Modelli e registrazioni · ISO 27001

Modelli e registrazioni della ISO 27001

Nove registrazioni che reggono un sistema di gestione per la sicurezza delle informazioni, ciascuna con il punto o il controllo che la richiede, i suoi campi e un esempio compilato.

In una frase

La ISO/IEC 27001 richiede di documentare il processo di valutazione dei rischi, i suoi risultati, il piano di trattamento e la dichiarazione di applicabilità, che sono il nucleo di qualsiasi certificazione; le altre registrazioni —inventario degli asset, incidenti, revisione degli accessi, test di continuità, fornitori— nascono dai controlli dell’Appendice A che l’organizzazione stessa dichiara applicabili, e sono l’evidenza che l’auditor chiede per verificare che quei controlli funzionino.

Contenuto revisionato il 17 ottobre 2026

Edizione: ISO/IEC 27001:2022 La transizione dall’edizione 2013 si è conclusa il 31 ottobre 2025
Documenti del nucleo: Rischi, trattamento e SoA Punti 6.1.2, 6.1.3, 8.2 e 8.3
Appendice A: 93 controlli in 4 temi Organizzativi, relativi alle persone, fisici e tecnologici
Formato: Libero La norma fissa il contenuto, non il modello

Indice

Modelli e registrazioni ISO 27001

I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.

Domande frequenti

Cosa ci chiedono prima di iniziare

Quali documenti sono obbligatori nella ISO 27001?

Quelli richiesti dai punti della norma: campo di applicazione (4.3), politica (5.2), processo e risultati della valutazione dei rischi (6.1.2 e 8.2), processo e risultati del trattamento (6.1.3 e 8.3), dichiarazione di applicabilità (6.1.3 d), obiettivi (6.2), evidenze di competenza (7.2), risultati del monitoraggio (9.1), programma ed esiti degli audit (9.2), riesame della direzione (9.3) e non conformità con le relative azioni (10.2). A questi si aggiunge quanto richiesto dai controlli dell’Appendice A dichiarati applicabili.

I controlli dell’Appendice A obbligano a tenere registrazioni?

Indirettamente. Un controllo dichiarato applicabile deve poter essere dimostrato, e in pratica lo si fa con le registrazioni: l’inventario degli asset per il controllo 5.9, il registro degli incidenti per i controlli da 5.24 a 5.28 o i verbali di revisione degli accessi per il 5.18. Un controllo escluso con giustificazione non richiede evidenze di funzionamento.

Le stesse registrazioni valgono per l’ENS spagnolo?

In buona parte sì: la valutazione dei rischi, l’inventario e il registro degli incidenti si possono condividere. Ciò che non si condivide è la dichiarazione di applicabilità, perché l’ENS (lo schema nazionale di sicurezza spagnolo) ha un proprio catalogo di misure nell’Allegato II del Real Decreto 311/2022 e una propria firma.

Gestisca le registrazioni ISO 27001 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
ISO/IEC 27002:2022 — Controlli di sicurezza delle informazioni ISO/IEC · Febbraio 2022
ISO/IEC 27005:2022 — Guida alla gestione dei rischi per la sicurezza delle informazioni ISO/IEC · Ottobre 2022

Modelli e registrazioni della ISO 27001

In una frase

Modelli e registrazioni ISO 27001

Dichiarazione di applicabilità

Valutazione dei rischi

Piano di trattamento dei rischi

Inventario degli asset

Requisiti legali e contrattuali

Registro degli incidenti

Revisione degli accessi

Test di continuità e backup

Sicurezza dei fornitori