata il 20 febbraio 2024, in vigore dal 25 gennaio 2024). Le novità, come per qualsiasi altro recepimento continentale o nazionale della ed. 2022, riguardano i controlli dell'Annex A per cui è stato fatto un lavoro di accorpamento di controlli contigui con relativa eliminazione di ridondanze e, soprattutto, introduzione di nuovi. La terminologia è stata chiaramente aggiornata. Nessuna novità sostanziale delle clausole della norma da cap. 4 a cap. 10. Tutti I CAB dovevano completare la transizione entro novembre 2023 .Tutti i sistemi delle organizzazioni certificate da OdC accreditati devono completare la transizione entro il 31 ottobre 2025.

Caratteristiche

La norma ISO 27002 è una raccolta di "best practices" che possono essere adottate per soddisfare i requisiti della norma ISO 27001 al fine di proteggere le risorse informative; ISO 27001 è il documento normativo di certificazione al quale l'organizzazione deve fare riferimento per costruire un Sistema di Gestione della Sicurezza delle Informazioni che possa essere certificato da un ente indipendente, mentre la norma ISO 27002 non è certificabile in quanto è una semplice raccolta di raccomandazioni.

Dal momento che l'informazione è un bene che aggiunge valore all'organizzazione, e che ormai la maggior parte delle informazioni sono custodite su supporti informatici, ogni organizzazione deve essere in grado di garantire la sicurezza dei propri dati, in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento. L'obiettivo dello standard ISO 27001 è proprio quello di proteggere i dati e le informazioni da minacce di ogni tipo, al fine di assicurarne l'integrità, la riservatezza e la disponibilità, e fornire i requisiti per adottare un adeguato sistema di gestione della sicurezza delle informazioni (SGSI) finalizzato ad una corretta gestione dei dati sensibili dell'azienda.

La norma è applicabile a imprese operanti nella gran parte dei settori commerciali e industriali, come finanza e assicurazioni, telecomunicazioni, servizi, trasporti, settori governativi.

L'impostazione dello standard ISO/IEC 27001 è coerente con quella del Sistema di Gestione per la Qualità ISO 9001 ed il Risk management, basandosi sull'approccio per processi, strutturato in politica per la sicurezza, identificazione, analisi dei rischi, valutazione e trattamento dei rischi, riesame e rivalutazione dei rischi, modello PDCA, utilizzo di procedure e di strumenti come audit interni, non conformità, azioni correttive e preventive, sorveglianza, nell'ottica del miglioramento continuo.

La norma Standard ISO 27001 stabilisce i requisiti per il Sistema di Gestione della Sicurezza delle Informazioni (ISMS). L'obiettivo principale è quello di stabilire un sistema per la gestione del rischio, la protezione delle informazioni e degli asset aziendali, ivi inclusi gli asset IT. La norma è applicabile a tutte le imprese o aziende pubbliche, in quanto prescinde da uno specifico settore di business o dall'organizzazione dell'azienda o finalità dell'ente pubblico. Però bisogna tener presente che l'adozione e gestione di un ISMS richiede un impegno di risorse significativo e quindi deve essere seguito da un ufficio specifico, il quale in genere coincide con l'ufficio Organizzazione e Qualità.

“Essa specifica i requisiti per impostare, mettere in opera, utilizzare, monitorare, rivedere, manutenere e migliorare un sistema documentato all'interno di un contesto di rischi legati alle attività centrali dell'organizzazione. Dettaglia inoltre i requisiti per i controlli di sicurezza personalizzati in base alle necessità di una singola organizzazione o di una sua parte. Il sistema è progettato per garantire la selezione di controlli di sicurezza adeguati e proporzionati.”

Lo standard ISO 27001 che come già detto presenta molti punti in comune con la ISO 9001, che definisce i requisiti di un sistema di gestione della qualità (es. adozione modello PDCA, filosofia del miglioramento continuo, ecc.), si differenzia in quanto segue un approccio basato sulla gestione del rischio. Quindi lo standard prevede:

• Pianificazione e Progettazione;
• Implementazione (processi operativi);
• Monitoraggio;
• Miglioramento.

similmente a quanto previsto dai sistemi per la gestione della qualità.

Nella fase di progettazione richiede però lo svolgimento di un risk assessment, schematizzabile in:

• Identificazione dei rischi;
• Analisi e valutazione;
• Selezione degli obiettivi di controllo e attività di controllo per la gestione dei rischi;
• Assunzione del rischio residuo da parte del management;
• Definizione dello Statement of Applicability.

L'ultimo punto specifica gli obiettivi di controllo adottati e i controlli implementati dall'organizzazione rispetto ad una lista di obiettivi di controllo previsti dalla norma. Analogamente alla norma sui sistemi di qualità, il sistema deve essere documentato, ma in aggiunta è richiesta ampia documentazione riguardo sia l'analisi del rischio sia le procedure e i controlli a supporto dell'ISMS. Come per il sistema qualità, l'organizzazione ISMS può essere certificata da enti di certificazione, che operano tramite valutatori qualificati, esaminando periodicamente lo stato delle condizioni di conformità. Tra le condizioni di conformità la norma prevede la pianificazione e realizzazione di attività di autocontrollo gestite dall'impresa, con personale proprio o esterno, purché in entrambi i casi dotato delle necessarie competenze.

Controlli

Di fondamentale importanza è l'Annex A "Control objectives and controls" che contiene i 133 "controlli" a cui l'organizzazione che intende applicare la norma deve attenersi. Il termine controllo va inteso come modalità di gestione di uno specifico argomento: non entra nel merito del "come" ma inquadra il "cosa". Qui "controllo" non sta per "verifica" o simili, equivale a "tenere sotto controllo" (governare). Contromisura è probabilmente la parola migliore che rende il concetto di controllo della ISO 27001.

Da notare che la clausola 6.1.2 permette di individuare anche altri controlli sia di emanazione dell'organizzazione che derivanti da altre fonti (ad esempio altri framework di sicurezza). Astrattamente, di converso, si potrebbero escludere tutti i controlli dell'annex A della norma.

Essi vanno dalla politica e l'organizzazione per la sicurezza alla gestione dei beni e alla sicurezza delle risorse umane, dalla sicurezza fisica e ambientale alla gestione delle comunicazioni e dell'operativo, dal controllo degli accessi fisici e logici alla gestione di un monitoraggio e trattamento degli incidenti (relativi alla sicurezza delle informazioni).

La gestione della continuità operativa relativa alla sicurezza e il rispetto normativo, completano l'elenco degli obiettivi di controllo.

L'organizzazione deve motivare quali di questi controlli non sono applicabili all'interno del suo ISMS, per esempio un'organizzazione che non attua al suo interno 'commercio elettronico' può dichiarare non applicabili i controlli 1-2-3 del A.10.9 che si riferiscono appunto all'e-commerce.

Tecnicamente, essendo i controlli appartenenti ad un'appendice, essi non fanno parte delle clausole della norma: sono mandatori ma in forma subordinata.

Privacy

La conformità alla ISO 27001, pur certificata da un organismo di certificazione, magari accreditato, non solleva l'organizzazione dal rispetto delle misure minime di sicurezza e dalla produzione della documentazione richiesta dalla legge sulla privacy; il controllo A.18.1.4 richiede infatti che "La protezione dei dati e della privacy deve essere garantita come richiesto nella legislazione, nelle norme e, se applicabile, nelle clausole contrattuali".

La differenza sostanziale tra legge sulla privacy e la norma ISO 27001 è che la legge sulla privacy tutela dati personali, sensibili e non, mentre la ISO 27001 pur richiedendo che ciò sia fatto, s'interessa anche dei dati di business dell'organizzazione che devono essere salvaguardati per l'interesse stesso dell'organizzazione.

Il soddisfacimento dei requisiti di legge non è condizione sufficiente al test della ISO 27001. Per esempio un impianto antincendio posto a salvaguardia di un ambiente in cui sono installati dei server o dei client, che contengono informazioni incluse nel dominio di certificazione che soddisfi i requisiti di legge, non soddisfa automaticamente le esigenze che esprime la norma ISO 27001, che si preoccupa anche della 'correttezza' dei 'dati' contenuti nei server e nei client. Senza dimenticare che tutte le informazioni di business o dei processi interni, prive di dati personali, sono know how e rientrano nel perimetro del SGSI.

Voci correlate

• ISO/IEC 27000-series
• Sicurezza informatica
• Standard di sicurezza informatica
• ISO
• Lista di standard ISO
• Standardizzazione (ingegneria)
• Ente Nazionale Italiano di Unificazione
• Comitato Europeo di Normazione (CEN)

Collegamenti esterni

• Sito istituzionale dell'ISO, su iso.org.
• (EN) ISO 27001 Indice, su 27000.org.
• Database aziende certificate in Italia, su accredia.it. URL consultato il 14 aprile 2011 (archiviato dall'url originale il 5 marzo 2016).