Certificazione
Certificazione ISO/IEC 27001: sicurezza delle informazioni e privacy
A chi serve, quali vantaggi concreti porta, come funziona il percorso e quali documenti preparare. Ti seguiamo dall'analisi iniziale al certificato.
Strumento gratuito
Quale certificazione ISO ti serve?
Poche domande sulla tua impresa: scopri quali norme sono più utili per i tuoi obiettivi e a che punto sei.
Fai il check-up ISOCos’è
ISO/IEC 27001 in sintesi.
La ISO/IEC 27001 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni (ISMS): quali informazioni proteggere, da quali rischi, con quali misure di controllo, e come verificarne l'efficacia nel tempo. Riguarda persone, processi e tecnologia, non solo l'informatica.
La ISO/IEC 27701 la estende alla gestione dei dati personali, con riferimento ai ruoli di titolare e responsabile del trattamento secondo il GDPR. Le due norme si certificano di norma insieme.
Per chi è
A chi serve davvero.
- Software house, fornitori cloud e società di servizi IT
- Imprese che trattano dati personali o sanitari di terzi
- Fornitori di soggetti obbligati alla NIS2 (D.Lgs. 138/2024), che devono gestire la sicurezza della catena di fornitura
- Aziende che ricevono questionari di sicurezza da clienti e capofila
Vantaggi concreti
Cosa ottieni con la ISO/IEC 27001.
Risposta ai questionari dei clienti
Un certificato accreditato sostituisce lunghe verifiche una per una e accelera le trattative con committenti strutturati.
Filiera NIS2
I soggetti obbligati devono gestire la sicurezza dei fornitori: una certificazione ISO/IEC 27001 è un'evidenza concreta, anche se non equivale a un'attestazione di conformità alla NIS2.
Gare e requisiti di fornitura
Spesso richiesta nelle gare di servizi IT e come punteggio premiante; la ISO 27001 è anche parte dei percorsi di qualificazione di molti fornitori.
Gestione del rischio reale
Inventario degli asset, valutazione dei rischi, continuità operativa e gestione degli incidenti diventano processi misurabili.
Percorso e tempi
Come si arriva al certificato.
- 01
Definizione del perimetro e analisi del rischio
Stabiliamo cosa rientra nel sistema (sedi, servizi, dati) e valutiamo i rischi su asset e trattamenti.
- 02
Selezione e implementazione dei controlli
Applichiamo i controlli dell'Allegato A e prepariamo la Dichiarazione di Applicabilità; per la ISO 27701 aggiungiamo i controlli privacy.
- 03
Formazione e prove
Sensibilizziamo il personale e testiamo gestione degli incidenti, backup e continuità operativa.
- 04
Audit interno e riesame della direzione
Prima dell'ente di certificazione verifichiamo noi che il sistema funzioni davvero, chiudiamo le non conformità e prepariamo la direzione al riesame.
- 05
Audit di certificazione
L'organismo di certificazione accreditato svolge l'audit in due fasi (documentale e sul campo). Ti affianchiamo nelle verifiche e nella chiusura di eventuali rilievi.
Tempi: Indicativamente 3-6 mesi, in base a perimetro e maturità informatica di partenza.
Ciclo: Certificato valido tre anni, con sorveglianze annuali e rinnovo al termine del ciclo.
I tempi sono indicativi e dipendono dal punto di partenza e dalla disponibilità degli organismi di certificazione.
Documenti
Cosa preparare.
- Perimetro del sistema e contesto
- Inventario degli asset e registro dei trattamenti
- Metodologia e risultati della valutazione dei rischi
- Dichiarazione di Applicabilità e piano di trattamento
- Politiche e procedure: accessi, backup, continuità, incidenti, fornitori
- Evidenze di formazione, audit interno e riesame
Norma di base
Parti dalla qualità
La ISO 9001 è la base di ogni sistema di gestione e il requisito per la SOA dalla classifica III.
Scopri la ISO 9001Domande frequenti
Domande frequenti sulla ISO/IEC 27001.
No, è una certificazione volontaria. Può però essere richiesta da clienti e bandi, e aiuta a dimostrare l'adozione di misure di sicurezza adeguate in ambito NIS2 e GDPR.
No. È una forte evidenza di buona organizzazione, ma gli obblighi NIS2 e GDPR restano distinti e vanno valutati caso per caso.
Se tratti dati personali per conto di altri o come titolare, la 27701 estende il sistema alla privacy e si certifica insieme alla 27001. Ti aiutiamo a decidere in base ai tuoi trattamenti.
Conviene partire dai servizi e dalle sedi più critici per i clienti e allargare nel tempo: un perimetro ben definito riduce tempi e costi.
Vuoi certificarti ISO/IEC 27001?
Raccontaci la tua impresa: ti diciamo se la norma ti serve davvero e costruiamo il percorso su misura. Risposta entro 24 ore.