ISMS (SGSI): cos'è e come è fatto, punto per punto

La risposta breve: un ISMS (Information Security Management System), in italiano SGSI, è il sistema di gestione con cui un'organizzazione governa la sicurezza delle informazioni: valuta i rischi, sceglie i controlli, verifica che funzionino e corregge quello che non va. Non è un software né un elenco di misure tecniche. I requisiti li fissa la norma ISO/IEC 27001.

Qui sotto: cosa vuol dire la sigla, che differenza c'è fra ISMS, ISO 27001 e certificazione, come è fatto un SGSI e quali documenti lascia. Il percorso verso il certificato è nella guida su come ottenere la certificazione ISO 27001.

ISMS e SGSI: la stessa cosa in due lingue

ISMS è la sigla inglese, SGSI quella italiana. L'equivalenza la scrive UNI, l'ente italiano di normazione, nella scheda della ISO/IEC 27000, la norma di panoramica e vocabolario, che parla di "sistemi di gestione per la sicurezza delle informazioni o SGSI (information security management systems, ISMS)". Nei titoli italiani delle norme si legge per la sicurezza delle informazioni, nell'uso comune spesso della: è la stessa cosa.

Che cosa fa un SGSI lo dice l'introduzione della ISO/IEC 27001, leggibile nell'anteprima ufficiale UNI: preserva la riservatezza, l'integrità e la disponibilità delle informazioni applicando un processo di gestione del rischio, e dà alle parti interessate fiducia che i rischi siano gestiti in modo adeguato. Due parole contano più delle altre.

• Informazioni, non solo sistemi informatici. Per questo i controlli di riferimento della norma sono organizzativi, sulle persone e fisici, oltre che tecnologici.
• Rischio. Il sistema non applica tutte le misure possibili: sceglie quelle proporzionate ai rischi che ha valutato, e sa spiegare perché.

ISMS, ISO 27001 e certificazione non sono la stessa cosa

Le tre parole si usano come sinonimi, ma indicano cose diverse.

• Il SGSI è il sistema: il modo in cui l'azienda decide e lavora sulla sicurezza delle informazioni. Esiste o non esiste, a prescindere dal certificato.
• La ISO/IEC 27001 è la norma che dice che cosa quel sistema deve avere. In Italia è la UNI CEI EN ISO/IEC 27001:2024+A1:2024, Sicurezza delle informazioni, cybersecurity e protezione della privacy - Sistemi di gestione per la sicurezza delle informazioni - Requisiti, in vigore dal 16 ottobre 2024, che riprende la ISO/IEC 27001:2022 con il suo aggiornamento Amd 1:2024.
• La certificazione è la verifica, fatta da un organismo di certificazione, che il sistema rispetta la norma. L'introduzione della 27001 lo mette in conto: la norma può essere usata da parti interne ed esterne per valutare la capacità di un'organizzazione di soddisfare i propri requisiti di sicurezza.

Due conseguenze pratiche. Si può avere un SGSI senza certificato, e usarlo con clienti, soci o autorità; non si può avere un certificato senza un SGSI in esercizio. E i requisiti non si scelgono: il punto 1 della norma stabilisce che chi dichiara la conformità non può escludere nessuno dei requisiti dei punti dal 4 al 10. Si scelgono invece, in base al rischio, i controlli dell'Appendice A.

Le norme intorno al SGSI

• ISO/IEC 27000: panoramica e vocabolario. In Italia è la UNI CEI EN ISO/IEC 27000:2020, che adotta la ISO/IEC 27000:2018.
• ISO/IEC 27001: i requisiti del sistema, quelli su cui si certifica.
• ISO/IEC 27002: i controlli di riferimento, con le linee guida per attuarli. La scheda UNI della UNI CEI EN ISO/IEC 27002:2023 la indica, fra gli usi previsti, per un SGSI basato sulla 27001.

Come è fatto un SGSI

La ISO/IEC 27001 descrive il sistema nei punti di requisiti dal 4 al 10 e lo completa con l'Appendice A (nell'uso comune Allegato A, o Annex A), che elenca i controlli di riferimento. L'ordine dei requisiti, avverte la norma, non ne indica l'importanza né la sequenza di attuazione. In pratica sono sei blocchi di lavoro.

1. Contesto e campo di applicazione (punto 4)

Si parte dall'organizzazione e da chi ha aspettative sulla sua sicurezza: clienti, autorità, soci, fornitori (punti 4.1 e 4.2). Poi si decide il campo di applicazione (4.3): quali sedi, processi e servizi entrano nel sistema. È la scelta che pesa di più su tutto il resto. Un campo troppo largo moltiplica il lavoro, uno troppo stretto lascia fuori proprio ciò che il cliente vuole vedere coperto.

Dal 2024 ci sono due righe in più. L'aggiornamento sul clima, applicato a tutte le norme ISO sui sistemi di gestione, chiede al punto 4.1 di stabilire se il cambiamento climatico sia un fattore rilevante e aggiunge al 4.2 una nota sui requisiti che le parti interessate possono avere in materia. Per un SGSI la domanda riguarda, per esempio, sedi e data center esposti a eventi estremi. UNI riporta che, secondo il comunicato congiunto di ISO e IAF, la modifica non ha impatto sui certificati in vigore.

2. Leadership e politica (punto 5)

La direzione si impegna (5.1), approva una politica per la sicurezza delle informazioni (5.2) e assegna ruoli, responsabilità e autorità (5.3). L'introduzione della norma definisce l'adozione di un SGSI una decisione strategica, e in pratica vuol dire questo: qualcuno risponde del sistema, la direzione decide quali rischi accettare e le risorse arrivano davvero.

3. Rischio e controlli (punti 6 e 8)

È il motore del sistema. Si stabilisce come valutare i rischi relativi alla sicurezza delle informazioni (6.1.2) e come trattarli (6.1.3), poi valutazione e trattamento entrano nelle attività operative (8.2 e 8.3). Nella prassi, trattare un rischio vuol dire decidere se ridurlo con dei controlli, trasferirlo, evitarlo o accettarlo in modo consapevole.

I controlli si scelgono confrontandoli con l'Appendice A, che li raggruppa in quattro temi: organizzativi, persone, fisici e tecnologici. La scelta si registra nella Dichiarazione di Applicabilità (SoA, Statement of Applicability), che fa parte del trattamento del rischio: per ogni controllo dice se si applica e perché. Elenco e contenuto dei controlli sono nell'articolo sull'Allegato A della ISO 27001.

Completano il blocco gli obiettivi per la sicurezza delle informazioni, con il piano per raggiungerli (6.2), e la pianificazione delle modifiche al sistema (6.3).

4. Persone, risorse e documenti (punto 7)

Risorse, competenze, consapevolezza, comunicazione e informazioni documentate, cioè come i documenti si creano, si aggiornano e si tengono sotto controllo. Qui si vede se il sistema arriva alle persone: se chi riceve una mail sospetta sa cosa fare, se tutti usano la versione valida di una procedura.

5. Misura, audit interno e riesame (punto 9)

Il sistema si misura: monitoraggio, misurazione, analisi e valutazione (9.1), un programma di audit interni (9.2) e il riesame di direzione (9.3), con i suoi elementi in ingresso e i suoi risultati.

6. Miglioramento (punto 10)

Le nonconformità si gestiscono con azioni correttive (10.2) e il sistema migliora in modo continuo (10.1). Messi in fila, i sei blocchi formano un ciclo: si pianifica, si fa, si verifica, si corregge, e si riparte da un quadro dei rischi aggiornato.

Quali documenti lascia un SGSI

Un SGSI in esercizio si riconosce dalle tracce che produce. L'elenco segue i punti della norma; il livello di dettaglio lo decide l'organizzazione.

• Il campo di applicazione, con sedi, processi e confini.
• La politica per la sicurezza delle informazioni, approvata dalla direzione.
• Il metodo di valutazione del rischio, i risultati e il piano di trattamento.
• La Dichiarazione di Applicabilità.
• Gli obiettivi di sicurezza e il modo in cui si misurano.
• Le evidenze di competenze e formazione.
• Il programma e i rapporti degli audit interni.
• I verbali dei riesami di direzione.
• Le nonconformità aperte e chiuse, con le azioni correttive.

A questi si aggiungono le politiche e le procedure dei controlli scelti: accessi, backup, fornitori, incidenti. Un auditor o un cliente che chiede di vedere il tuo SGSI di solito parte da qui.

Un SGSI su misura

Il punto 1 dichiara i requisiti applicabili a tutte le organizzazioni, indipendentemente da tipologia, dimensione e natura. Ma non chiede a tutti lo stesso sistema: l'introduzione si aspetta un SGSI commisurato alle necessità dell'organizzazione e parte integrante dei suoi processi e della sua struttura gestionale.

Per un'azienda mid-market vuol dire due cose. Un SGSI non è un ufficio in più, ma un modo di decidere che passa per le funzioni esistenti: IT, acquisti, risorse umane, direzione. E chi ha già un sistema di gestione, per esempio una ISO 9001, non riparte da zero: secondo la sua introduzione, la 27001 usa la struttura comune delle norme sui sistemi di gestione, utile a chi vuole un unico sistema per due o più norme. Audit interno, riesame, gestione documentale e azioni correttive si riusano. La struttura comune è spiegata nell'articolo sulle certificazioni ISO.

Cosa un SGSI non è

• Non è un software. Gli strumenti di compliance automation aiutano a raccogliere le evidenze e a tenere traccia dei controlli, ma il sistema sono le decisioni: campo di applicazione, rischi accettati, controlli scelti, riesami.
• Non è un progetto dell'IT. Coinvolge direzione, persone, fornitori e sedi fisiche.
• Non è il certificato. Il certificato è l'esito di una verifica; il SGSI è ciò che deve funzionare ogni giorno, anche fra un audit e l'altro. I punti 9 e 10 esistono per questo.

SGSI e NIS2

Il D.Lgs. 138/2024, all'articolo 24, chiede ai soggetti essenziali e importanti misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete, basate su un approccio multi-rischio. Fra gli elementi minimi ci sono le politiche di analisi dei rischi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento e le procedure per valutare l'efficacia delle misure; chi scopre di non essere conforme adotta senza indebito ritardo le misure correttive.

Nella sostanza è il ciclo di un SGSI. L'articolo però non nomina la ISO/IEC 27001: chiede di tener conto, ove applicabile, delle pertinenti norme nazionali, europee e internazionali. E alcuni obblighi restano a sé, come la notifica al CSIRT Italia degli incidenti con impatto significativo (articolo 25). Dove la 27001 aiuta e dove non basta lo spieghiamo in NIS2 vs ISO 27001.

Da dove si parte

1. Il perché. Un cliente che chiede la 27001, una gara, gli obblighi NIS2, la scelta di governare meglio i rischi: la risposta orienta il campo di applicazione.
2. La distanza. Una gap analysis ISO 27001 confronta quello che l'azienda fa già con i punti dal 4 al 10 e con i controlli dell'Appendice A.
3. La costruzione e l'esercizio. Si costruiscono i sei blocchi, poi, nella prassi, il sistema gira per un periodo, con almeno un audit interno e un riesame di direzione, prima di chiamare un organismo di certificazione.

Per la visione d'insieme della norma, dai controlli alla certificazione, parti dalla guida completa alla ISO 27001.

In sintesi

ISMS e SGSI sono la stessa cosa: il sistema con cui un'organizzazione tiene sotto controllo i rischi per riservatezza, integrità e disponibilità delle informazioni. La ISO/IEC 27001 ne fissa i requisiti nei punti dal 4 al 10, che non si escludono, e offre nell'Appendice A i controlli, che si scelgono in base al rischio. Il certificato è la verifica: il sistema viene prima e resta dopo.

Se vuoi capire quanto del tuo modo di lavorare è già un SGSI e quanto manca, guarda come affianchiamo le aziende mid-market sulla ISO 27001.