Segnalo un articolo scritto da me e Fabio Guasconi per il SC 27 Journal 2026.
L'articolo ha titolo "The Information Security Certification Market in Italy". Lo si trova qui, sotto "Volume 5, Issue 1 May 2026 – ISO/IEC 27001 Certification": https://committee.iso.org/sites/jtc1sc27/home/wg2.html.
La settimana del 9 marzo si è tenuto a Norimberga l'incontro semestrale del SC 27, che gestisce alcuni standard importanti per la sicurezza delle informazioni; in particolare la ISO/IEC 27001 e la ISO/IEC 27701.
Non ci sono state grandi novità da segnalare. In particolare il WG 5, che si occupa di privacy, ha lavorato su alcuni standard per me di scarso interesse perché decisamente specialistici.
Il WG 1, che si occupa degli standard relativi ai sistemi di gestione, ha lavorato sulle prossime versioni di:
Si è anche cominciato a discutere su come impostare le future versioni della ISO/IEC 27005 e ISO/IEC 27002. A mio parere si sta andando sempre più verso un'astrazione dei concetti, allontanandosi da praticità e quindi utilità dei documenti.
Sulla ISO/IEC 27003, per esempio, c'è stata una discussione sulla differenza tra accettare e mantenere il rischio. Sicuramente intellettualmente importantissima, ma non per un utilizzo pratico (da dire poi che si prevede che invece la ISO 31000 cambierà molta terminologia, introducendo nuovamente il "trasferimento" al posto della "condivisione" del rischio, concettualmente scorretto).
A metà settembre 2025 si è tenuto l'incontro semestrale dell'ISO/IEC JTC 1 SC 27 che si occupa della redazione di molti standard importanti per la sicurezza delle informazioni. Io non ho partecipato perché era a Kunming, in China, e gli standard discussi non erano di mio particolare interesse.
Però, con i rapporti prodotti, fornisco una sintesi delle decisioni più significative:
Grazie a un post di Fabrizio Cirilli su LinkedIn, segnalo che è stata pubblicata la SO/IEC 27018:2025 con titolo "Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors": https://www.iso.org/standard/27018.
Si tratta della precedente versione del 2019 aggiornata per allineamento alla versione del 2022 della ISO/IEC 27002. In pochissime parole: non c'è nessun cambiamento significativo, ma ovviamente andrà prestata attenzione alle differenze per evitare pasticci.
Per chi non lo sapesse, la ISO/IEC 27018 aggiunge alla ISO/IEC 27002 i controlli di sicurezza dei dati personali, applicabili ai fornitori di servizi cloud pubblici. Questi controlli, per chi li volesse applicare, possono essere utilizzati anche per le certificazioni ISO/IEC 27001 e l’organizzazione certificata può avere sul certificato ISO/IEC 27001 una frase del tipo “Certificazione ISO/IEC 27001 con l’aggiunta dei controlli della ISO/IEC 27018”.
Per alcuni controlli già presenti nella ISO/IEC 27002, sono fornite linee guida per l’implementazione aggiuntive, specifiche per la sicurezza dei dati personali nell’ambito dei servizi cloud pubblici.
In questi ultimi anni, questa aggiunta è stata richiesta in molti contesti e in particolare per la Pubblica amministrazione. Purtroppo però la norma è stata interpretata in modo piuttosto fantasioso (per esempio con certificazioni dedicate o richiedendo di includere nel SOA anche le linee guida per l’implementazione aggiuntive), ma spero che l’ultima circolare Accredia in materia porti ordine.
La settimana del 10 marzo si sono tenuti i meeting semestrali del ISO/IEC JTC SC 27 WG 1 (che gestisce le norme della serie ISO/IEC 27000) e WG 5 (che gestisce le norme relative alla privacy).
Per quanto riguarda il WG 1, sono state discusse le seguenti norme:
Per quanto riguarda il WG 3, confermo che non ne seguo i lavori, ma credo sia utile sapere che è prevista la nuova versione della ISO/IEC 15408 (i Common Criteria) per primavera 2026.
Per quanto riguarda il WG 5, ossia gli standard relativi alla privacy, segnalo quanto segue:
La settimana del 30 settembre si è tenuto l'incontro annuale del ISO/IEC JTC 1 SC 27 WG 1, ossia del gruppo che si occupa di redigere le norme della "famiglia ISO/IEC 27001".
Questa volta non ho partecipato perché l'incontro era in remoto, con orari favorevoli ai colleghi dell'estremo oriente (dalle 23 alle 3). Dai resoconti vedo quanto segue:
Prossimo incontro a marzo 2025 in presenza negli USA. Fortunatamente con tutti i WG dell'SC 27 (quindi anche quello sulla privacy di cui parlo altrove).
La settimana del 30 settembre si è tenuto l'incontro annuale del ISO/IEC JTC 1 SC 27 WG 5, ossia del gruppo che si occupa di redigere le norme ISO sulla privacy, inclusa la ISO/IEC 27701.
Questa volta non ho partecipato perché l'incontro era in remoto, con orari favorevoli ai colleghi dell'estremo oriente (dalle 23 alle 3). Dai resoconti vedo quanto segue:
Ulteriore argomento di interesse è che l’ISO/IEC JTC 1 vuole aprire un “ad hog group”, detto AHG 9, che si occupi della “consumer privacy”, ossia della privacy per i consumatori. Ovviamente, il fatto che ci siano due gruppi (SC 27 WG 5 e AHG 9) che si occupano di privacy è assurdo. Vedremo cosa succederà.
Prossimo incontro a marzo 2025 in presenza negli USA. Fortunatamente con tutti i WG dell'SC 27.
Franco Vincenzo Ferrari mi ha segnalato un articolo di Matteo Sironi e Fabio Guasconi dal titolo "Dalla ISO 27001 alla compliance DORA: conformità e sicurezza in pochi passaggi": https://www.cybersecitalia.it/dalla-iso-27001-alla-compliance-dora-conformita-e-sicurezza-in-pochi-passaggi/35356/.
In poche parole mi ha fatto capire meglio il DORA (a un livello molto generale) e alcune sue caratteristiche.
La ISO/IEC 27006-1 è stata aggiornata nel 2024 e gli organismi di certificazione che certificano ISO/IEC 27001 devono adattarsi. IAF ha pubblicato le linee guida e i termini per adeguarsi: https://iaf.nu/en/news/iaf-publishes-md-for-transition-to-iso-iec-27006-12024/.
Tutto ciò non riguarda le organizzazioni che si certificano.
Grazie a Franco Vincenzo Ferrari per la segnalazione.
Segnalo questo mio articolo dal titolo "Valutare il rischio cyber, la scelta dei controlli di sicurezza e le check list": https://www.agendadigitale.eu/sicurezza/valutare-il-rischio-cyber-la-scelta-dei-controlli-di-sicurezza-e-le-check-list/.
Mi soffermo sulla necessità di non scegliere le misure di sicurezza solo perché sono indicate da liste più o meno autorevoli, ma anche sulla base di una valutazione del rischio.
Tra fine marzo e metà aprile si sono tenuti i meeting semestrali del WG 1 e del WG 5 del ISO/IEC JTC 1 SC 27, ossia dei gruppi che si occupano degli standard ISO/IEC legati ai sistemi di gestione per la sicurezza delle informazioni (ISO/IEC 27001 e linee guida) e alla privacy (ISO/IEC 27701 e altre).
Per quanto riguarda il WG 1, sono stati discussi gli standard ISO/IEC 27003 (guida per i sistemi di gestione per la sicurezza delle informazioni) e ISO/IEC 27017 (controlli per i servizi cloud). Non saranno pubblicati a breve.
Si è fatto anche il punto sugli standard oggetto di discussione nel corso del semestre. Inoltre sono partiti i lavori per l'aggiornamento della ISO/IEC 27004 (guida per la misurazione).
Partirà anche un gruppo per verificare se è opportuno avviare azioni relative ai cambiamenti climatici, che sono entrati nella ISO/IEC 27001 (anticipo che l'idea di partenza sembra essere un "nessuna azione", ma tutto potrà cambiare, ovviamente).
Per quanto riguarda il WG 5, io ho partecipato alle attività relative alla nuova versione delle ISO/IEC 27701 (sistemi di gestione per la privacy), ISO/IEC 27018 (controlli privacy per il cloud), ISO/IEC 27006-2 (per gli organismi che certificano rispetto alla ISO/IEC 27706 e che forse sarà rinumerata ISO/IEC 27706), ISO/IEC 29151 (con l'estensione alla privacy dei controlli ISO/IEC 27002).
Si prevede l'uscita delle norme in discussione tra fine 2024 e inizio 2025.
Segnalo la pubblicazione dell'SC 27 Journal Volume 3, Issue 4 Oct 2023 – Auditing Practice Articles: https://committee.iso.org/sites/jtc1sc27/home/wg2.html.
Si tratta di un insieme di chiarimenti sulla ISO/IEC 27001 non ufficiali scritti dagli stessi esperti del gruppo che ha scritto la ISO/IEC 27001.
Vale la pena leggerli, anche perché troppo spesso opportunità di miglioramento (p.e. di integrazione del SOA o di irrobustimento dei controlli) sono interpretate da troppi auditor e consulenti e docenti come requisiti.
Su questo vale la pensa osservare come molte energie sono spese nella valutazione del rischio e poi nell’implementare i controlli “come nell’Annex A o nella ISO/IEC 27002” e questo sia in contraddizione: la valutazione del rischio deve guidare la scelta dei controlli e di come realizzarli, non il fatto che siano presenti nell’Annex A.
Non c’è solo questo negli articoli e invito a leggerli.
Pubblicata la nuova versione della ISO/IEC 27006-1 dal titolo " Information security, cybersecurity and privacy protection - Requirements for bodies providing audit and certification of information security management systems — Part 1: General": https://www.iso.org/standard/82908.html.
Questo è uno standard che usano gli organismi di certificazione per le attività di certificazione ISO/IEC 27001 e non fornisce indicazioni utili per le altre organizzazioni.
Pubblicata (e disponibile dal 20 febbraio) la UNI CEI EN ISO/IEC 27001:2024 "Sicurezza delle informazioni, cybersecurity e protezione della privacy - Sistemi di gestione per la sicurezza delle informazioni - Requisiti": https://store.uni.com/uni-cei-en-iso-iec-27001-2024.
Il testo è lo stesso della ISO/IEC 27001:2022, che è anche lo stesso della EN ISO/IEC 27001:2023. Cambiano solo gli anni di recepimento, in modo da confondere un po' gli utilizzatori (scherzo).
Io continuerò a far riferimento alla ISO/IEC 27001:2022 perché è il titolo più corto.
Ringrazio Fabio Guasconi di Bl4ckSwan per avermelo segnalato.
Ho scritto questo lungo articolo dal titolo "Sicurezza delle informazioni: come usare la nuova ISO/IEC 27001:2022": https://www.agendadigitale.eu/sicurezza/sicurezza-delle-informazioni-come-usare-la-nuova-iso-iec-270012022/.
Buona lettura.
In aprile si sono conclusi i meeting semestrali del WG 1 e del WG 5 del ISO/IEC JTC 1 SC 27. Si tratta dei gruppi che seguono le norme ISO/IEC 27001, 27002, 27005 eccetera e le norme sulla privacy, inclusa la ISO/IEC 27701.
Per quanto riguarda il WG 1, le attività si sono svolte online e, in realtà, il meeting è servito a sintetizzare le attività svolte in altri incontri da ottobre.
Si sono avviati i lavori per la revisione di ISO/IEC 27000 (panoramica sui SGSI), 27003 (guida alla 27001) e 27004 (sulle misurazioni). Si tratta di norme molto importanti.
Si è poi deciso di non avviare i lavori per una nuova ISO/IEC 27001, anche se la versione del 2022 era stata approntata rapidamente per aggiornare l'Annex A seguendo alla nuova ISO/IEC 27002 e recepire le modifiche all'HLS.
Ci è stato comunicato che, a livello IAF (ossia l'ente che promuove e controlla le attività di accreditamento), sono stati uniti i gruppi che si occupano di ISO/IEC 27001 e ISO/IEC 20000 per ottenere una maggiore coerenza negli accreditamenti relativi alla sicurezza dei dati e all'informatica. Viene da ridere, pensando che molti vorrebbero che la ISO/IEC 20000-1 si occupi di servizi in generale e che la ISO/IEC 27001 non si occupa solo di sicurezza informatica (o cybersecurity).
Per quanto riguarda le attività del WG 5, che si occupa di privacy, sono proseguiti i lavori per la ISO/IEC 27006-2 (ossia le regole di accreditamento). Sono stati avviati i lavori per una norma sulla privacy e intelligenza artificiale (ISO/IEC 27091). Ho notato poi molto lavoro per gli standard relativi alla verifica dell'età.
Importante, a mio avviso, è il lavoro in fase di conclusione per la ISO/IEC 27701, ossia la norma per la certificazione dei sistemi di gestione per la privacy (estensione della ISO/IEC 27001). Infatti la norma passa in stato di FDIS e quindi entro fine anno dovrebbe uscirne la versione aggiornata. Non bisogna aspettarsi nulla di nuovo se non l'allineamento alle ISO/IEC 27001:2022 e ISO/IEC 27002:2022.
Su questo fronte, i lavori per l'aggiornamento della ISO/IEC 27018 (privacy per fornitori di servizi cloud, estensione della ISO/IEC 27002) procedono a rilento.
Sarà pubblicata una nuova versione della ISO/IEC 29134 sulla DPIA, ma riporterà solo aggiornamenti non significativi rispetto all'edizione attuale (su questo avevo già scritto in passato che è un peccato, visto che la norma richiederebbe un aggiornamento significativo, basato sull'esperienza maturata in questi anni.
