ISO/IEC 27001

Lo standard ISO/IEC 27001 (Tecnologia delle informazioni - Tecniche di sicurezza - Sistemi di gestione della sicurezza delle informazioni - Requisiti) è una norma internazionale che contiene i requisiti per impostare e gestire un sistema di gestione della sicurezza delle informazioni (SGSI o ISMS, dall'inglese Information Security Management System). Fa parte della serie di norme ISO 27000 per la sicurezza e gestione delle informazioni.

La ISO 27001 non è (unicamente) uno standard di sicurezza informatica in quanto, oltre alla sicurezza logica, include la sicurezza fisica/ambientale e la sicurezza organizzativa.

Derivazioni e prima versione

La norma è stata redatta e pubblicata nell'ottobre 2005 (la versione italiana UNI è del 2006) a fine certificativo, in modo da costituire un sistema completo per garantire la gestione della sicurezza nella tecnologia dell'informazione.

Con la sua pubblicazione ha sostituito la norma inglese BS 7799:2 (che conteneva la linea guida e lo standard vero e proprio), che fino ad allora rappresentava la principale norma di riferimento per l'applicazione di un sistema di gestione per la sicurezza delle informazioni (SGSI). Il nuovo standard ha assorbito entrambe le parti: la linea guida è stata recepita dall'ISO come ISO 17799 (Information Technology - Security Techniques - Code of practice for information security management), mentre la seconda parte, lo standard vero e proprio, è stato emesso nell'ottobre 2005 come ISO 27001.

Nel 2007 anche il documento ISO 17799 è stato ritirato e sostituito dalla norma ISO/IEC 27002 meglio coordinata con la ISO 27001 e parte della serie 27000 che comprende oggi svariati altri documenti correlati al tema della sicurezza delle informazioni.

Seconda edizione 2013 e Versione UNI 2017

ISO/IEC 27001:2013 è stata la seconda versione dello standard sulla sicurezza delle informazioni pubblicato il 25 settembre 2013. Sostituisce la ISO/IEC 27001:2005, è pubblicato dall'International Organization for Standardization (ISO) e lo International Electrotechnical Commission (IEC) dai sottocomitati congiunti, ISO/IEC JTC 1/SC 27. trattava le specifiche per un information security management system (ISMS). Le organizzazioni che applicano lo standard poteva essere certificate conformi da un organismo di certificazione indipendente ed accreditato dopo il completamento con successo di un controllo di conformità formale.

In Italia fu pubblicata una versione della norma UNI CEI EN ISO/IEC 27001:2017 (pubblicata il 30 marzo 2017), che non era altro che la versione 2013 con due corrigenda (emessi dall'ISO nel 2014 e 2015):

requisito A.8.1.1: l'inventario, la classificazione e trattamento degli "asset" riguardava anche le “informazioni” cui gli asset sono associati.

requisito 6.1.3: la Dichiarazione di Applicabilità doveva specificare se erano implementati o meno i “controlli necessari”, e non solo i controlli riferiti all'Annex A.

Non essendo stati introdotti nuovi requisiti, la norma ISO era in versione edizione 2013, per cui l’unico impatto sui certificati emessi era sul riferimento normativo nazionale in essi riportato.

Versione 2022 e successive

Nel 2022 è stata pubblicata la ISO/IEC 27001:2022 (pubblicata il 25 ottobre 2022), recepita in Europa come EN ISO/IEC 27001:2023 (pubblicata il 26 luglio 2023).

In Italia l'edizione 2022 è stata recepita come UNI CEI EN ISO/IEC 27001:2024 (pubblicata il 20 febbraio 2024, in vigore dal 25 gennaio 2024). Le novità, come per qualsiasi altro recepimento continentale o nazionale della ed. 2022, riguardano i controlli dell'Annex A per cui è stato fatto un lavoro di accorpamento di controlli contigui con relativa eliminazione di ridondanze e, soprattutto, introduzione di nuovi. La terminologia è stata chiaramente aggiornata. Nessuna novità sostanziale delle clausole della norma da cap. 4 a cap 10. Tutti I CAB hanno dovuto completare la transizione entro novembre 2023. Tutti i sistemi delle organizzazioni certificate da OdC accreditati avrebbero dovuto completare la transizione entro il 31 ottobre 2025, pena la scadenza di validità del certificato.