Modelli e registrazioni · ISO 27001 · Punto A.5.9

Modello di inventario degli asset informativi ISO 27001

L’elenco delle informazioni e dei sistemi che le supportano, ciascuno con il suo proprietario e la sua classificazione, che dà senso alla valutazione dei rischi e al controllo degli accessi.

In una frase

L’inventario degli asset informativi collega le informazioni e gli asset associati —applicazioni, apparecchiature, servizi cloud, persone chiave— al loro proprietario, alla loro ubicazione e alla loro classificazione; lo richiede il controllo 5.9 dell’Appendice A della ISO/IEC 27001:2022, che chiede di predisporlo e mantenerlo aggiornato.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27001 · Punto A.5.9 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
Tipo di informazione: Documento obbligatorio Controllo 5.9 dell’Appendice A: si mantiene se la dichiarazione di applicabilità lo include
Chi lo compila: Proprietari degli asset L’IT lo consolida; ogni proprietario risponde del fatto che i suoi asset ci siano e siano corretti
Quando: A ogni ingresso, dismissione o modifica Con una revisione completa almeno prima della valutazione dei rischi annuale
Per quanto tempo si conserva: Sempre in vigore Si mantiene aggiornato; conviene conservare lo storico di ingressi e dismissioni per ricostruire che cosa esisteva a una certa data

Che cosa richiede la norma

Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione

Il corpo della norma non obbliga a fare un inventario: lo fa il controllo 5.9, che chiede un inventario delle informazioni e degli altri asset associati, con i loro proprietari. Poiché è raro che un’organizzazione lo escluda a ragione, in pratica tutti gli auditor se lo aspettano.

La ISO/IEC 27002 orienta sul livello di dettaglio: sufficiente per gestire i rischi, non un elenco di ogni cavo. Ciò che conta è che ogni asset rilevante abbia un proprietario e che l’inventario resti aggiornato a ogni ingresso e dismissione.

L’inventario si appoggia ad altri controlli: la classificazione (5.12), l’utilizzo accettabile (5.10) e la restituzione degli asset all’uscita dall’azienda (5.11).

Lo legga nel contesto: Contesto dell’organizzazione, nell’Academy ISO 27001

Struttura

Campi che il modello deve contenere

Identificativo e nome dell’asset
Tipo: informazione, applicazione, servizio cloud, apparecchiatura, supporto, persona chiave
Proprietario
Ubicazione o fornitore che lo ospita
Classificazione delle informazioni (per esempio pubblica, interna, riservata)
Processi o servizi che ne dipendono
Se contiene dati personali
Data di ingresso, ultima revisione e dismissione

Esempio

Esempio: quattro asset di un’azienda di software

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
A-001 Database clienti	Informazione · Proprietaria: direttrice commerciale · Riservato · Dati personali: sì
A-014 Piattaforma SaaS	Applicazione · Proprietaria: direttrice delle operazioni · Ospitata presso un fornitore cloud, regione UE
A-022 Repository del codice	Servizio cloud · Proprietario: direttore tecnico · Riservato
A-040 Portatili del personale	82 unità · Proprietario: responsabile dei sistemi · Cifratura del disco obbligatoria
Ultima revisione	28 agosto 2026, prima della valutazione dei rischi annuale

In audit

Errori che gli auditor rilevano più spesso

Inventario del solo hardware: mancano le informazioni e i servizi cloud.
Proprietario generico («reparto IT») invece di una persona.
Uscite di dipendenti senza restituzione registrata delle apparecchiature.
La classificazione dell’inventario non coincide con quella applicata ai documenti.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1L’inventario degli asset informativi si costruisce con proprietario e classificazione per ogni asset.
2Il proprietario di ogni asset e di ogni rischio si assegna direttamente nel sistema, e la valutazione dei rischi si collega agli asset.
3L’inventario è una registrazione gestita per versioni: ogni ingresso, dismissione o modifica resta con la sua data e il suo autore.

Domande frequenti

Cosa ci chiedono prima di iniziare

Quale livello di dettaglio serve nell’inventario?

Quello sufficiente per gestire i rischi. Raggruppare in una riga i portatili dello stesso modello e configurazione è ragionevole; raggruppare in una sola riga tutte le informazioni sui clienti, no.

Lo stesso inventario vale per l’ENS spagnolo?

Sì, con qualche distinguo: anche la misura op.exp.1 dell’ENS chiede un inventario aggiornato con il suo responsabile. Conviene aggiungere a quale sistema categorizzato appartiene ogni asset.

Gestisca le registrazioni ISO 27001 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare