Cos'è un SGSI e come si implementa con la ISO 27001?
Un SGSI (sistema di gestione della sicurezza delle informazioni) è l'insieme di politiche, processi, responsabilità e controlli con cui un'organizzazione decide, documenta e riesamina il modo in cui protegge le proprie informazioni. La ISO/IEC 27001:2022 definisce i requisiti di un SGSI nei punti da 4 a 10 e offre nell'Allegato A un elenco di 93 controlli di riferimento; un'organizzazione può certificarsi se un organismo di certificazione verifica che il suo SGSI soddisfa tali requisiti.
A cosa serve un SGSI?
Un SGSI organizza la sicurezza delle informazioni come un sistema di gestione: si fissano obiettivi, si valutano i rischi, si applicano controlli e si misura se funzionano. Così la sicurezza non dipende più da iniziative isolate, ma diventa ripetibile, misurabile e dimostrabile a clienti, auditor e autorità.
La struttura della ISO/IEC 27001:2022
| Punto | Tema | Cosa si affronta |
|---|---|---|
| 4 | Contesto | Fattori interni ed esterni, parti interessate e campo di applicazione del SGSI |
| 5 | Leadership | Impegno della direzione, politica e ruoli |
| 6 | Pianificazione | Valutazione e trattamento dei rischi, Dichiarazione di Applicabilità e obiettivi |
| 7 | Supporto | Risorse, competenza, consapevolezza, comunicazione e informazioni documentate |
| 8 | Attività operative | Attuazione dei controlli e valutazioni periodiche del rischio |
| 9 | Valutazione delle prestazioni | Monitoraggio e misurazione, audit interno e riesame di direzione |
| 10 | Miglioramento | Non conformità, azioni correttive e miglioramento continuo |
I 93 controlli dell'Allegato A
La versione 2022 raggruppa i controlli in quattro temi: 37 organizzativi, 8 relativi alle persone, 14 fisici e 34 tecnologici. Non tutti si applicano a ogni organizzazione: la Dichiarazione di Applicabilità (SoA) indica quali si applicano, perché e a che punto è la loro attuazione.
Quali documenti servono per un SGSI?
- Campo di applicazione del SGSI e politica per la sicurezza delle informazioni.
- Metodo e risultati della valutazione del rischio, e piano di trattamento.
- Dichiarazione di Applicabilità.
- Obiettivi per la sicurezza delle informazioni ed evidenze della competenza del personale.
- Risultati di monitoraggio e misurazione.
- Programma e risultati degli audit interni, e riesame di direzione.
- Registro delle non conformità e delle azioni correttive.
Inoltre ogni organizzazione documenta ciò che ritiene necessario per l'efficacia del SGSI, ad esempio politiche specifiche (controllo degli accessi, backup, fornitori) e procedure.
SGSI e NIS2 in Italia
In Italia la direttiva NIS2 è stata recepita con il D.Lgs. 138/2024, che richiede ai soggetti interessati misure di gestione del rischio di cibersicurezza sotto la vigilanza dell'Agenzia per la Cybersicurezza Nazionale (ACN). Il decreto non impone la certificazione ISO 27001, ma un SGSI è un modo strutturato e diffuso per attuare queste misure e conservarne le evidenze.
Come funziona la certificazione?
La certificazione è rilasciata da un organismo di certificazione accreditato (in Italia da Accredia), di solito in due fasi: un esame della documentazione e poi un audit dell'attuazione. Il certificato si mantiene con audit di sorveglianza annuali. La norma si acquista presso ISO o l'ente di normazione nazionale (UNI); i kit di modelli non la includono.
Da dove cominciare
Definite il campo di applicazione, ottenete l'impegno della direzione e svolgete la valutazione del rischio: da essa derivano i controlli necessari e la Dichiarazione di Applicabilità. I modelli modificabili fanno risparmiare tempo nella redazione, ma ogni documento va adattato alla realtà dell'organizzazione. Il kit NexoDocs in italiano riunisce 84 file Word ed Excel ordinati per fasi, e potete provare gratuitamente la sua matrice dei rischi (campione in inglese).
Domande frequenti
SGSI e ISO 27001 sono la stessa cosa?
No. Il SGSI è il sistema di gestione dell'organizzazione; la ISO/IEC 27001 è la norma che definisce i requisiti che quel sistema deve soddisfare per essere certificato.
Quanti controlli ha la ISO 27001:2022?
L'Allegato A contiene 93 controlli in quattro temi: 37 organizzativi, 8 relativi alle persone, 14 fisici e 34 tecnologici.
Una PMI può implementare un SGSI?
Sì. La norma si applica a organizzazioni di qualsiasi dimensione; campo di applicazione e documentazione si adattano a ciascuna.
Quanto tempo serve per implementare un SGSI?
Dipende dal campo di applicazione e dalle risorse; in una PMI servono di solito diversi mesi tra pianificazione, attuazione dei controlli e primo audit interno.
Guide correlate
- Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
- Documenti obbligatori ISO 27001:2022: elenco per punto della norma
- Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Aggiornato: 2026-10-20