Periodo finale nel calendario di transizione ISO/IEC 27001:2022
Il periodo entro cui le organizzazioni certificate secondo la revisione 2013 devono completare i propri audit di transizione.
La ISO/IEC 27001:2022 ha riorganizzato l'insieme dei controlli del sistema di gestione della sicurezza delle informazioni: i controlli sono stati raggruppati in quattro temi e sono stati aggiunti argomenti di minaccia attuali. Per le organizzazioni certificate, la transizione non consiste nel ricostruire il sistema ma nel mappare l'insieme dei controlli sulla nuova struttura.
Al centro della transizione vi è l'aggiornamento della Dichiarazione di Applicabilità (SoA): il motivo per cui ciascun controllo è applicato o meno viene riformulato rispetto alla nuova struttura. La valutazione del rischio è la base di tale giustificazione.
Alla scadenza del periodo di transizione, i certificati rilasciati secondo la vecchia edizione perdono validità. Per le organizzazioni che rimandano all'ultimo periodo, il collo di bottiglia è di solito l'appuntamento di audit, non la documentazione.
La finestra di transizione si è chiusa
Il periodo definito da IAF MD 26 per la transizione alla ISO/IEC 27001:2022 era di 36 mesi, e tale finestra si è chiusa: i certificati ISO/IEC 27001:2013 senza transizione completata dovevano scadere o essere ritirati dopo il 31 ottobre 2025.
Ciò significa che un certificato valido del sistema di gestione della sicurezza delle informazioni deve oggi essere rilasciato secondo la ISO/IEC 27001:2022. Un certificato che fa riferimento all'edizione del 2013 non è considerato una prova di conformità attuale.
Il calendario prevedeva anche tappe intermedie: che gli organismi di accreditamento fossero pronti a valutare l'edizione del 2022 e che gli organismi di certificazione iniziassero a effettuare la certificazione iniziale e la ricertificazione solo secondo l'edizione del 2022 facevano parte di quel processo.
Cosa fa un'organizzazione che ha mancato la transizione
Un certificato scaduto non può essere salvato con una "transizione"; il processo si svolge come una nuova certificazione. Ciò significa un ciclo di audit completo anziché un audit di sorveglianza, e una tempistica più lunga.
Nel frattempo il lato commerciale continua a operare: presentare un certificato scaduto come se fosse valido produce un fallimento nella due diligence del cliente, controversie contrattuali e problemi nella valutazione dei fornitori.
La struttura introdotta dall'edizione del 2022
La revisione del 2022 ha riorganizzato i controlli dell'Allegato A: i controlli sono stati raggruppati in quattro temi e ne sono stati aggiunti di nuovi. La Dichiarazione di Applicabilità (SoA) deve essere ricostruita secondo questa nuova struttura.
In pratica la parte più difficile non è mappare i controlli esistenti sulla nuova numerazione, ma stabilire una prassi realmente funzionante per i controlli di nuova aggiunta. La mappatura è un esercizio di tabella; l'attuazione è un esercizio di processo.
Cosa garantisce un sistema di gestione della sicurezza delle informazioni
Un certificato di sistema di gestione della sicurezza delle informazioni non dimostra che l'organizzazione non subirà mai una violazione; dimostra che l'organizzazione conosce i propri asset informativi, ha valutato i propri rischi e gestisce i controlli che ha selezionato.
Il nucleo del sistema è la valutazione del rischio e la selezione dei controlli. L'elenco dei controlli nell'allegato della norma non è un elenco di obblighi: l'organizzazione decide quali controlli applicare in base alla propria valutazione del rischio e scrive la giustificazione per quelli che non applica.
Questo documento di giustificazione è l'elemento più esaminato in un audit: non applicare un controllo non è un difetto; lasciarlo senza giustificazione lo è.
Cosa fare nel periodo finale di una transizione
Nel periodo finale di una transizione entrano in gioco insieme due rischi: il calendario dell'auditor si stringe e il tempo rimanente per chiudere eventuali non conformità riscontrate si riduce. Quando i due si combinano, la validità del certificato può interrompersi.
Il lavoro da svolgere in quel periodo finale non è quindi avviare un nuovo esercizio, ma prima stabilire chiaramente la posizione attuale: quali clausole sono soddisfatte, quali registrazioni mancano e quando si può ottenere un appuntamento per l'audit.
Riorganizzare l'insieme dei controlli è il compito più visibile della transizione: i controlli vengono mappati sul nuovo raggruppamento e la dichiarazione di applicabilità viene rinnovata secondo tale struttura. Tecnicamente si tratta di un esercizio di mappatura; i controlli stessi non devono essere ricostruiti.
Cosa fare?
- 1Controllate la data di validità del vostro certificato e il tempo di transizione rimanente.
- 2Riorganizzate la SoA secondo la nuova struttura dei controlli.
- 3Prenotate in anticipo l'appuntamento per l'audit di transizione.
Questo articolo ha scopo informativo e non costituisce parere legale. Il modo in cui una normativa si applica al vostro prodotto dipende dalle caratteristiche tecniche del prodotto e dal mercato di destinazione; l'ambito esatto può essere determinato solo esaminando il prodotto.