Politiche ISO 27001:2022: la politica obbligatoria e le politiche specifiche per argomento
La ISO/IEC 27001:2022 richiede esplicitamente una sola politica nei suoi punti: la politica per la sicurezza delle informazioni (punto 5.2), stabilita dall'alta direzione, documentata e comunicata. Il controllo 5.1 dell'Allegato A aggiunge le politiche specifiche per argomento (controllo degli accessi, backup, crittografia, fornitori, lavoro da remoto e così via), obbligatorie solo se la dichiarazione di applicabilità indica come applicabile il controllo corrispondente. In pratica una PMI arriva alla politica generale più 10-20 politiche specifiche, a seconda dei rischi. Il kit NexoDocs in italiano contiene 1 politica generale e 22 politiche specifiche (da ISMS-POL-00 a ISMS-POL-22).
La politica obbligatoria: punto 5.2
Il punto 5.2 chiede all'alta direzione di stabilire una politica per la sicurezza delle informazioni appropriata alle finalità dell'organizzazione, che includa obiettivi per la sicurezza delle informazioni (o un quadro per fissarli) e due impegni: soddisfare i requisiti applicabili e migliorare in modo continuo il SGSI.
- Deve essere disponibile come informazione documentata.
- Deve essere comunicata all'interno dell'organizzazione.
- Deve essere disponibile alle parti interessate, per quanto appropriato (clienti, fornitori, auditor).
- Tenetela breve (2-4 pagine) e rimandate alle politiche specifiche per i dettagli.
Un errore comune è una politica generale di 30 pagine piena di regole tecniche: è difficile da approvare, nessuno la legge e ogni modifica deve tornare alla direzione.
Le politiche specifiche: controllo 5.1 dell'Allegato A
Il controllo 5.1 chiede di definire la politica per la sicurezza delle informazioni e le politiche specifiche per argomento, farle approvare dalla direzione, pubblicarle, comunicarle al personale interessato (che ne conferma la ricezione) e riesaminarle a intervalli pianificati o in caso di cambiamenti significativi. Le indicazioni della ISO/IEC 27002:2022 citano argomenti come controllo degli accessi, sicurezza fisica, gestione degli asset, trasferimento delle informazioni, dispositivi endpoint, sicurezza della rete, incidenti, backup, crittografia, classificazione, vulnerabilità tecniche e sviluppo sicuro.
La norma non fissa un elenco chiuso né un formato: potete scrivere una politica per argomento, raggruppare più argomenti in un documento o mettere le regole nelle procedure. L'auditor verifica che ogni controllo applicabile abbia regole definite, approvate, comunicate e aggiornate.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Elenco delle politiche e dei controlli che coprono
| Politica del kit | Controlli dell'Allegato A | Quando serve? |
|---|---|---|
| ISMS-POL-00 Politica per la sicurezza delle informazioni | Punto 5.2 e 5.1 | Sempre. |
| ISMS-POL-01 Uso accettabile degli asset | 5.10 | Quasi sempre: tutti usano dispositivi e dati. |
| ISMS-POL-02 Inventario e gestione degli asset | 5.9, 5.11 | Appena esistono asset informativi (cioè sempre). |
| ISMS-POL-03 Classificazione ed etichettatura delle informazioni | 5.12, 5.13 | Se trattate informazioni con livelli di sensibilità diversi. |
| ISMS-POL-04 Controllo accessi e gestione identità | 5.15-5.18, 8.2-8.5 | Sempre. |
| ISMS-POL-05 Sicurezza dei fornitori | 5.19-5.22 | Se terzi accedono alle vostre informazioni o ai vostri sistemi. |
| ISMS-POL-06 Uso dei servizi cloud | 5.23 | Se usate posta, archiviazione o applicazioni in cloud. |
| ISMS-POL-07 Gestione degli incidenti di sicurezza delle informazioni | 5.24-5.28, 6.8 | Sempre. |
| ISMS-POL-08 Continuità operativa e prontezza ICT | 5.29, 5.30 | Quasi sempre. |
| ISMS-POL-09 Conformità legale e protezione dei dati personali | 5.31-5.34 | Appena trattate dati personali. |
| ISMS-POL-10 Sicurezza delle risorse umane | 6.1-6.6 | Appena avete personale. |
| ISMS-POL-11 Lavoro da remoto | 6.7 | Con smart working o lavoro ibrido. |
| ISMS-POL-12 Scrivania pulita e schermo pulito | 7.7 | Se avete uffici o spazi condivisi. |
| ISMS-POL-13 Supporti di memorizzazione e smaltimento sicuro | 7.10, 7.14, 8.10 | Se usate supporti rimovibili o dismettete apparecchiature. |
| ISMS-POL-14 Dispositivi endpoint degli utenti | 8.1 | Se il personale usa portatili o telefoni con dati aziendali. |
| ISMS-POL-15 Protezione dal malware | 8.7 | Sempre. |
| ISMS-POL-16 Gestione delle vulnerabilità tecniche | 8.8 | Appena gestite o amministrate sistemi. |
| ISMS-POL-17 Backup delle informazioni | 8.13 | Sempre. |
| ISMS-POL-18 Registrazione e monitoraggio | 8.15, 8.16 | Se amministrate server, cloud o applicazioni. |
| ISMS-POL-19 Crittografia | 8.24 | Se cifrate dati o comunicazioni (quasi sempre). |
| ISMS-POL-20 Gestione dei cambiamenti e sviluppo sicuro | 8.25-8.29, 8.32 | Se sviluppate software o modificate sistemi in produzione. |
| ISMS-POL-21 Sicurezza fisica e ambientale | 7.1-7.13 | Se avete uffici, sala server o apparecchiature proprie. |
| ISMS-POL-22 Sicurezza della rete e delle operazioni | 8.20-8.22 | Se gestite reti proprie. |
È la struttura del kit ISO 27001 NexoDocs in italiano: la politica generale ISMS-POL-00 nella cartella «03_Leadership» e 22 politiche specifiche in «03_POLITICHE_E_CONTROLLI», ciascuna con i propri controlli citati per numero. La colonna «Quando serve?» è solo un orientamento: la decisione finale deriva dalla valutazione dei rischi e dalla dichiarazione di applicabilità.
Come decidere quali politiche servono alla vostra azienda
- Partite dalla valutazione dei rischi (6.1.2) e dalla dichiarazione di applicabilità (6.1.3): ogni controllo applicabile ha bisogno di regole scritte da qualche parte.
- Raggruppate gli argomenti in un'azienda piccola: lavoro da remoto, dispositivi endpoint e scrivania pulita possono stare in un'unica politica della postazione di lavoro.
- Non scrivete politiche per controlli esclusi: se non sviluppate software, giustificate l'esclusione di 8.25-8.28 nella dichiarazione di applicabilità.
- Scrivete ciò che fate davvero: l'auditor confronta la politica con la pratica e con le registrazioni.
- Date a ogni politica un responsabile, una data di riesame e una versione.
In Italia: NIS2, Statuto dei lavoratori e Garante
Per i soggetti NIS2 il D.Lgs. 138/2024 e le determinazioni dell'ACN chiedono misure di gestione del rischio documentate, tra cui politiche approvate dagli organi di amministrazione: le politiche del kit aiutano a darne evidenza, ma non sostituiscono gli adempimenti verso l'ACN. Attenzione alle politiche di registrazione, monitoraggio e dispositivi endpoint: se gli strumenti permettono anche un controllo a distanza dell'attività dei lavoratori, si applica l'art. 4 dello Statuto dei lavoratori (L. 300/1970), che può richiedere un accordo sindacale o l'autorizzazione dell'Ispettorato, oltre all'informativa prevista dal GDPR e alle indicazioni del Garante. Non è consulenza legale.
Cosa verifica l'auditor nelle vostre politiche
- L'approvazione della direzione (firma, verbale o registrazione dell'approvazione) e la versione vigente.
- L'evidenza della comunicazione: e-mail, intranet, inserimento dei neoassunti o conferma di presa visione.
- Il riesame a intervalli pianificati: data dell'ultimo riesame e modifiche registrate.
- La coerenza con la dichiarazione di applicabilità: nessun controllo applicabile senza regole e nessuna politica per controlli esclusi.
- La pratica conforme al testo: se la politica prevede backup giornalieri verificati ogni trimestre, devono esserci le registrazioni di queste verifiche.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Quante politiche richiede la ISO 27001?
Nei punti della norma ne è richiesta esplicitamente una sola: la politica per la sicurezza delle informazioni (5.2). Le politiche specifiche del controllo 5.1 dipendono dai controlli dell'Allegato A che dichiarate applicabili; non c'è un numero fisso.
Le politiche specifiche devono essere documenti separati?
No. La norma chiede che esistano e siano approvate, comunicate e riesaminate, ma non impone un formato. Una piccola azienda può raggruppare più argomenti in un solo documento.
Ogni quanto vanno riesaminate le politiche?
A intervalli pianificati e in caso di cambiamenti significativi. La prassi più diffusa è un riesame annuale prima del riesame di direzione.
Una politica sul monitoraggio richiede l'accordo sindacale?
Dipende dagli strumenti: se consentono anche un controllo a distanza dei lavoratori si applica l'art. 4 dello Statuto dei lavoratori. Verificatelo con il vostro consulente del lavoro prima di pubblicare la politica.
Basta un modello di politica?
Come punto di partenza sì: fa risparmiare struttura e testo di base. Va comunque adattato a ciò che l'azienda fa davvero; un modello non adattato è un rilievo di audit tipico.
Guide correlate
Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Le informazioni documentate richieste dalla ISO/IEC 27001:2022 punto per punto (politica, rischi, SoA, obiettivi, audit) e i documenti attesi per l'Allegato A.
Leggi la guida →Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
Cosa deve contenere la Dichiarazione di Applicabilità ISO/IEC 27001:2022 per i 93 controlli, come giustificare le esclusioni, errori tipici. Con modello Excel.
Leggi la guida →Checklist di audit interno ISO 27001: struttura, rilievi e modello
Checklist di audit interno ISO/IEC 27001:2022: punti da 4 a 10 e 93 controlli dell'Appendice A, come classificare i rilievi e quali evidenze chiedere.
Leggi la guida →Aggiornato: 2026-10-30