ISO 27001 e 27002: il sistema di gestione della sicurezza delle informazioni
Cosa cambia un sistema di gestione della sicurezza delle informazioni per un dipendente e per la direzione, con le risorse di NIST e NCSC.
In 30 secondi
- Dove accade
- In qualsiasi organizzazione che gestisce il rischio cyber in modo strutturato, a livello di direzione come nei team.
- Cosa si vuole ottenere
- Decidere le misure di sicurezza in base ai rischi reali dell'organizzazione, e non per spuntare un requisito2.
- Il riflesso
- Se un'attività o un comportamento Le sembra sospetto, lo segnali, perché la semplice segnalazione conta7.
Di cosa si tratta
Questa scheda riguarda la gestione della sicurezza delle informazioni in un'organizzazione (SGSI), dal punto di vista di un dipendente e della sua direzione. Una sola delle fonti citate qui menziona una norma ISO, la ISO/IEC 27001:20221.
Le fonti citate qui provengono da enti pubblici americani e britannici (NIST, NCSC, CISA). Non riproducono il testo delle norme ISO, né quello della direttiva NIS 2, né le pubblicazioni dell'ANSSI. Questi punti non sono quindi descritti qui: la scheda si limita a ciò che tali fonti stabiliscono sulla gestione del rischio, sul ruolo della direzione e sui riferimenti di misure di sicurezza.
Domande dirette
Che cos'è un SGSI, in concreto?
Le fonti citate qui non definiscono il termine. L'NCSC descrive un approccio affine: dei concetti di base, poi delle fasi di alto livello che possono servire da fondamento a qualsiasi processo di gestione del rischio cyber2.
Che legame c'è con ISO 27001 e 27002?
Le fonti citate qui non descrivono queste norme. Una sola le menziona: il NIST pubblica una tabella di corrispondenza tra il suo catalogo di misure SP 800-53 Rev. 5 e la ISO/IEC 27001:20221. Il NIST aggiunge che queste tabelle danno un'indicazione generale di copertura, che da esse non si deve presumere un'equivalenza e che le corrispondenze non sono sempre uno a uno1.
Cosa deve fare la direzione?
L'NCSC ha redatto un kit di strumenti per i consigli di amministrazione. Accompagna un codice di buone pratiche di governance cyber e vuole aiutare i consigli a integrare la resilienza e la gestione del rischio nelle persone, nei sistemi, nei processi e nelle tecnologie dell'organizzazione3.
Cosa deve fare un dipendente?
La CISA include nell'igiene di base le password robuste, l'aggiornamento dei software, la prudenza di fronte ai link sospetti e l'autenticazione a più fattori7. Scrive che queste basi valgono per i privati come per le organizzazioni7. Invita inoltre a segnalare qualsiasi comportamento sospetto7.
1Cosa cambia per i dipendenti1 min
Per un dipendente, un sistema di gestione si nota soprattutto nelle regole quotidiane e nel sapere a chi rivolgersi. La CISA cita i gesti di igiene di base: password robuste, aggiornamenti, prudenza con i link, autenticazione a più fattori7. Propone anche formazioni e workshop, per esempio un workshop introduttivo per responsabili locali sulle minacce comuni e sulle pratiche di base7.
La segnalazione fa parte del percorso. La CISA afferma che ciascuno può contribuire a fermare una minaccia segnalando un'attività sospetta o un comportamento strano7. Le fonti citate qui non precisano la procedura interna di una determinata azienda: dipende dall'organizzazione, ed è questa a comunicarla.
2Cosa cambia per la direzioneDirezione1 min
L'NCSC scrive che il miglioramento dei risultati dell'attività deve essere il motore principale della gestione del rischio cyber. Sostiene una gestione «che illumina i rischi cyber reali» dell'organizzazione, anziché tecniche che cercano solo di soddisfare requisiti di conformità2. Precisa che la sua guida non è prescrittiva e che nessuna tecnica si adatta a tutte le situazioni2.
Per i consigli di amministrazione, l'NCSC ha pubblicato un kit di strumenti organizzato intorno al Cyber Governance Code of Practice. Contiene due moduli introduttivi, di cui uno per chi si avvicina alla cybersicurezza, e un documento di domande che il consiglio può porre per valutare le prestazioni dell'organizzazione3.
Nella sua guida SP 800-30 Rev. 1 (settembre 2012), il NIST descrive l'analisi dei rischi come una parte di un processo globale di gestione del rischio, che fornisce ai dirigenti le informazioni per decidere4.
3Cosa dice il testoTesto ufficiale1 min
I testi ISO non figurano nelle fonti citate qui: il loro contenuto preciso (requisiti, misure, ambito, dichiarazione di applicabilità, svolgimento di una certificazione) non è quindi riassunto qui.
Le fonti forniscono invece elementi su riferimenti affini. Il catalogo SP 800-53 Rev. 5 del NIST (pubblicato a settembre 2020) raccoglie misure di sicurezza e di protezione della privacy per proteggere operazioni, risorse e persone da minacce di vario tipo, tra cui attacchi ostili, errori umani e catastrofi naturali1. Comprende famiglie di misure come il controllo degli accessi, la sensibilizzazione e la formazione, la risposta agli incidenti o la valutazione dei rischi1.
Il Cybersecurity Framework del NIST, nella versione 2.0, è presentato come uno strumento per ridurre i rischi cyber, con guide di avvio rapido, profili e tabelle di corrispondenza con altre risorse5. Una guida introduttiva destinata alle piccole e medie imprese propone risorse per avviare una strategia di gestione del rischio6.
Il NIST propone infine uno strumento di riferimento online sulla cybersicurezza e sulla privacy, il CPRT8.
4A che punto è l'applicazione1 min
Nessuna delle fonti citate qui tratta l'applicazione della NIS 2, della regolamentazione europea o delle risorse dell'ANSSI. Nessuna indica la durata né il calendario di una certificazione ISO 27001. Questi elementi restano da documentare con fonti adeguate.
Ciò che le fonti permettono di dire sullo stato dei riferimenti citati: il NIST ha pubblicato una versione minore di SP 800-53, la 5.2.0, il 27 agosto 2025, con nuove misure e revisioni di misure esistenti1. Ha anche messo online tre corsi introduttivi in autoapprendimento sul catalogo SP 800-53, sulle sue procedure di valutazione (SP 800-53A) e sui suoi livelli di riferimento (SP 800-53B)6. L'NCSC indica per il suo kit di strumenti una versione 3.0, rivista l'8 aprile 20253.
Scheda
- Identificativo
- CP-376
- Ala
- 6. Governance e GRC
- Competenza Brain
- Proteggere i dati (safeguard_data)
- Riflesso Brain
- cr-032
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 8 fonti verificate il 3 novembre 2026
Fonti8 fonti
- NIST, «Security and Privacy Controls for Information Systems and Organizations». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Risk management», 23 giugno 2023. https://www.ncsc.gov.uk/collection/risk-management (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Cyber Security Toolkit for Boards», 30 marzo 2023. https://www.ncsc.gov.uk/collection/board-toolkit (consultato il 3 novembre 2026)
- NIST, «Guide for Conducting Risk Assessments». https://csrc.nist.gov/pubs/sp/800/30/r1/final (consultato il 3 novembre 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultato il 3 novembre 2026)
- NIST, «CSF 2.0 Resources», 6 marzo 2024. https://www.nist.gov/cyberframework/resources (consultato il 3 novembre 2026)
- CISA, «Cybersecurity Best Practices». https://www.cisa.gov/topics/cybersecurity-best-practices (consultato il 3 novembre 2026)
- NIST, «Cybersecurity and Privacy Reference Tool CPRT». https://csrc.nist.gov/projects/cprt/catalog (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «ISO 27001 e 27002: il sistema di gestione della sicurezza delle informazioni», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp376_it_2026,
author = {Brain},
title = {ISO 27001 e 27002: il sistema di gestione della sicurezza delle informazioni},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/iso-27001-27002-sgsi/},
note = {CC BY 4.0}
}