Modelli e registrazioni · ISO 27001 · Punto A.5.30 y A.8.13
Registro dei test di continuità e dei backup
La prova che i backup si possono ripristinare e che i servizi tornano operativi nel tempo promesso, non solo che il piano esiste.
In una frase
Il registro dei test di continuità e dei backup documenta che cosa è stato provato, con quale obiettivo di tempo di ripristino, quale risultato si è ottenuto e che cosa è stato corretto; è l’evidenza dei controlli 5.30, che chiede di pianificare, attuare, mantenere e verificare la prontezza dell’ICT, e 8.13, che chiede di provare regolarmente i backup.
- Dove lo richiede la norma
- ISO 27001 · Punto A.5.30 y A.8.13 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
- Tipo di informazione
- Buona pratica Evidenza dei controlli 5.30 e 8.13 dell’Appendice A
- Chi lo compila
- Responsabile dei sistemi Il proprietario del servizio conferma che il risultato soddisfa i suoi obiettivi
- Quando
- Secondo il piano dei test Ripristini dei backup più frequenti; test completi di failover almeno una volta l’anno
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione La ISO/IEC 27001 non fissa termini: chiede di decidere la conservazione e l’eliminazione delle informazioni documentate (7.5.3). Coprire il ciclo di certificazione di tre anni permette di mostrare lo storico al rinnovo.
Che cosa richiede la norma
Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione
Il controllo 5.30, nuovo nell’edizione 2022, chiede che la prontezza dell’ICT per la continuità operativa sia pianificata, attuata, mantenuta e verificata in base agli obiettivi di continuità del business. L’8.13 chiede di mantenere copie di backup di informazioni, software e sistemi, e di provarle regolarmente.
Un piano di continuità mai provato è un’ipotesi. Ciò che l’auditor chiede è l’esito dell’ultimo test e che cosa è cambiato dopo.
La norma non stabilisce il tipo di test né la frequenza; la ISO 22301 è il riferimento se si vuole un sistema di continuità completo.
Struttura
Campi che il modello deve contenere
- Servizio o sistema provato e tipo di test (ripristino, failover, esercitazione a tavolino)
- Obiettivo: tempo di ripristino e punto di ripristino accettabili
- Data, partecipanti e scenario
- Risultato misurato rispetto all’obiettivo
- Problemi riscontrati durante il test
- Azioni di miglioramento, responsabile e scadenza
- Conclusione: superato o non superato
Esempio
Esempio: ripristino del database di produzione
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Test | Ripristino completo del database della piattaforma in un ambiente isolato |
| Obiettivo | Ripristinare in meno di 4 ore con una perdita massima di 24 ore di dati |
| Data e partecipanti | 21 maggio 2026 · responsabile dell’infrastruttura e due tecnici |
| Risultato | Ripristinato in 5 h 10 min · dati integri fino al backup delle 02:00 |
| Problema | La procedura non prevedeva la rigenerazione delle chiavi di cifratura |
| Azione | Aggiornare la procedura e ripetere il test · 30 giugno |
| Conclusione | Non superato · ripetuto il 26 giugno: 3 h 20 min, superato |
In audit
Errori che gli auditor rilevano più spesso
- Si verifica che il backup «sia terminato bene», mai che si possa ripristinare.
- Non esistono obiettivi di ripristino con cui confrontare il risultato.
- I test falliti non si registrano o non generano azioni.
- Il piano di continuità non è stato aggiornato dopo il cambio di fornitore cloud.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1I test di ripristino e i piani di continuità restano documentati nella piattaforma.
- 2Il piano di continuità è una registrazione gestita per versioni, e ogni test si collega alle azioni che genera.
- 3Le azioni conseguenti si assegnano con responsabile e scadenza, con avviso in caso di ritardo.
Domande frequenti
Cosa ci chiedono prima di iniziare
Serve certificarsi ISO 22301?
No. La ISO/IEC 27001 chiede la prontezza dell’ICT per la continuità, non un sistema completo di continuità operativa. La ISO 22301 è utile come guida, ma non è un requisito.
Vale un’esercitazione a tavolino?
Come parte del piano dei test, sì: verifica ruoli e comunicazione. Ma non sostituisce il ripristino reale dei backup, che è ciò che dimostra il controllo 8.13.
Gestisca le registrazioni ISO 27001 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Attività operative
Le attività operative traducono l’analisi dei rischi in controlli reali: accessi, cifratura, backup e una…
Modello di dichiarazione di applicabilità ISO 27001
Che cosa deve riportare la dichiarazione di applicabilità della ISO 27001 (6.1.3 d): controlli necessari…
Modello di valutazione dei rischi di sicurezza ISO 27001
Come documentare la valutazione dei rischi di sicurezza della ISO 27001: criteri di accettazione, titolare…
Modello di piano di trattamento dei rischi ISO 27001
Che cosa deve includere il piano di trattamento dei rischi della ISO 27001 (6.1.3 e): opzione scelta…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
- ISO/IEC 27002:2022 — Controlli di sicurezza delle informazioni ISO/IEC · Febbraio 2022