Sicurezza delle informazioni

ISO/IEC 27001: requisiti del SGSI, 93 controlli dell'Annex A e ciclo di certificazione triennale

Dichiarazione di applicabilità, audit interni, riesame della direzione e audit di sorveglianza annuali: cosa chiede la norma e quali evidenze servono.

ParliamoneValutazione di partenza

ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni (SGSI). La certificazione è rilasciata da un organismo accreditato e si mantiene con audit di sorveglianza annuali e un rinnovo ogni tre anni. Le evidenze vanno quindi prodotte e conservate per tutto il ciclo, non solo per l'audit iniziale.

A chi si applica

  • Qualsiasi organizzazione, di ogni dimensione e settore, su base volontaria.
  • Spesso richiesta da clienti, bandi e contratti, in particolare per fornitori di servizi IT e cloud.
  • Riferimento utile per strutturare le misure NIS2 e DORA.

Cosa chiede

  1. 01

    Contesto e perimetro

    Definizione del campo di applicazione, delle parti interessate e degli obiettivi di sicurezza.

  2. 02

    Valutazione e trattamento del rischio

    Metodo documentato, piano di trattamento e dichiarazione di applicabilità.

  3. 03

    Controlli dell'Annex A

    93 controlli in quattro temi: organizzativi, persone, fisici e tecnologici.

  4. 04

    Leadership e risorse

    Impegno della direzione, ruoli, competenze, consapevolezza e comunicazione.

  5. 05

    Valutazione delle prestazioni

    Monitoraggio, audit interni e riesame della direzione a intervalli pianificati.

  6. 06

    Miglioramento

    Gestione delle non conformità, azioni correttive e miglioramento continuo.

EVIDEVO

Come EVIDEVO gestisce controlli ed evidenze per ISO/IEC 27001

Annex A collegato a NIS2 e DORA

In Controlli e conformità i 93 controlli dell'Annex A sono collegati ai requisiti NIS2 e DORA che usano le stesse evidenze.

Dichiarazione di applicabilità dai dati dei controlli

Applicabilità, motivazione e stato di ogni controllo sono registrati sul controllo stesso; la dichiarazione si esporta da questi dati.

Audit interni e riesami

In Audit e verifiche rilievi, azioni correttive e scadenze sono collegati ai controlli, con lo storico delle decisioni.

Evidenze datate per periodo

Le evidenze sono datate e raccolte durante l'anno; per l'audit di sorveglianza si estraggono per controllo e per periodo.

Dati puramente a scopo illustrativo e non reali

Cosa si esporta

  • Dichiarazione di applicabilità
  • Evidenze per controllo e per periodo
  • Registro delle non conformità e delle azioni correttive

Le funzionalità per ISO/IEC 27001

Come si stabilisce se ISO/IEC 27001 si applica

Settore, dimensione e servizi decidono il perimetro. La valutazione di partenza lo individua e indica le priorità.

Valutazione di partenza

Guide su ISO/IEC 27001

Framework che condividono le evidenze

Sintesi a scopo informativo, aggiornata a ottobre 2026. Non costituisce consulenza legale: applicabilità e obblighi vanno verificati sul testo ufficiale e sul caso specifico.

Una presentazione di trenta minuti sul perimetro dell'organizzazione.

Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.

Parliamone