ISO 27001: i controlli dell'Allegato A 2022 in pratica

L'Allegato A della ISO/IEC 27001:2022 elenca 93 controlli di sicurezza raggruppati in 4 temi: organizzativi, persone, fisici e tecnologici. Non sono un elenco da applicare in blocco: ogni organizzazione seleziona i controlli pertinenti in base alla propria analisi del rischio e li documenta nella Dichiarazione di Applicabilità (SoA). Vediamo come è strutturato l'Allegato A, che cosa è cambiato con l'edizione 2022 e quali sono gli 11 controlli nuovi.

Che cos'è l'Allegato A della ISO 27001

La ISO 27001 si compone di due parti. Le clausole dalla 4 alla 10 definiscono i requisiti del Sistema di Gestione della Sicurezza delle Informazioni (SGSI): contesto, leadership, pianificazione e gestione del rischio, supporto, attività operative, valutazione delle prestazioni e miglioramento. L'Allegato A, invece, è il catalogo dei controlli a cui l'organizzazione attinge per trattare i rischi individuati. Per una visione d'insieme dello standard puoi partire dalla guida completa alla ISO 27001.

I controlli dell'Allegato A sono misure di sicurezza, organizzative e tecniche, che concorrono a mantenere la riservatezza, l'integrità e la disponibilità delle informazioni. La loro adozione non è mai automatica: dipende dai rischi e dal contesto in cui l'azienda opera.

C'è una distinzione da tenere a mente. Le clausole dalla 4 alla 10 contengono i requisiti obbligatori del sistema di gestione: per certificarsi bisogna soddisfarli tutti. I controlli dell'Allegato A, invece, sono un riferimento da cui selezionare in funzione del rischio. È un errore comune considerare i 93 controlli come una checklist da spuntare per intero: la norma chiede di scegliere quelli pertinenti e di spiegare le scelte, non di applicarli meccanicamente.

I 4 temi dei controlli dell'Allegato A

L'edizione 2022 raggruppa i 93 controlli in quattro temi. Ecco come si distribuiscono e cosa coprono a grandi linee.

• Controlli organizzativi (37): sono i più numerosi e riguardano politiche, ruoli e responsabilità, gestione degli asset informativi, regole di accesso, rapporti con i fornitori, gestione degli incidenti e continuità. Danno la cornice di governance al SGSI.
• Controlli sulle persone (8): riguardano il fattore umano lungo tutto il rapporto di lavoro, dalla selezione alla formazione e consapevolezza, fino alla gestione delle responsabilità del personale.
• Controlli fisici (14): riguardano la sicurezza degli ambienti e delle apparecchiature: aree sicure, controllo degli accessi fisici, sicurezza dei supporti e delle attrezzature.
• Controlli tecnologici (34): riguardano le misure tecniche sui sistemi informativi, dalla configurazione alla crittografia, dalla gestione delle vulnerabilità al logging e al monitoraggio, fino alla sicurezza dello sviluppo software.

La somma dà i 93 controlli complessivi. La riduzione rispetto al passato non significa meno sicurezza, ma una struttura più razionale e leggibile. La ripartizione in quattro temi, inoltre, aiuta a distribuire le responsabilità: i controlli organizzativi coinvolgono direzione e funzioni di governance, quelli sulle persone toccano risorse umane e responsabili, i fisici riguardano chi gestisce sedi e impianti, i tecnologici ricadono sull'IT. Questa chiarezza rende più semplice assegnare compiti e verificare l'attuazione.

Cosa è cambiato rispetto alla ISO 27001:2013

La revisione ha modificato in modo sensibile l'Allegato A. La versione 2013 prevedeva 114 controlli distribuiti in 14 categorie, la versione 2022 li ha consolidati e ridotti a 93, riorganizzandoli nei 4 temi. Molti controlli sono stati accorpati, alcuni riformulati e altri introdotti ex novo.

Una novità rilevante sono gli attributi: la versione 2022 associa a ciascun controllo delle etichette che permettono di categorizzarlo e filtrarlo secondo diverse prospettive, rendendo più flessibile la lettura del catalogo. Il periodo di transizione dalla 2013 alla 2022 si è concluso a fine ottobre 2025, quindi oggi il riferimento è pienamente l'edizione aggiornata.

L'aggiornamento non è stato un semplice restyling. Il catalogo del 2013 era stato pensato in un contesto tecnologico diverso, precedente alla diffusione capillare del cloud, del lavoro da remoto e del monitoraggio continuo. La revisione ha eliminato le sovrapposizioni tra controlli simili, accorpato voci che nella pratica venivano gestite insieme e aggiunto ambiti che oggi sono parte integrante della gestione della sicurezza. Il risultato è un elenco più aderente al modo in cui le aziende lavorano davvero.

Gli 11 controlli nuovi della ISO 27001:2022

Rispetto al 2013, l'edizione 2022 ha introdotto 11 controlli nuovi, pensati per riflettere l'evoluzione delle minacce e delle tecnologie. Eccoli.

1. Intelligence sulle minacce (threat intelligence): raccogliere e analizzare informazioni sulle minacce per orientare le misure di sicurezza.
2. Sicurezza per l'uso dei servizi cloud: gestire in modo strutturato acquisizione, uso e uscita dai servizi cloud.
3. Prontezza delle ICT per la continuità operativa: assicurare che le tecnologie siano pronte a sostenere la continuità del business.
4. Monitoraggio della sicurezza fisica: sorvegliare gli ambienti fisici per rilevare accessi non autorizzati.
5. Gestione della configurazione: definire e mantenere configurazioni sicure di hardware, software e servizi.
6. Cancellazione delle informazioni: eliminare i dati non più necessari per ridurre l'esposizione.
7. Mascheramento dei dati (data masking): limitare l'esposizione dei dati sensibili tramite tecniche di offuscamento.
8. Prevenzione della fuga di dati (DLP): misure per evitare l'esfiltrazione o la divulgazione non autorizzata delle informazioni.
9. Attività di monitoraggio: monitorare reti e sistemi per rilevare comportamenti anomali.
10. Filtraggio web: regolare l'accesso ai siti esterni per ridurre l'esposizione a contenuti dannosi.
11. Codifica sicura (secure coding): applicare principi di sviluppo sicuro del software.

Questi controlli riflettono temi diventati centrali negli ultimi anni: cloud, monitoraggio continuo, prevenzione della perdita di dati e sviluppo sicuro. Molti di essi si collegano direttamente alle capacità di rilevamento e risposta di un presidio operativo di sicurezza.

Letti insieme, gli 11 controlli nuovi raccontano una direzione precisa. Alcuni guardano alla capacità di vedere ciò che accade (intelligence sulle minacce, attività di monitoraggio, monitoraggio della sicurezza fisica). Altri riguardano la gestione ordinata delle informazioni e dei sistemi (gestione della configurazione, cancellazione delle informazioni, mascheramento dei dati, prevenzione della fuga di dati). Altri ancora rispondono a modalità di lavoro ormai diffuse (sicurezza del cloud, filtraggio web, codifica sicura, prontezza delle ICT per la continuità). Non sono requisiti astratti, ma pratiche che un'azienda mid-market incontra ogni giorno.

Come si scelgono i controlli: la SoA

Il punto più importante da capire è che i controlli dell'Allegato A non si applicano in blocco. Ogni organizzazione seleziona quelli pertinenti al proprio profilo di rischio e li documenta nella Dichiarazione di Applicabilità (SoA, Statement of Applicability), indicando per ciascun controllo se è incluso o escluso e con quale motivazione. La SoA è uno dei documenti chiave dell'intero SGSI e viene esaminata durante l'audit di certificazione.

Questo approccio basato sul rischio spiega perché due aziende dello stesso settore possano avere SoA molto diverse: contano gli asset, le minacce specifiche e il contesto operativo. Per capire come si arriva alla certificazione, dalla valutazione dei rischi alla SoA fino all'audit, vedi la guida su come ottenere la certificazione ISO 27001.

Inclusioni ed esclusioni motivate

Per ogni controllo la SoA indica se è applicabile e perché. Un controllo può essere escluso quando non è pertinente al contesto: per esempio, alcune misure legate allo sviluppo software hanno poco senso in un'azienda che non sviluppa applicazioni in casa. Ciò che conta è che ogni esclusione sia giustificata da una valutazione, non da una dimenticanza. L'auditor verifica proprio la coerenza tra i rischi individuati e i controlli scelti.

Il legame con il trattamento del rischio

La SoA non nasce dal nulla: è la conseguenza dell'analisi e del piano di trattamento del rischio. Prima si identificano i rischi che gravano sulle informazioni, poi si decide come trattarli e, infine, si scelgono i controlli dell'Allegato A che concorrono a ridurli. In questo modo l'elenco dei controlli diventa la traduzione operativa delle decisioni prese sul rischio, e non un adempimento a sé stante.

Allegato A, NIS2 e DORA: una base comune

I controlli dell'Allegato A non vivono isolati. Molti di essi coincidono, nella sostanza, con le misure di gestione del rischio richieste da altre normative. La NIS2 impone misure di sicurezza informatica e obblighi sulla sicurezza della catena di fornitura, mentre la DORA chiede alle entità finanziarie un quadro strutturato di gestione del rischio ICT. Un'azienda che ha già mappato i propri controlli tramite la SoA parte avvantaggiata quando deve dimostrare conformità a questi quadri.

Anche quando la certificazione non è obbligatoria, l'Allegato A offre un linguaggio comune e verificabile per parlare di sicurezza con clienti, fornitori e autorità. Per capire dove i due mondi si incontrano e dove divergono, puoi leggere l'approfondimento su NIS2 e ISO 27001.

Dall'elenco alla pratica

Leggere l'Allegato A è semplice, applicarlo bene lo è meno: la parte difficile è tradurre 93 voci in misure concrete e coerenti con i rischi reali dell'azienda, evitando sia i controlli inutili sia le lacune. È qui che una lettura guidata dello standard fa la differenza, soprattutto nel mid-market dove le risorse dedicate alla sicurezza sono limitate.

AmagisTech affianca le aziende mid-market nella lettura dell'Allegato A e nella costruzione di una SoA aderente ai rischi reali, senza controlli superflui né punti scoperti. Molti controlli tecnologici, come il monitoraggio continuo e la prevenzione della fuga di dati, trovano piena espressione in un presidio operativo di sicurezza gestito. Per orientarti puoi partire dalla guida completa alla ISO 27001, capire le voci di spesa con l'articolo su quanto costa la ISO 27001 e scoprire i nostri servizi di cybersecurity.