La ISO 27001 è la norma internazionale che dice come un'azienda deve gestire la sicurezza delle informazioni: capire quali dati tratta e quali rischi corrono, scegliere le misure per ridurli, controllare che funzionino e correggerle nel tempo. Se ti stai chiedendo cos'è la ISO 27001 perché un fornitore te la mette in evidenza nell'offerta, la risposta breve è questa: il certificato riguarda il modo in cui quell'azienda gestisce le informazioni, non il software che ti consegnerà. Vale qualcosa, a patto di leggerlo bene e di tradurlo in clausole del contratto.
Questa guida è scritta per chi sta dall'altro lato del tavolo: il titolare o il responsabile IT di una PMI che deve scegliere un fornitore software e affidargli anagrafiche, ordini, listini e dati dei dipendenti.
ISO 27001: cos'è in parole semplici
Il nome completo è ISO/IEC 27001. Descrive i requisiti di un sistema di gestione per la sicurezza delle informazioni, abbreviato SGSI (in inglese ISMS). La norma non elenca prodotti da comprare. Chiede all'azienda di lavorare con un metodo scritto: valutare i rischi, decidere come trattarli, applicare le misure scelte, misurarne l'efficacia, fare audit interni e un riesame periodico da parte della direzione. Si applica a qualunque organizzazione, di qualsiasi tipo e dimensione, come riporta la scheda della norma sul catalogo UNI.
La parte più concreta è l'Allegato A, un elenco di 93 controlli di sicurezza raggruppati in quattro temi:
| Tema | Controlli | Qualche esempio |
|---|---|---|
| Organizzativi | 37 | politiche, rapporti con i fornitori, gestione degli incidenti, continuità operativa |
| Persone | 8 | selezione del personale, formazione, lavoro da remoto, accordi di riservatezza |
| Fisici | 14 | ingressi agli uffici, protezione delle apparecchiature, scrivania e schermo puliti |
| Tecnologici | 34 | accessi privilegiati, backup, log, crittografia, sviluppo sicuro del codice |
L'azienda non deve applicarli tutti per forza. Deve confrontare le misure che ha deciso con quell'elenco e scrivere, in un documento chiamato Dichiarazione di applicabilità, quali controlli applica, quali esclude e perché. Una software house di quindici persone senza sala server avrà controlli fisici molto più leggeri di un data center, e la norma lo prevede.
Il dettaglio di come si applica ogni controllo sta in un'altra norma, la ISO/IEC 27002, che è una linea guida e non si certifica. L'edizione in vigore della 27001 è quella pubblicata da ISO il 25 ottobre 2022, con un emendamento del 2024 che aggiunge solo un riferimento al cambiamento climatico. In Italia è recepita come UNI CEI EN ISO/IEC 27001:2024+A1:2024.
Certificazione ISO 27001: chi la rilascia e quanto dura
Chiunque può adottare la norma anche senza certificarsi. La certificazione ISO 27001 arriva quando un organismo di certificazione esterno verifica il sistema con un audit e, se tutto torna, rilascia un certificato. Conta molto chi è quell'organismo. In Italia gli organismi vengono accreditati da Accredia, che fa parte delle reti europee e mondiali degli enti di accreditamento e ha firmato gli accordi di mutuo riconoscimento: per questo un certificato emesso da un organismo accreditato in Italia è riconosciuto come equivalente a quelli emessi dagli organismi accreditati negli altri Paesi firmatari. Esistono anche certificati emessi da enti non accreditati. Possono essere in buona fede, ma in quel caso nessuno verifica chi ha fatto la verifica.
Il ciclo di certificazione dura tre anni, come prevede la ISO/IEC 17021-1, la norma che regola gli organismi di certificazione. Dopo l'audit iniziale l'organismo torna almeno una volta per anno solare con un audit di sorveglianza (nota di European Accreditation), e prima della scadenza serve un audit di ricertificazione. Se l'azienda smette di curare il sistema, il certificato può essere sospeso o ritirato.
C'è una data da ricordare. La versione precedente della norma, del 2013, non vale più: il documento di transizione dell'IAF, IAF MD 26, ha stabilito che tutte le certificazioni basate sulla ISO/IEC 27001:2013 scadessero o venissero ritirate entro il 31 ottobre 2025. Oggi un certificato valido riporta l'edizione 2022. Se un fornitore ti manda un certificato "ISO 27001:2013", ti sta mostrando un documento scaduto.
Cosa garantisce un fornitore certificato e cosa no
Il certificato dice che l'azienda gestisce la sicurezza delle informazioni con un sistema documentato e che un ente esterno lo controlla ogni anno. Non dice che il gestionale che ti consegna è privo di vulnerabilità e non promette che l'azienda non avrà mai un incidente.
| Il certificato ti dice | Il certificato non ti dice |
|---|---|
| che i rischi sulle informazioni vengono valutati e trattati con un metodo scritto | che il software sviluppato per te ha passato un test di sicurezza |
| che le misure di sicurezza sono scelte, documentate e controllate da un ente esterno | entro quanto tempo verrai avvisato di un incidente: lo stabilisce il contratto |
| quali attività e quali sedi sono coperte, nel campo di applicazione | che le attività fuori dal campo di applicazione seguono le stesse regole |
| che c'è un audit almeno una volta l'anno | che il fornitore rispetta il GDPR in ogni trattamento che fa per tuo conto |
Sul GDPR servono due righe in più. Quando un fornitore tratta dati personali per conto della tua azienda (clienti, dipendenti, ordini), l'articolo 28 del GDPR ti chiede di affidarti solo a responsabili che presentino garanzie sufficienti sulle misure tecniche e organizzative e di regolare il rapporto con un contratto o un altro atto giuridico. Un certificato ISO 27001 è una buona prova di quelle garanzie. Il contratto, con la nomina a responsabile del trattamento, va fatto comunque: risponde a domande che il certificato non tocca, come cosa può fare il fornitore con i tuoi dati e cosa succede quando il rapporto finisce.
Prendi un caso tipico. Un distributore affida a una software house lo sviluppo del portale ordini. Per provare una nuova funzione, uno sviluppatore copia il database di produzione, con tutte le anagrafiche dei clienti, sul proprio portatile. Il fornitore è certificato, eppure nessuno aveva chiesto dove sarebbero finite le copie dei dati per i test. Il certificato da solo non ti dice come il fornitore gestisce i dati di test. Se lo chiedi prima di firmare e metti la risposta nel contratto, lo sai.
Come verificare un certificato ISO 27001 in cinque minuti
Chiedi il PDF del certificato. Un'azienda certificata lo fornisce senza problemi e spesso lo pubblica sul sito. Poi controlla questi punti:
- L'edizione della norma: deve essere ISO/IEC 27001:2022.
- La ragione sociale e la sede: devono corrispondere all'azienda con cui firmi, non a una capogruppo o a un partner.
- Il campo di applicazione, cioè la frase che descrive le attività coperte. Se compri sviluppo software e il campo parla solo di rivendita di licenze, il servizio che ti interessa resta fuori.
- L'organismo di certificazione e il marchio di accreditamento (in Italia, Accredia).
- Le date di emissione e di scadenza.
- Lo stato attuale. Cerca il numero di certificato o la partita IVA nella banca dati certificazioni di Accredia oppure su IAF CertSearch. La banca dati Accredia può contenere anche certificati sospesi: guarda lo stato indicato, non solo la presenza del nome.
Il controllo sulla banca dati è quello che si salta più spesso, ma è l'unico che dice se il certificato è valido oggi: un certificato sospeso ha lo stesso aspetto di uno valido.
Le domande da fare a una software house certificata
Dopo il certificato vengono le domande. Si aggiungono a quelle della nostra checklist per scegliere una software house e conviene farle prima della firma, chiedendo risposte scritte:
- Il servizio che mi vendete rientra nel campo di applicazione del certificato? Indicatemi la frase precisa.
- Chi del vostro team avrà accesso ai nostri dati di produzione, con quali permessi, e come revocate l'accesso quando una persona cambia progetto o lascia l'azienda?
- Per sviluppo e test usate dati reali o dati anonimizzati? Dove stanno le copie?
- Dove sono ospitati i dati e quali vostri fornitori (cloud, hosting, posta, assistenza) possono accedervi?
- Se avete un incidente che coinvolge i nostri dati, entro quanto ci avvisate e con quali informazioni?
- Quando avete provato l'ultima volta a ripristinare un backup, e com'è andata?
- A fine rapporto, in che formato ci restituite i dati e come confermate la cancellazione delle vostre copie?
Un fornitore certificato dovrebbe avere già queste risposte scritte da qualche parte, perché il sistema di gestione gli chiede di documentare proprio questi aspetti. Se arrivano vaghe o dopo settimane, il certificato vale meno di quanto sembra. L'ultima domanda torna utile anche il giorno in cui decidi di cambiare fornitore: la migrazione dei dati verso un nuovo gestionale è molto più semplice se il formato di restituzione è già scritto nel contratto.
ISO 27001 per le PMI: devi certificarti anche tu?
La certificazione è volontaria e nessuna legge la impone in generale a una PMI. Se la tua azienda produce, distribuisce o installa e non vende servizi informatici, nella maggior parte dei casi certificarsi non conviene. Il lavoro per costruire e mantenere il sistema (analisi dei rischi, procedure, formazione, audit interni, audit dell'ente ogni anno) pesa su un'organizzazione piccola. Ti servono invece poche misure fatte bene, come autenticazione a due fattori, backup provati, aggiornamenti e accessi rivisti, più fornitori che lavorano con un sistema verificato. Le misure di base sono nella nostra guida alla sicurezza informatica per le PMI.
Il discorso cambia in tre situazioni: quando vendi servizi digitali o gestisci dati per conto dei tuoi clienti, quando i clienti più grandi ti mandano questionari di sicurezza sempre più lunghi, quando partecipi a gare in cui la certificazione dà punteggio o è richiesta. In questi casi la ISO 27001 per le PMI diventa uno strumento commerciale oltre che organizzativo, e conviene pianificarla con calma, partendo da un campo di applicazione stretto.
Un cenno alla NIS2. Se la tua azienda rientra tra i soggetti del decreto NIS (D.Lgs. 138/2024), ha obblighi di legge sulla gestione dei rischi informatici e sulla notifica degli incidenti, descritti dall'Agenzia per la cybersicurezza nazionale. La ISO 27001 aiuta a organizzare quel lavoro, ma il certificato e la conformità al decreto restano due verifiche diverse, con regole diverse.
Il caso Selli
Sellinnate S.r.l., la società di Selli, ha il sistema di gestione per la sicurezza delle informazioni certificato secondo la ISO/IEC 27001:2022 da Kiwa Cermet Italia S.p.A., organismo accreditato Accredia. Il certificato è il n. 22621-L, vale dal 5 agosto 2026 al 4 agosto 2029 ed è soggetto a sorveglianza annuale. Il campo di applicazione è "produzione e sviluppo di software non connessi all'edizione" e "servizi di consulenza informatica": copre quindi il lavoro che facciamo quando sviluppiamo software su misura per i clienti.
Vale anche per noi quello che abbiamo scritto sopra. Il certificato riguarda come gestiamo le informazioni in azienda, cioè processi, ruoli, controlli e gestione degli incidenti, e non certifica i singoli software che sviluppiamo. Sulla pagina certificazioni trovi il PDF del certificato con numero, ente e campo di applicazione. Sui progetti lavoriamo con un ambiente di staging separato per i test, e il codice sorgente resta di proprietà del cliente.
Se il tuo problema si risolve con un software standard già pronto, non scegliere il fornitore per il certificato: sceglilo per il prodotto, e controlla il certificato di chi ospita i tuoi dati.
Parliamone
Stai valutando un fornitore software e vuoi capire quali requisiti di sicurezza mettere nel contratto? Oppure vuoi vedere il nostro certificato e il campo di applicazione applicati a un progetto concreto? Prenota una call con noi: partiamo dai dati che la tua azienda tratta e da chi ci deve lavorare, e ti diciamo cosa chiedere, a noi o a chiunque altro.