Valutazione delle lacune ISO 27001: fasi e output

La valutazione delle lacune ISO 27001 confronta i controlli e i documenti attuali con le clausole della norma e con l'insieme dei controlli dell'Allegato A, e consegna un piano di correzione prioritizzato. Prepara l'azienda a un audit di certificazione, ma non è di per sé un certificato e nessuna valutazione può prometterne uno.

Cos'è una valutazione delle lacune ISO 27001?

ISO/IEC 27001 è la norma internazionale per il sistema di gestione della sicurezza delle informazioni (SGSI): un insieme documentato di politiche, processi e controlli basato sul rischio, che si mantiene e migliora invece di essere installato una volta sola. La certificazione viene rilasciata da un organismo di certificazione accreditato dopo i propri audit; la norma stessa si acquista da ISO e sono i suoi requisiti contro cui ogni valutazione misura.

Una valutazione delle lacune risponde con onestà a una domanda: quanto è distante l'organizzazione dall'adempire oggi a quei requisiti? Rivede ciò che esiste — documenti, pratica effettiva, configurazione tecnica — e registra le differenze come reperti contro le clausole della norma (le clausole da 4 a 10 contengono i requisiti del sistema di gestione) e contro l'insieme dei controlli dell'Allegato A, che nella versione 2022 contiene 93 controlli di riferimento raggruppati per tema.

Tre chiarimenti che evitano confusione dopo:

È un esercizio di preparazione, non un audit. Nessun accreditamento, nessuna decisione di certificazione, nessuna non conformità formale con la numerazione di un organismo. Ciò che produce è un piano di lavoro.

L'ambito si sceglie, non si impone. ISO 27001 non richiede di certificare l'intera organizzazione: l'ambito può essere un'unità aziendale, una sede, una linea di prodotto o un insieme di sistemi, purché il confine sia definito e giustificato. La maggior parte delle aziende delimita per prima cosa un ambito stretto — una decisione che dimezza il costo della valutazione e quello della certificazione, e che vale la pena stabilire prima che qualcuno riveda un solo documento.

È onesta sulle evidenze. Un documento che dice una cosa e una pratica che ne fa un'altra vengono registrate come stanno, perché l'auditor di certificazione troverà la stessa differenza dopo, in un momento peggiore.

Per valutare da dove partire, richiedete un preventivo.

Il processo di valutazione

I sei passaggi qui sotto descrivono una valutazione che funziona davvero. La colonna «output» è il punto della tabella: ogni passaggio deve produrre un artefatto che conservate, non un'impressione:

Tabella A: passaggio | cosa succede | output

Passaggio	Cosa succede	Output
Delimitazione dell'ambito	Concordare il confine del SGSI: quali sedi, reparti, sistemi e dati rientrano e perché; individuare le parti interessate e i loro requisiti	Dichiarazione di ambito con giustificazione, pronta per essere riusata nello Stage 1
Revisione documentale	Leggere politiche, procedure ed evidenze esistenti contro le clausole 4–10 e l'Allegato A; verificare se i documenti descrivono la realtà o l'aspirazione	Inventario documentale con uno stato per voce: esistente / parziale / assente, con le evidenze viste
Interviste	Parlare con chi fa girare i processi — IT, risorse umane, operazioni, amministrazione, direzione — e confrontare le risposte tra ruoli; le contraddizioni tra due reparti sono anch'esse reperti	Note di intervista per processo, con le differenze tra pratica e documento registrate
Controlli tecnici	Campionare la configurazione effettiva: liste degli accessi, registrazione eventi, attività di backup programmate ed evidenze di ripristino, stato delle patch, accessi fisici — campionamento, non un test di penetrazione	Esiti dei controlli per area, con campioni e date perché un esito possa essere riverificato
Classificazione	Assegnare a ogni reperto gravità e sforzo; la gravità segue il rischio per l'organizzazione e non la posizione del controllo nell'Allegato A	Registro delle lacune: clausola o controllo, stato attuale, reperto, gravità, responsabile suggerito
Relazione e roadmap	Compilare i reperti in una relazione e mettere in sequenza il lavoro: miglioramenti rapidi, elementi strutturali e i documenti che devono esistere prima dello Stage 1	Relazione di analisi delle lacune, roadmap di correzione con priorità, bozza di Dichiarazione di Applicabilità

Una nota sul metodo: la norma non prescrive come si conduca una valutazione delle lacune, quindi i fornitori differiscono. Ciò che separa una valutazione utile da una costosa è la disciplina delle evidenze — reperti legati a qualcosa che un auditor di certificazione potrebbe riverificare — e il registro che segue poi. Le domande di governance e audit sul lavoro di sicurezza sono trattate nella pagina di audit e consulenza IT, e il contesto più ampio dell'infrastruttura da proteggere sotto il SGSI nella pagina di infrastruttura digitale.

Cosa si consegna

Quattro artefatti definiscono una valutazione seria. Se una proposta non ne nomina tutti e quattro, chiedete perché:

Relazione di analisi delle lacune. Il racconto: ambito esaminato, metodo, reperti per clausola e area di controllo, e un riepilogo esecutivo che un amministratore delegato può leggere in dieci minuti. La relazione spiega le differenze; non si limita ad elencarle.

Registro delle lacune. Il database di lavoro: ogni reperto con la sua clausola o riferimento all'Allegato A, lo stato attuale, la gravità e la priorità. È il registro su cui gira il progetto dopo — converte la relazione da consiglio in una coda di lavoro con responsabili.

Roadmap di correzione. I reperti messi in sequenza in un piano: cosa deve esistere prima dello Stage 1, cosa appartiene ai primi mesi del SGSI e cosa può aspettare. La sequenza rispetta le dipendenze — non potete riesaminare gli accessi ogni trimestre finché non esistono le liste degli accessi.

Bozza di Dichiarazione di Applicabilità (SoA). Il documento che elenca ogni controllo dell'Allegato A, se è applicabile e perché, e come viene implementato. Una bozza di SoA preparata durante la valutazione è il risparmio di tempo più grande dell'intero progetto di certificazione, perché l'alternativa è scrivere 93 decisioni da pagina bianca sotto scadenza.

I deliverable arrivano in forma scritta e appartengono all'acquirente. Un fornitore che non vuole mostrare una relazione campione prima della firma vi sta dicendo qualcosa di quella relazione.

Ciò che la valutazione non è

Essere precisi qui evita discussioni dopo:

Non è un certificato. Solo un organismo di certificazione accreditato, che lavora secondo ISO/IEC 17021 e il proprio accreditamento, può certificare un SGSI. Una valutazione è un lavoro di consulenza; i suoi reperti non hanno valore presso un organismo, e nessun esito di valutazione garantisce la certificazione — un'organazione può superare la propria valutazione e fallire comunque lo Stage 2 su reperti che l'auditor sviluppa in autonomia.

Non è un audit interno. La norma richiede audit interni e una revisione direttiva come parte dell'esercizio del SGSI; sono obblighi dentro il sistema, svolti dopo, e la valutazione è il lavoro che vi porta al punto in cui possono avvenire.

Non è un test di sicurezza. Campionare la configurazione ne fa parte; un test di penetrazione o un audit tecnico completo è un incarico diverso, con ambito e profondità diversi.

Non è un parere legale. ISO 27001 e la normativa sulla protezione dei dati si sovrappongono ma sono strumenti diversi — vedere la FAQ qui sotto — e né la valutazione né la sua relazione sostituiscono il parere di un consulente legale o privacy qualificato.

Non è una promessa sulla certificazione. Qualsiasi fornitore che faccia intendere una certificazione garantita, citi un tasso di successo o suggerisca una relazione con un organismo che decide in autonomia va trattato come un segnale d'allarme, non come un punto a favore. L'indipendenza è il prodotto.

Prepararsi alla certificazione ISO 27001

Il valore reale della valutazione si vede nel progetto di certificazione che segue. Come si collegano le due fasi:

Stage 1 verifica la documentazione e l'ambito: la dichiarazione di ambito del SGSI, la valutazione e il trattamento dei rischi, le politiche, la Dichiarazione di Applicabilità, i registri degli audit interni e della revisione direttiva. La maggior parte dei reperti dello Stage 1 sono documenti mancanti o superati, che è esattamente ciò che producono la revisione documentale e la bozza di SoA della valutazione.

Stage 2 verifica l'implementazione e la pratica: se i controlli operano come documentato, campionati sull'ambito. Il lavoro di interviste e controlli tecnici della valutazione fa da prova generale — un team che ha già risposto domande sui propri riesaminamenti degli accessi e sulla gestione degli incidenti lo fa con calma durante l'audit.

Sorveglianza e ricorrenza seguono la certificazione, quindi la roadmap deve costruire un sistema in esercizio, non un insieme di documenti: riesaminamenti degli accessi che si ripetono, incidenti che vengono registrati, formazione tracciata, backup ripristinati e provati. Un SGSI costruito per superare un solo audit crolla alla prima sorveglianza.

Punti pratici di preparazione che la valutazione di solito porta fuori: chi possiede internamente ogni area di controllo, se la revisione direttiva è una riunione vera o una firma, se gli auditor interni sono indipendenti da ciò che auditano e come vengono conservati i registri tra un audit e l'altro. Per un'azienda che lo fa per la prima volta, le domande IT correlate — registrazione eventi, gestione degli accessi, disciplina dei backup — sono trattate nella pagina di infrastruttura digitale, e i doveri su fornitori e trattamento dei dati nella pagina sull'outsourcing IT.

Lacune frequenti

I reperti che ricorrono in piccole e medie aziende, in ordine approssimativo di frequenza:

Inventario degli asset. Nessun elenco aggiornato di sistemi, dispositivi e dati con i rispettivi responsabili. Quasi ogni altro controllo dipende dal sapere cosa esiste, ed è per questo che di solito è il primo elemento di roadmap.

Metodo di valutazione dei rischi. Assente oppure ereditato da un modello senza una razionale organizzativa; l'auditor di certificazione chiede come i rischi sono stati individuati e trattati, e «l'ha scritto il consulente» non è una risposta che regge.

Gestione dei fornitori. Nessun registro di quali fornitori toccano i dati aziendali, nessun requisito di sicurezza negli accordi con i fornitori, nessun ciclo di revisione. Per le aziende che lavorano con partner di sviluppo, questa lacuna si appoggia esattamente sulle domande contrattuali trattate nella pagina sull'outsourcing IT.

Riesaminamenti degli accessi. Account concessi all'ingresso e mai riesaminati; ex dipendenti trovati nella lista degli accessi; diritti di amministratore ancora in mano a chi ha lasciato il ruolo. Revisioni che esistono sulla carta ma non hanno registri sono mezzo reperto.

Gestione degli incidenti. Nessun processo definito, nessun elenco contatti, nessuna registrazione degli incidenti effettivamente avvenuti. Gli incidenti che l'azienda ha dimenticato di avere sono quelli che diventano reperti nell'audit.

Formazione sulla consapevolezza. Una diapositiva di inserimento al posto di un programma ricorrente con registri. La norma chiede se le persone sono consapevoli dei propri obblighi; un elenco di presenze datato risponde a quella domanda.

Prova dei backup. Backup configurati e mai ripristinati. Un ripristino mai tentato è un controllo non collaudato, e il controllo tecnico della valutazione di solito chiede l'evidenza di un ripristino anziché la schermata di un piano di backup.

Come scegliere il fornitore

Tre domande separano una valutazione rigorosa da una revisione costosa:

Indipendenza. Il valutatore non deve avere interessi nella decisione di certificazione — i valutatori non certificano, certificano gli organismi, e un fornitore che promette entrambe le cose sta descrivendo un conflitto, non un servizio. L'indipendenza comprende anche il fatto che il valutatore non abbia un prodotto da vendere dopo: una valutazione che raccomanda la vostra piattaforma è un documento commerciale con dei reperti allegati.

Metodo. Chiedete il metodo prima della proposta: come si concorda l'ambito, come vengono classificati i reperti, quali evidenze richiede per ogni area di controllo e quali deliverable arrivano. Un metodo scritto in anticipo è ciò che rende i reperti difendibili davanti a un auditor di certificazione dopo.

Relazione campione. Il test migliore in assoluto. Un registro delle lacune con i dati aziendali oscurati e una relazione mostrano esattamente cosa riceverete: se i reperti sono legati alle clausole con evidenze, se le gravità sono motivate e se la roadmap è una sequenza o una lista di desideri.

Due praticità extra per le aziende in Turchia: verificate se il valutatore lavora con norme e organismi di certificazione noti ai clienti del vostro mercato di riferimento, perché i requisiti dei clienti citano spesso schemi specifici; e confermate la lingua di lavoro per interviste e documenti, perché i reperti devono essere utilizzabili dai team che li correggeranno. La checklist RFP per fornitori offre il metodo generale per pesare un acquisto del genere, e la pagina di audit e consulenza IT copre il contesto consulenziale più ampio.

Domande frequenti

Quanto dura una valutazione delle lacune?

Dipende dall'ambito, e chi cita una durata prima della delimitazione sta indovinando. I fattori sono la dimensione dell'ambito — numero di sedi, sistemi e processi nel confine — lo stato della documentazione e quante persone vanno intervistate. Un ambito di un solo reparto con politiche già esistenti è un incarico diverso da un ambito multi-sede che parte da zero; la risposta onesta arriva dopo la conversazione di delimitazione, per iscritto.

Ci serve ISO 27001 per vendere?

Di solito è un requisito del cliente più che legale: gare, grandi conti e acquirenti regolamentati chiedono sempre più spesso la certificazione, in particolare in software e servizi. La risposta pratica è controllare la vostra pipeline commerciale — se due potenziali clienti seri l'hanno chiesta, il caso economico esiste; se nessuno l'ha chiesta, il caso si regge sulla riduzione del rischio anziché sui ricavi. La norma non richiede di certificare l'intera organizzazione, quindi una certificazione con ambito delimitato può servire prima la parte clienti dell'attività.

Cos'è la Dichiarazione di Applicabilità?

Il documento che elenca ogni controllo dell'Allegato A, dichiara se è applicabile al vostro ambito e perché, e descrive come viene implementato. È richiesto dalla norma e riesaminato dall'organismo di certificazione; è anche l'artefatto più efficiente da preparare presto, perché costringe le decisioni sui controlli per iscritto una volta sola, invece che sotto la pressione dell'audit. Una bozza di SoA è uno dei quattro deliverable di valutazione elencati sopra.

Come vengono classificate le lacune?

Per gravità e priorità, con la gravità legata al rischio per l'organizzazione e non alla posizione del controllo nella norma. Una classificazione utilizzabile si spiega da sola: cosa potrebbe succedere se la lacuna resta, chi o cosa resta esposto e cosa serve per chiuderla. Classificazioni che si limitano a ordinare gli elementi in «alta, media, bassa» senza motivazioni producono discussioni dopo; classificazioni con una motivazione scritta producono una roadmap che le persone seguono.

Una valutazione delle lacune può sostituire un audit?

No. L'audit interno e la revisione direttiva sono obblighi dentro il SGSI, e l'audit di certificazione spetta a un organismo accreditato. Una valutazione delle lacune precede entrambi e aiuta entrambi, ma non ha alcun valore di audit — quella è la riga «non è un certificato» qui sopra, e qualunque fornitore la oscuri va invitato a chiarirlo per iscritto.

In parte si sovrappongono, ma non sono la stessa cosa. ISO 27001 è una norma di sistema di gestione per la sicurezza delle informazioni e tocca la protezione dei dati solo laddove i controlli di sicurezza proteggono i dati personali; KVKK e GDPR fissano doveri legali — base legale, diritti dell'interessato, notifica delle violazioni, regole sui trasferimenti — che un SGSI può supportare ma non soddisfa da solo. Molte aziende gestiscono entrambi i programmi con artefatti condivisi, e le domande legali restano a un consulente qualificato; i doveri KVKK/GDPR su fornitori e hosting sono trattati nella pagina sull'outsourcing IT.

Fonti e norme

La norma stessa è ISO/IEC 27001, pubblicata da ISO (https://www.iso.org); i requisiti valutati sono le clausole 4–10 e l'insieme dei controlli dell'Allegato A, che nella versione 2022 contiene 93 controlli di riferimento. La certificazione è eseguita da organismi accreditati che lavorano secondo ISO/IEC 17021; questa pagina non rivendica alcun tipo di certificazione.
Le affermazioni su processo, deliverable e lacune ricorrenti seguono la pratica professionale delle valutazioni delle lacune in generale (delimitazione, revisione documentale, interviste, campionamento tecnico, registro delle lacune classificato per gravità, roadmap di correzione, bozza di Dichiarazione di Applicabilità); in questa pagina non compaiono durate, costi o tassi di successo.
Le affermazioni sul processo di certificazione (audit documentale Stage 1, audit di implementazione Stage 2, sorveglianza) seguono il quadro di certificazione pubblicato dalla norma; confermate le regole attuali con l'organismo che scegliete.
In questa pagina non compare alcuna rivendicazione secondo cui WorldwideTradeX è certificata o accreditata ISO 27001, né alcuna garanzia di certificazione; i doveri di protezione dei dati sono elencati, non interpretati — confermate il regime applicabile con un consulente qualificato.

Pagine correlate

Audit e consulenza IT · Infrastruttura digitale · Outsourcing IT dalla Turchia · Checklist RFP per fornitori · Richiedi un preventivo