Modelli e registrazioni · ISO 27001
Modelli e registrazioni della ISO 27001
Nove registrazioni che reggono un sistema di gestione per la sicurezza delle informazioni, ciascuna con il punto o il controllo che la richiede, i suoi campi e un esempio compilato.
In una frase
La ISO/IEC 27001 richiede di documentare il processo di valutazione dei rischi, i suoi risultati, il piano di trattamento e la dichiarazione di applicabilità, che sono il nucleo di qualsiasi certificazione; le altre registrazioni —inventario degli asset, incidenti, revisione degli accessi, test di continuità, fornitori— nascono dai controlli dell’Appendice A che l’organizzazione stessa dichiara applicabili, e sono l’evidenza che l’auditor chiede per verificare che quei controlli funzionino.
- Edizione
- ISO/IEC 27001:2022 La transizione dall’edizione 2013 si è conclusa il 31 ottobre 2025
- Documenti del nucleo
- Rischi, trattamento e SoA Punti 6.1.2, 6.1.3, 8.2 e 8.3
- Appendice A
- 93 controlli in 4 temi Organizzativi, relativi alle persone, fisici e tecnologici
- Formato
- Libero La norma fissa il contenuto, non il modello
Indice
Modelli e registrazioni ISO 27001
I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
Dichiarazione di applicabilità
Che cosa deve riportare la dichiarazione di applicabilità della ISO 27001 (6.1.3 d): controlli necessari…
Valutazione dei rischi
Come documentare la valutazione dei rischi di sicurezza della ISO 27001: criteri di accettazione, titolare…
Piano di trattamento dei rischi
Che cosa deve includere il piano di trattamento dei rischi della ISO 27001 (6.1.3 e): opzione scelta…
Inventario degli asset
Come costruire l’inventario degli asset informativi richiesto dal controllo 5.9 della ISO 27001: tipo…
Requisiti legali e contrattuali
Come documentare i requisiti legali, regolamentari e contrattuali di sicurezza richiesti dalla ISO 27001…
Registro degli incidenti
Cosa deve riportare il registro degli incidenti di sicurezza secondo i controlli da 5.24 a 5.28 della ISO…
Revisione degli accessi
Come documentare la revisione periodica dei diritti di accesso della ISO 27001: sistemi, utenti, permessi…
Test di continuità e backup
Come registrare i test di continuità ICT e di ripristino dei backup richiesti dai controlli 5.30 e 8.13…
Sicurezza dei fornitori
Come valutare e monitorare la sicurezza dei fornitori secondo i controlli da 5.19 a 5.22 della ISO 27001…
Domande frequenti
Cosa ci chiedono prima di iniziare
Quali documenti sono obbligatori nella ISO 27001?
Quelli richiesti dai punti della norma: campo di applicazione (4.3), politica (5.2), processo e risultati della valutazione dei rischi (6.1.2 e 8.2), processo e risultati del trattamento (6.1.3 e 8.3), dichiarazione di applicabilità (6.1.3 d), obiettivi (6.2), evidenze di competenza (7.2), risultati del monitoraggio (9.1), programma ed esiti degli audit (9.2), riesame della direzione (9.3) e non conformità con le relative azioni (10.2). A questi si aggiunge quanto richiesto dai controlli dell’Appendice A dichiarati applicabili.
I controlli dell’Appendice A obbligano a tenere registrazioni?
Indirettamente. Un controllo dichiarato applicabile deve poter essere dimostrato, e in pratica lo si fa con le registrazioni: l’inventario degli asset per il controllo 5.9, il registro degli incidenti per i controlli da 5.24 a 5.28 o i verbali di revisione degli accessi per il 5.18. Un controllo escluso con giustificazione non richiede evidenze di funzionamento.
Le stesse registrazioni valgono per l’ENS spagnolo?
In buona parte sì: la valutazione dei rischi, l’inventario e il registro degli incidenti si possono condividere. Ciò che non si condivide è la dichiarazione di applicabilità, perché l’ENS (lo schema nazionale di sicurezza spagnolo) ha un proprio catalogo di misure nell’Allegato II del Real Decreto 311/2022 e una propria firma.
Gestisca le registrazioni ISO 27001 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare