La nuova norma ISO 27001:2024 – cosa cambia

La sicurezza delle informazioni è una priorità sempre più cruciale per le organizzazioni di ogni settore e dimensione. Con l’evoluzione delle minacce informatiche e l’aumento delle normative sulla protezione dei dati, gli standard internazionali come la ISO/IEC 27001 si adattano per garantire una gestione efficace dei rischi. Il 25 gennaio 2024 è stata ratificata in Italia la norma UNI CEI EN ISO/IEC 27001:2024, recepimento della versione internazionale ISO/IEC 27001:2022 pubblicata il 25 ottobre 2022. Ma quali sono le novità introdotte e cosa cambia per le aziende che vogliono adeguarsi o mantenere la certificazione? Scopriamolo insieme.

Un aggiornamento necessario

La nuova ISO 27001:2024 non rappresenta una rivoluzione rispetto alla precedente edizione del 2013, ma un’evoluzione mirata a rispondere alle sfide attuali. Le clausole principali della norma, che definiscono i requisiti per un Sistema di Gestione della Sicurezza delle Informazioni (SGSI), rimangono invariate. Tuttavia, le modifiche più significative si concentrano nell’Annex A, l’elenco dei controlli di sicurezza, che è stato aggiornato per allinearsi alle best practice della ISO/IEC 27002:2022 e alle esigenze di un panorama tecnologico in continua trasformazione.

Le principali novità dell’Annex A

Ecco i cambiamenti più rilevanti introdotti nella nuova versione:

1. Riorganizzazione dei controlli

   I controlli sono stati ridotti da 114 a 93 e riorganizzati in 4 categorie principali вместо delle precedenti 14 sezioni: organizzativi, tecnologici, fisici e relativi alle persone. Questo semplifica la struttura senza compromettere la qualità della sicurezza.

2. Introduzione di nuovi controlli

   Sono stati aggiunti 11 nuovi controlli per affrontare temi emergenti come:

   • Threat intelligence (5.7): monitoraggio delle minacce per anticipare e mitigare i rischi.
   • Sicurezza nei servizi cloud (5.23): misure specifiche per l’uso di fornitori cloud.
   • Prontezza ICT per la continuità operativa (5.30): focus sulla resilienza dei sistemi informatici.
   • Cancellazione delle Informazioni (8.10) e Data Masking (8.11): controlli ispirati al GDPR per la gestione sicura dei dati.
   • Sviluppo sicuro del codice: per ridurre le vulnerabilità nei software.

3. Accorpamenti e semplificazioni

   Alcuni controlli preesistenti sono stati uniti o riformulati per eliminare ridondanze, rendendo l’applicazione più pratica. Ad esempio, il controllo sulla revisione tecnica di conformità è stato suddiviso in due nuovi controlli distinti (5.36 e 8.8).

4. Allineamento con il GDPR e la ISO 27701

   L’introduzione di controlli come la cancellazione e l’offuscamento dei dati riflette una maggiore armonizzazione con il Regolamento Europeo sulla protezione dei dati personali (GDPR) e con la norma ISO/IEC 27701, dedicata alla gestione della privacy.

Ecco una spiegazione dettagliata degli 11 nuovi controlli introdotti nell’Annex A della norma ISO/IEC 27001:2024 (basata sulla ISO/IEC 27001:2022). Questi controlli riflettono l’evoluzione delle minacce informatiche e delle tecnologie, offrendo alle organizzazioni strumenti aggiornati per proteggere le informazioni. Li analizzerò uno per uno, con un linguaggio chiaro e orientato a chi deve implementarli.

1. Threat intelligence (5.7) –“Intelligence sulle minacce”.

• Cosa significa: Questo controllo richiede di raccogliere, analizzare e utilizzare informazioni sulle minacce informatiche (ad esempio, tramite report di cybersecurity o analisi di attacchi recenti) per prevenire o rispondere tempestivamente ai rischi.
• Perché è nuovo: Con l’aumento di attacchi sofisticati (es. ransomware o phishing mirato), le organizzazioni devono essere proattive, non solo reattive.
• Come implementarlo: Sottoscrivere servizi di threat intelligence, monitorare forum sul dark web o collaborare con enti di sicurezza (es. CERT).

2. Information security for use of cloud services (5.23) -“Sicurezza delle informazioni per l’uso dei servizi cloud”

• Cosa significa: Stabilisce requisiti per garantire la sicurezza quando si utilizzano servizi cloud (es. AWS, Microsoft Azure).
• Perché è nuovo: L’adozione del cloud è esplosa negli ultimi anni, ma spesso manca una gestione strutturata dei rischi associati (es. accesso non autorizzato o perdita di dati).
• Come implementarlo: Definire policy per selezionare fornitori cloud affidabili, verificare i loro standard di sicurezza e includere clausole contrattuali specifiche.

3. ICT Readiness for business continuity (5.30) -“Prontezza ICT per la continuità aziendale”

• Cosa significa: Assicura che i sistemi informatici (ICT) siano pronti a supportare la continuità operativa in caso di incidenti (es. blackout, cyberattacchi).
• Perché è nuovo: La dipendenza dalle tecnologie digitali rende essenziale integrare la sicurezza informatica nei piani di continuità aziendale.
• Come implementarlo: Creare un piano di disaster recovery per i sistemi IT, testarlo regolarmente e garantire backup funzionanti.

4. Physical security monitoring (7.4) -“Monitoraggio della sicurezza fisica”

• Cosa significa: Richiede l’uso di sistemi di monitoraggio (es. telecamere, sensori) per proteggere le aree fisiche dove sono conservate informazioni sensibili.
• Perché è nuovo: Le violazioni fisiche (es. furti o accessi non autorizzati) sono ancora una minaccia significativa.
• Come implementarlo: Installare CCTV o sistemi di allarme nelle sale server o negli uffici con dati critici, controllando gli accessi.

5. Configuration management (8.9) -“Gestione della configurazione”

• Cosa significa: Gestire e controllare le configurazioni di hardware, software e reti per ridurre vulnerabilità (es. porte aperte o impostazioni errate).
• Perché è nuovo: Molti attacchi sfruttano configurazioni non sicure, un problema sempre più rilevante con la complessità dei sistemi.
• Come implementarlo: Usare strumenti di gestione delle configurazioni (es. Ansible, Puppet) e documentare ogni modifica.

6. Information deletion (8.10)-“Eliminazione delle informazioni”

• Cosa significa: Stabilisce procedure per eliminare in modo sicuro le informazioni quando non sono più necessarie (es. su dispositivi dismessi o archivi).
• Perché è nuovo: Riflette normative come il GDPR, che richiedono la cancellazione definitiva dei dati personali.
• Come implementarlo: Usare software di wiping (es. DBAN) o distruggere fisicamente i supporti, con registri delle operazioni eseguite.

7. Data masking (8.11) – “Mascheramento dei dati”

• Cosa significa: Nascondere o mascherare dati sensibili (es. numeri di carte di credito) per limitarne l’accesso non autorizzato, pur mantenendone l’usabilità.
• Perché è nuovo: È un’aggiunta legata alla protezione dei dati personali e alla privacy, sempre più richiesta legalmente.
• Come implementarlo: Applicare tecniche di anonimizzazione o pseudonimizzazione nei database o nei report condivisi.

8. Data leakage prevention (8.12) -“Prevenzione della fuga di dati”

• Cosa significa: prevenire la fuoriuscita accidentale o intenzionale di dati sensibili (es. tramite email o dispositivi USB).
• Perché è nuovo: le violazioni dati sono tra le principali cause di perdita economica e reputazionale.
• Come implementarlo: installare soluzioni DLP (Data Loss Prevention), limitare l’uso di dispositivi esterni e sensibilizzare i dipendenti.

9. Monitoring activities (8.16) -“Monitoraggio delle attività”

• Cosa significa: Monitorare continuamente i sistemi per rilevare attività sospette o anomalie (es. tentativi di accesso non autorizzati).
• Perché è nuovo: Con l’aumento degli attacchi in tempo reale, il monitoraggio proattivo è essenziale.
• Come implementarlo: Usare strumenti SIEM (Security Information and Event Management) per analizzare log e generare alert.

10. Web filtering (8.23) – “Filtraggio web”

• Cosa significa: Bloccare l’accesso a siti web pericolosi o non autorizzati per proteggere i sistemi aziendali.
• Perché è nuovo: Il phishing e i siti malevoli sono tra i principali vettori di attacco.
• Come implementarlo: Configurare firewall o proxy per filtrare il traffico web, aggiornando regolarmente le blacklist.

11. Secure coding (8.28) -“Codifica sicura”

• Cosa significa: Applicare pratiche di sviluppo sicure per ridurre le vulnerabilità nel software (es. SQL injection, cross-site scripting).
• Perché è nuovo: Con l’aumento dello sviluppo interno di applicazioni, la sicurezza del codice è fondamentale.
• Come implementarlo: Adottare linee guida come OWASP Top 10, fare revisioni del codice e usare strumenti di analisi statica (es. SonarQube).

Considerazioni generali

Questi nuovi controlli non sono “isolati”, ma si integrano con i requisiti esistenti della ISO 27001, come la gestione del rischio e il miglioramento continuo. La loro introduzione risponde a trend come:

• Digitalizzazione: più dati e sistemi in cloud o online.
• Normative: maggiore pressione per la conformità (es. GDPR).
• Minacce evolute: attacchi più sofisticati e frequenti.

Impatto pratico

Per implementarli, le organizzazioni devono:

• Aggiornare la valutazione dei rischi per includere questi scenari.
• Rivedere le policy esistenti e aggiungere procedure specifiche.
• Investire in tecnologie (es. DLP, SIEM) e formazione per il personale.

Implicazioni per le organizzazioni

Per le aziende già certificate ISO 27001:2013, la transizione alla versione 2024 non richiede una revisione completa del SGSI, ma un aggiornamento mirato. È necessario rivedere i processi di gestione del rischio e adeguare i controlli dell’Annex A alla nuova struttura. Gli organismi di certificazione hanno stabilito che:

• Entro il 31 ottobre 2025 tutti i certificati basati sulla versione 2013 dovranno essere aggiornati alla 2024.
• Dal 30 aprile 2024, nuove certificazioni e rinnovi saranno emessi solo in conformità alla ISO 27001:2022/2024.

Per chi si avvicina per la prima volta alla certificazione, invece, è consigliabile partire direttamente dalla nuova versione, sfruttando le linee guida della ISO/IEC 27002:2022 come base operativa.

Come prepararsi

Per garantire una transizione efficace, le organizzazioni possono seguire questi passi:

• Analisi del Gap: Confrontare i controlli attuali con quelli della nuova norma per identificare le aree di miglioramento.
• Formazione: Aggiornare le competenze del personale sui nuovi requisiti e controlli.
• Audit interni: Verificare la conformità e testare l’efficacia delle misure implementate.
• Supporto specialistico: Affidarsi a consulenti esperti, come quelli di LDG Service, per una guida personalizzata.

Perché è importante adeguarsi

La ISO 27001:2024 non è solo un obbligo per mantenere la certificazione, ma un’opportunità per rafforzare la sicurezza delle informazioni in un contesto di crescenti minacce cibernetiche. Adottare i nuovi controlli significa migliorare la resilienza aziendale, dimostrare conformità normativa e aumentare la fiducia di clienti e partner.

Conclusione

La nuova norma ISO 27001:2024 rappresenta un passo avanti verso una sicurezza delle informazioni più moderna e integrata. Con un approccio pragmatico e il supporto di professionisti qualificati, le organizzazioni possono trasformare questo aggiornamento in un vantaggio competitivo. Per ulteriori informazioni su come LDG Service può accompagnarvi in questo percorso, contattateci oggi stesso.

Luigi Giliberti

Project Manager, HSE specialist, formatore e Dpo per la protezione dei dati. Supporta da vent'anni imprese ed enti pubblici di varie dimensioni.

Vedi la biografia completa