Modelli e registrazioni · ISO 27001 · Punto A.5.24 a A.5.28

Modello di registro degli incidenti di sicurezza ISO 27001

La cronologia di ogni evento di sicurezza, da quando qualcuno lo segnala fino alla chiusura e a ciò che se ne impara, con le evidenze conservate.

In una frase

Il registro degli incidenti di sicurezza documenta ogni evento segnalato, la decisione se si tratti di un incidente, la risposta, le evidenze conservate e le lezioni apprese; la ISO/IEC 27001 non lo nomina come registrazione obbligatoria, ma è l’evidenza con cui si dimostrano i controlli da 5.24 a 5.28 e 6.8 dell’Appendice A.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27001 · Punto A.5.24 a A.5.28 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
Tipo di informazione: Buona pratica Evidenza dei controlli da 5.24 a 5.28 e 6.8 dell’Appendice A
Chi lo compila: Chiunque segnala; la sicurezza gestisce Il responsabile della sicurezza decide se l’evento è un incidente e coordina la risposta
Quando: Dalla segnalazione dell’evento La cronologia si completa durante la risposta; le lezioni, alla chiusura
Per quanto tempo si conserva: Lo stabilisce l’organizzazione La ISO/IEC 27001 non fissa termini: chiede di decidere la conservazione e l’eliminazione delle informazioni documentate (7.5.3). Coprire il ciclo di certificazione di tre anni permette di mostrare lo storico al rinnovo.

Che cosa richiede la norma

Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione

L’Appendice A dedica cinque controlli al ciclo dell’incidente: pianificare e preparare la gestione (5.24), valutare gli eventi e decidere se sono incidenti (5.25), rispondere secondo procedure (5.26), imparare da quanto accaduto (5.27) e raccogliere e conservare le evidenze (5.28). Il controllo 6.8 chiede un canale con cui il personale possa segnalare gli eventi.

Nessuno dice «registro», ma nessuno si può dimostrare senza. L’auditor chiede di vedere incidenti concreti, con la loro cronologia, e di verificare che l’apprendimento sia arrivato alla valutazione dei rischi.

Quando l’incidente riguarda dati personali, lo stesso registro deve permettere di rispettare il termine di legge per la notifica all’autorità di controllo.

Lo legga nel contesto: Attività operative, nell’Academy ISO 27001

Struttura

Campi che il modello deve contenere

Numero, data e ora della segnalazione, e chi la fa
Descrizione dell’evento e sistemi coinvolti
Valutazione: è un incidente? Classificazione e gravità
Riguarda dati personali? Decisione sulla notifica
Cronologia della risposta: contenimento, eliminazione, ripristino
Evidenze raccolte e dove sono custodite
Causa e lezioni apprese
Azioni conseguenti e aggiornamento della valutazione dei rischi
Data di chiusura

Esempio

Esempio: credenziali rubate tramite phishing

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Numero e data	INC-2026-012 · 14 aprile 2026, 09:40
Segnalato da	Una tecnica dell’assistenza, dopo aver inserito la propria password in un sito falso
Valutazione	Incidente · gravità media · nessun accesso ai dati dei clienti secondo i log
Dati personali	Non coinvolti · notifica non dovuta · decisione motivata nel registro
Risposta	09:55 blocco dell’account · 10:20 revisione degli accessi delle ultime 48 h · 11:00 account ripristinato con un nuovo secondo fattore
Evidenze	Log del fornitore di identità esportati e custoditi nel fascicolo
Lezione	Il secondo fattore via SMS non ha fermato il tentativo: si sostituisce con una chiave fisica per il personale dell’assistenza
Rischi	Si rivaluta il rischio R-03 di accesso indebito

In audit

Errori che gli auditor rilevano più spesso

Si registrano solo gli incidenti gravi: gli eventi scartati non lasciano traccia.
Non risulta perché un incidente con dati personali non è stato notificato.
Le lezioni apprese non cambiano nulla nella valutazione dei rischi.
Le evidenze restano sul portatile di chi ha indagato.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1Ogni incidente di sicurezza si registra con la sua classificazione, la sua cronologia e la chiusura con evidenza.
2Se richiede un’azione correttiva, si apre come non conformità con causa radice obbligatoria.
3Il riesame della direzione arriva con gli incidenti già precaricati.

Domande frequenti

Cosa ci chiedono prima di iniziare

Che differenza c’è tra evento e incidente?

Un evento è qualsiasi fatto che potrebbe incidere sulla sicurezza; un incidente è l’evento che, dopo la valutazione, compromette o può compromettere le informazioni o il servizio. Si registrano entrambi: l’evento scartato dimostra che il controllo 5.25 funziona.

È la stessa cosa di una non conformità?

No. L’incidente è un fatto di sicurezza; la non conformità, il mancato soddisfacimento di un requisito. Un incidente può rivelare una non conformità —una procedura non seguita— e allora si apre anche la relativa azione correttiva.

Gestisca le registrazioni ISO 27001 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
ISO/IEC 27002:2022 — Controlli di sicurezza delle informazioni ISO/IEC · Febbraio 2022
Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati EUR-Lex · 27 aprile 2016