Politica per la sicurezza delle informazioni (ISO 27001)

La politica per la sicurezza delle informazioni è il documento con cui l'alta direzione dichiara come l'azienda governa la sicurezza delle informazioni. La ISO/IEC 27001 la chiede al punto 5.2: adatta alle finalità dell'azienda, quadro per gli obiettivi, impegno sui requisiti applicabili e sul miglioramento continuo, documentata e comunicata. Le regole di dettaglio stanno nelle politiche specifiche per tema.

Cos'è la politica per la sicurezza delle informazioni

La Harmonized Structure, il testo comune alle norme ISO sui sistemi di gestione, nella traduzione pubblicata da UNI definisce la politica come gli orientamenti e gli indirizzi di un'organizzazione espressi in modo formale dalla sua alta direzione. L'alta direzione è chi guida e tiene sotto controllo l'organizzazione al livello più elevato: amministratore delegato, direzione generale, consiglio di amministrazione. Non l'ufficio IT che di solito scrive la bozza.

In un sistema di gestione per la sicurezza delle informazioni (SGSI) le politiche stanno su due livelli:

• La politica generale, una sola, firmata dall'alta direzione: perché l'azienda si occupa di sicurezza delle informazioni, con quali impegni, in quale perimetro.
• Le politiche specifiche per tema: accessi, backup, fornitori, incidenti e così via. ENISA, nella sua guida tecnica sulle misure NIS2, riporta la definizione della ISO/IEC 27002:2022: orientamenti e indirizzi su un argomento specifico, espressi in modo formale dal livello di direzione appropriato.

Cosa chiede la ISO/IEC 27001 al punto 5.2

Nella UNI CEI EN ISO/IEC 27001:2024+A1:2024, il recepimento italiano della ISO/IEC 27001:2022, il requisito sta nel capitolo 5 Leadership, fra il 5.1 Leadership e impegno e il 5.3 Ruoli, responsabilità e autorità. La premessa dice che il testo è stato allineato con la struttura armonizzata, e nel testo comune l'alta direzione deve stabilire una politica che:

1. sia appropriata alle finalità dell'organizzazione;
2. costituisca un quadro di riferimento per fissare gli obiettivi;
3. comprenda l'impegno a soddisfare i requisiti applicabili;
4. comprenda l'impegno per il miglioramento continuo del sistema di gestione.

La politica deve poi essere disponibile come informazione documentata, comunicata all'interno dell'organizzazione e disponibile alle parti interessate, per quanto appropriato. La 27001 applica questo schema alla sicurezza delle informazioni: per la formulazione esatta fa fede il testo della norma, che è a pagamento.

La politica torna anche altrove nel testo comune: l'alta direzione assicura che sia compatibile con gli indirizzi strategici (5.1), gli obiettivi devono essere coerenti con la politica (6.2), le persone devono esserne consapevoli (7.3), il riesame di direzione decide le modifiche al sistema (9.3). E non si può saltare: il punto 1 della ISO/IEC 27001 stabilisce che chi dichiara la conformità non può escludere nessun requisito dei punti dal 4 al 10. Il testo comune non fissa invece una frequenza di revisione: la sceglie l'azienda, salvo che una legge la fissi per lei.

Il controllo 5.1 dell'Allegato A: le politiche per tema

L'Allegato A della 27001 (nella versione UNI, Appendice A, prospetto A.1) elenca i controlli di riferimento. La premessa della norma dice che il testo è allineato con la UNI CEI EN ISO/IEC 27002:2023, e la guida ENISA precisa che i controlli dell'Allegato A derivano direttamente da quelli della 27002. Il controllo che qui interessa è il 5.1. La panoramica dei controlli è nell'articolo sull'Allegato A della ISO 27001.

La differenza fra 5.2 e 5.1 non è di numerazione:

• il punto 5.2 è un requisito del sistema di gestione, non escludibile;
• il controllo 5.1 è un controllo dell'Allegato A: come gli altri si usa nel trattamento del rischio del punto 6.1.3, come ricorda anche la guida ENISA.

Nella prassi dei progetti 27001 il controllo 5.1 è il posto dove si governa l'insieme delle politiche per tema: quali esistono, chi le approva, chi le riceve, quando si rileggono (il testo esatto del controllo è nella norma). Quali servono dipende dai rischi e dai controlli scelti. In un'azienda mid-market le più frequenti sono controllo degli accessi, uso accettabile di dispositivi e servizi, backup, crittografia, fornitori, gestione degli incidenti, lavoro da remoto e, se si sviluppa software, sviluppo sicuro. Ognuna ha senso solo se rimanda a procedure che le persone applicano.

Come si struttura una politica per la sicurezza delle informazioni

Una struttura che regge parte dai quattro elementi del 5.2. Come lista di controllo usiamo anche il punto 1.1.1 dell'allegato al Regolamento di esecuzione (UE) 2024/2690, che elenca cosa deve contenere la politica di sicurezza dei sistemi informativi e di rete. Il regolamento vale solo per alcuni fornitori digitali (fra gli altri DNS, cloud, data center, servizi gestiti e di sicurezza gestiti), ma la scaletta è utile a tutti.

1. Scopo e campo di applicazione: sedi, processi, sistemi e persone. Deve coincidere con il perimetro del SGSI.
2. Approccio e legame con la strategia: cosa fa l'azienda, quali informazioni contano per i clienti, perché la sicurezza serve al business.
3. Obiettivi: la politica li fissa o fa da quadro per fissarli. I valori numerici stanno nel piano degli obiettivi.
4. I due impegni obbligatori: rispettare i requisiti applicabili (di legge, contrattuali, dei clienti) e migliorare in modo continuo il sistema.
5. Risorse: il regolamento 2024/2690 chiede un impegno esplicito su personale, risorse finanziarie, processi, strumenti e tecnologie.
6. Ruoli e responsabilità: chi risponde della sicurezza e a chi riferisce.
7. Elenco delle politiche per tema, con chi approva ciascuna.
8. Comunicazione, presa visione ed eccezioni: chi la riceve, come conferma di averla letta, chi autorizza una deroga.
9. Riesame e approvazione: versione, data, firma, frequenza di revisione. Il testo comune chiede che ogni informazione documentata sia identificata (per esempio titolo, data, autore o numero di riferimento), riesaminata e approvata (7.5.2).

Un esempio

Inventato, per mostrare il metodo e non per essere copiato: un'azienda che sviluppa e gestisce un gestionale in cloud.

Politica per la sicurezza delle informazioni, revisione 3, approvata dal consiglio di amministrazione il [data]. Gestiamo in cloud i dati amministrativi dei nostri clienti, che contano sul fatto che restino riservati, corretti e disponibili negli orari di lavoro. La direzione si impegna a:

• rispettare i requisiti di legge, contrattuali e dei clienti che si applicano ai dati che trattiamo;
• fissare ogni anno obiettivi di sicurezza misurabili e verificarli nel riesame di direzione;
• mettere a disposizione persone, budget e strumenti adeguati ai rischi valutati;
• dare a ogni persona regole e formazione per lavorare in sicurezza, descritte nelle politiche per tema in allegato;
• migliorare in modo continuo il sistema di gestione per la sicurezza delle informazioni.

Il responsabile del sistema è [ruolo] e riferisce al consiglio di amministrazione. La politica è comunicata a tutto il personale, che ne conferma la presa visione, ed è pubblicata sul sito. È riesaminata ogni anno, o prima in caso di incidenti significativi o cambiamenti rilevanti.

Chi approva la politica e le politiche per tema

Per la ISO/IEC 27001 la politica la stabilisce l'alta direzione. La prepara di solito il responsabile della sicurezza o il consulente, ma la firma è di chi decide: una politica firmata solo dall'IT apre in audit una domanda sull'impegno della direzione. Per le politiche per tema la guida ENISA indica l'approvazione da parte di un livello di direzione appropriato.

Per i soggetti NIS2 italiani la regola è più stretta. Le misure di sicurezza di base dell'ACN (allegati 1 e 2 della determinazione 379907/2025) stabiliscono alla misura GV.PO-01 che le politiche di sicurezza informatica sono approvate dagli organi di amministrazione e direttivi, e la Guida alla lettura dell'ACN le mette fra i documenti che quegli organi devono approvare. Riguarda le politiche per ambito richieste dalla misura, non solo un documento di vertice.

Come si comunica

Oltre a comunicazione interna e disponibilità alle parti interessate, il testo comune chiede di decidere cosa comunicare, quando, a chi e come (7.4). In pratica:

• La politica generale si può pubblicare: è il documento che i clienti chiedono nei questionari di sicurezza sui fornitori. ENISA ricorda di non metterci informazioni riservate se esce dall'azienda.
• Le politiche per tema vanno a chi ne ha bisogno: le misure ACN parlano di renderle note alle articolazioni competenti tenendo conto del need to know.
• La presa visione va registrata. La guida tecnica di ENISA suggerisce un documento firmato o una conferma digitale, anche dentro i contratti di lavoro o di fornitura, e ammette che a una persona arrivi solo un estratto pertinente al suo ruolo.

Politica ISO 27001 e politiche NIS2

Il D.Lgs. 138/2024 mette le politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete al primo posto fra gli elementi minimi delle misure di gestione del rischio (art. 24, comma 2, lettera a). Le misure di base dell'ACN sono 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per gli essenziali, secondo la Guida alla lettura. Sulle politiche contano due misure:

• GV.PO-01: politiche documentate per almeno 16 ambiti, dalla gestione del rischio alla risposta agli incidenti, che coprono almeno i requisiti indicati nella tabella 1 in appendice agli allegati, approvate dagli organi di amministrazione e direttivi;
• GV.PO-02: riesame almeno annuale, e in più quando cambiano le norme, ci sono incidenti significativi, cambia l'organizzazione o l'esposizione alle minacce, con la verifica della conformità alla normativa. Per i soggetti essenziali si aggiunge un registro aggiornato con gli esiti del riesame.

Un SGSI 27001 fatto bene copre gran parte dell'impianto, e la Guida ACN lascia libero il soggetto di organizzare la documentazione in un unico documento o in più documenti. Chi è certificato e diventa soggetto NIS2 controlla tre cose: che i 16 ambiti siano coperti, che le politiche siano approvate dagli organi e non solo dalla funzione, che il riesame sia almeno annuale (e registrato, per gli essenziali). Il confronto completo è in NIS2 e ISO 27001.

Per i fornitori soggetti al regolamento 2024/2690 il riesame almeno annuale spetta agli organi di gestione, con esito documentato (punto 1.1.2). La tabella di corrispondenza di ENISA collega il punto 1.1 del regolamento, cioè la politica nel suo insieme, ai punti 5.2 e 9.3 e ai controlli A.5.1, A.5.4 e A.5.36 della 27001, precisando che è consultiva e non misura un'equivalenza.

Gli errori tipici

• La politica scaricata da un modello: riservatezza, integrità e disponibilità in astratto, valida per chiunque.
• Firmata da chi non decide: la norma la chiede all'alta direzione, e per NIS2 servono gli organi di amministrazione.
• Ferma da anni: l'azienda è passata al cloud o ha cambiato fornitori, la politica no.

Chi ha già la ISO 9001 conosce lo schema: è lo stesso punto 5.2 applicato alla qualità, come racconta l'articolo sulla politica per la qualità. Le due politiche possono stare in un documento integrato, se coprono i requisiti di entrambe le norme e restano leggibili.

In sintesi

La politica per la sicurezza delle informazioni è la dichiarazione formale dell'alta direzione su come l'azienda governa la sicurezza delle informazioni: la chiede il punto 5.2 della ISO/IEC 27001, mentre il controllo 5.1 dell'Allegato A governa le politiche per tema che la rendono operativa. Dove si colloca nel percorso verso il certificato lo trovi in come ottenere la certificazione ISO 27001 e nella guida completa alla ISO 27001. Gli altri documenti da avere pronti per l'audit sono nell'elenco dei documenti obbligatori ISO 27001.

Se stai scrivendo o rivedendo le politiche del tuo SGSI, anche in vista delle misure NIS2, trovi come lavoriamo nella pagina sulla certificazione ISO 27001.