Modello Organizzativo SGSI (ISO 27001)

Procedura guidata ISO/IEC 27001:2022 — clausole 4–10 + Statement of Applicability

Costruisci il tuo Sistema di Gestione della Sicurezza delle Informazioni. Procedura guidata ISO/IEC 27001:2022 (clausole 4-10 + Statement of Applicability). Lo Statement of Applicability viene pre-popolato dalle tue risposte alla Gap Analysis NIS2. Attiva le estensioni cloud ISO 27017/27018 dove pertinenti.

Strumento di supporto e pre-audit: non costituisce una certificazione ISO 27001 né un parere professionale vincolante. Gli obblighi normativi in Italia derivano da NIS2 / D.Lgs. 138/2024 / Determinazioni ACN; ISO 27001/27017/27018 sono best practice.

1. Contesto e Ambito (cl. 4)

Ambito del SGSI (scope statement)

Contesto interno

Contesto esterno

Parti interessate (una per riga)

Confini del SGSI

Esclusioni motivate

Estensioni cloud (attivano i controlli condizionali nel SoA) Usiamo servizi cloud pubblici (Microsoft 365, AWS, Google...) → ISO 27017 Siamo fornitori di servizi cloud → ISO 27017 (lato provider) Trattiamo dati personali (PII) in cloud pubblico come responsabili → ISO 27018

2. Leadership: ruoli e responsabilità (cl. 5)

Definisci i ruoli del SGSI con la matrice RACI (Responsible, Accountable, Consulted, Informed).

3. Risk: metodologia e obiettivi (cl. 6)

Metodologia di risk assessment

Obiettivi del SGSI (uno per riga)

Il registro dei rischi vive nel modulo Rischi: questo passo ne dichiara la metodologia.

4. Statement of Applicability

I controlli sono pre-popolati dalle risposte NIS2 dove esiste corrispondenza (badge "da NIS2"). Conferma applicabilità, stato e motivazione per ciascuno.

5. Documented Information (cl. 7-8)

6. Monitoraggio e Miglioramento (cl. 9-10)

Gli audit interni e le non conformità si gestiscono nei moduli esistenti: Audit & Report e NCR/CAPA.