Gap analysis ISO 27001: quanto è distante il vostro SGSI dalla norma?
La gap analysis ISO 27001 (o autovalutazione iniziale) confronta ciò che l'organizzazione fa già in materia di sicurezza delle informazioni con ciò che richiede la ISO/IEC 27001:2022. Si esamina ogni requisito dei punti da 4 a 10 e ciascuno dei 93 controlli dell'Appendice A, lo si classifica come conforme, parziale o non conforme, si registrano le evidenze disponibili oggi e il risultato è una percentuale di conformità per area, più un elenco di gap che diventa il piano di progetto. La norma non la impone, ma quasi ogni implementazione parte da qui.
La gap analysis è obbligatoria per la ISO 27001?
No. Nessun punto della ISO/IEC 27001:2022 chiede una gap analysis, e l'organismo di certificazione non la verificherà come informazione documentata obbligatoria. Le organizzazioni la fanno perché risponde a tre domande prima di investire tempo e budget: quanto manca, da dove iniziare e quanto può durare il progetto.
Funziona anche come base di partenza. Ripetuta qualche mese dopo con lo stesso file, mostra all'alta direzione quanto è avanzato il SGSI senza un rapporto separato. Se l'organizzazione applica già un altro sistema di gestione ISO (per esempio la ISO 9001), diversi requisiti dei punti 4-10 si possono estendere invece di costruirli da zero.
Cosa si valuta: punti da 4 a 10 e Appendice A
L'autovalutazione del kit NexoDocs (ISMS-GAP-01 Autovalutazione dei gap) divide la norma in due fogli: «Punti» e «Appendice A». Le domande e i titoli dei controlli sono formulati da noi e servono come riferimento: la norma è citata per numero di punto e di controllo, senza riprodurne il testo.
| Parte della norma | Cosa si verifica | Righe nell'autovalutazione |
|---|---|---|
| Punto 4 · Contesto | Fattori interni ed esterni (compresa la domanda sui cambiamenti climatici dell'Amd 1:2024), parti interessate, campo di applicazione, sistema di gestione | 5 |
| Punto 5 · Leadership | Impegno dell'alta direzione, politica per la sicurezza delle informazioni, ruoli e autorità | 3 |
| Punto 6 · Pianificazione | Rischi e opportunità, valutazione e trattamento del rischio, Dichiarazione di applicabilità, obiettivi, modifiche | 7 |
| Punto 7 · Supporto | Risorse, competenza, consapevolezza, comunicazione, informazioni documentate | 5 |
| Punto 8 · Attività operative | Controllo operativo, esecuzione della valutazione e del trattamento del rischio | 3 |
| Punto 9 · Valutazione delle prestazioni | Monitoraggio e misurazione, programma ed esecuzione dell'audit interno, riesame di direzione | 4 |
| Punto 10 · Miglioramento | Miglioramento continuo, non conformità e azioni correttive | 2 |
| Appendice A · 93 controlli | Organizzativi (37), persone (8), fisici (14) e tecnologici (34) | 93, con colonna «Applicabile?» |
Sono 29 domande per i punti e 93 righe per i controlli. Il file segnala con «(nuovo nel 2022)» i controlli introdotti nell'edizione 2022, come la threat intelligence (5.7), la sicurezza delle informazioni per l'utilizzo dei servizi cloud (5.23), la gestione della configurazione (8.9), la prevenzione della fuga di dati (8.12) e la codifica sicura (8.28): di solito sono i gap più frequenti nelle organizzazioni che arrivano dall'edizione 2013.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Come fare una gap analysis passo dopo passo
- Definire un campo di applicazione provvisorio: quali processi, sedi, sistemi e servizi sono inclusi. Senza campo di applicazione, la valutazione mescola elementi che poi verranno esclusi.
- Coinvolgere chi sa come si lavora davvero: il responsabile del SGSI, l'IT, i responsabili dei processi principali, le risorse umane e, se presenti, l'ufficio legale o compliance.
- Nel foglio «Punti», scegliere per ogni domanda uno dei tre stati: Conforme, Parziale o Non conforme. Non esiste l'opzione «Non applicabile», perché i punti da 4 a 10 non si possono escludere.
- Nel foglio «Appendice A», indicare prima se il controllo è applicabile (decisione preliminare) e poi il suo stato. La decisione definitiva si prende più avanti, nella Dichiarazione di applicabilità.
- Registrare l'evidenza attuale: documento, registrazione, ticket o configurazione. Se non potete mostrarla, scegliete «Parziale» anche se l'attività si svolge.
- Leggere il «Riepilogo»: percentuale di conformità per area, requisiti non ancora valutati e controlli contrassegnati come non applicabili.
- Portare i gap in rosso nel piano di progetto con un responsabile e una data, iniziando dai punti 4-6, da cui dipende tutto il resto.
Come si calcola la conformità
Nel modello ogni riga riceve un punteggio in base al suo stato, e la percentuale di ciascuna area è la media delle righe valutate:
| Stato | Punteggio | Quando usarlo |
|---|---|---|
| Conforme | 100% | Esiste, è documentato dove serve ed è applicato, con evidenze |
| Parziale | 50% | Incompleto, non documentato o senza registrazioni che lo dimostrino |
| Non conforme | 0% | Non si fa, oppure non c'è alcuna evidenza |
| Non applicabile (solo Appendice A) | Escluso dalla media | Controllo escluso in via preliminare, da giustificare poi nella Dichiarazione di applicabilità |
Esempio: se il punto 7 (5 domande) ha 2 Conforme, 2 Parziale e 1 Non conforme, il risultato è (100 + 100 + 50 + 50 + 0) / 5 = 60%. Il riepilogo usa un semaforo: rosso sotto il 50%, giallo dal 50 al 79% e verde dall'80%. Le righe non ancora valutate non entrano nella percentuale; per questo il riepilogo mostra a parte quante ne restano.
Cosa fare con il risultato
- Dare priorità in base alle dipendenze, non alla facilità: senza contesto (4.1), campo di applicazione (4.3) e metodo di valutazione del rischio (6.1.2) non si possono scegliere bene i controlli.
- Usare lo stato preliminare dell'Appendice A come bozza della Dichiarazione di applicabilità, ma confermarlo con la valutazione del rischio.
- Raggruppare i gap in pacchetti di lavoro (governance, rischio, politiche e controlli, persone, fornitori, valutazione e miglioramento) e inserirli nel piano con delle date.
- Stimare i tempi dal risultato: molte aree in rosso nei punti 4-10 di solito allungano il progetto più di qualche controllo tecnico in sospeso.
- Ripetere l'autovalutazione prima dell'audit di certificazione e confrontarla con l'audit interno (9.2): un'autovalutazione tende a essere ottimista.
Errori frequenti
- Scegliere «Conforme» perché «lo facciamo», senza evidenze da mostrare.
- Usare «Non applicabile» per i punti 4-10, che non si possono escludere.
- Escludere controlli dell'Appendice A per comodità, senza legame con i rischi: non reggerà nella Dichiarazione di applicabilità.
- Farla solo dall'IT, senza risorse umane, acquisti o responsabili di processo.
- Lasciarla in un cassetto: se non diventa un piano con responsabili e date, non serve.
Modello: l'autovalutazione dei gap nel kit ISO 27001
Il kit ISO 27001 di NexoDocs in italiano include l'autovalutazione ISMS-GAP-01: un file Excel senza macro con le 29 domande dei punti 4-10 e i 93 controlli dell'Appendice A già caricati, le evidenze che l'auditor di solito richiede e il documento del kit che copre ogni riga, un menu a tendina per lo stato, punteggio automatico e un riepilogo per area con semaforo. Si compila in una o due ore. È la prima attività del piano di progetto SGSI con diagramma di Gantt (ISMS-PRJ-01) dello stesso kit, e il suo risultato alimenta la valutazione del rischio e la Dichiarazione di applicabilità.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Quanto dura una gap analysis ISO 27001?
Compilare il modello richiede una o due ore con le persone giuste al tavolo. Raccogliere e verificare le evidenze dietro ogni risposta può richiedere qualche giorno in più in un'organizzazione di medie dimensioni.
Che differenza c'è tra gap analysis e audit interno?
La gap analysis è un'autovalutazione per pianificare, senza un formato obbligatorio. L'audit interno (punto 9.2) è obbligatorio, è svolto da persone obiettive e imparziali secondo un programma definito, e i suoi rilievi si registrano come non conformità od osservazioni.
Serve se passiamo dalla ISO 27001:2013?
Sì. È un buon modo per preparare la transizione: il file segnala i controlli nuovi dell'edizione 2022 e la domanda sui cambiamenti climatici dell'emendamento del 2024, che sono ciò che manca più spesso.
La gap analysis sostituisce la valutazione del rischio?
No. La gap analysis misura lo stato di requisiti e controlli; la valutazione del rischio (6.1.2) è obbligatoria ed è ciò che giustifica quali controlli si applicano.
La gap analysis copre anche la NIS2?
Non direttamente. Misura lo stato rispetto alla ISO/IEC 27001:2022. I soggetti che rientrano nel D.Lgs. 138/2024 verificano in più le misure di sicurezza di base definite dall'ACN, la registrazione e la notifica degli incidenti; molte di queste misure si sovrappongono all'Appendice A. La certificazione è rilasciata da un organismo accreditato da Accredia.
Un punteggio del 100% significa superare l'audit?
No. La certificazione è decisa da un organismo di certificazione dopo il suo audit; la gap analysis è un'autovalutazione che organizza il lavoro e mostra i progressi.
Guide correlate
Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Le informazioni documentate richieste dalla ISO/IEC 27001:2022 punto per punto (politica, rischi, SoA, obiettivi, audit) e i documenti attesi per l'Allegato A.
Leggi la guida →Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Cosa richiede la ISO/IEC 27001:2022 per la valutazione del rischio, le colonne di una matrice dei rischi e come calcolare il livello. Campione gratuito.
Leggi la guida →Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
Cosa deve contenere la Dichiarazione di Applicabilità ISO/IEC 27001:2022 per i 93 controlli, come giustificare le esclusioni, errori tipici. Con modello Excel.
Leggi la guida →Aggiornato: 2026-10-29