ISO/IEC 27001:2023 — Information Security Management System

ISO/IEC 27001 è lo standard internazionale per la gestione della sicurezza delle informazioni (ISMS - Information Security Management System). La revisione 2023 introduce 93 controlli Annex A (vs 114 della 2013) organizzati in 4 temi: organizzativi, sulle persone, fisici, tecnologici. Garantisce che l'azienda certificata abbia: ISMS documentato, gestione rischi, controlli applicati e monitorati, miglioramento continuo, audit periodici. È riconosciuto dai regolatori (incluso IVASS) come strong evidence di maturità sicurezza.

Certificazione ISO/IEC 27001:2023 ottenuta nel febbraio 2025 (Audiso Certification, certificato N° I520, validità 07-02-2025 → 06-02-2028), sorveglianza annuale prevista. La certificazione è emessa da Audiso Certification, organismo accreditato. Lo scope copre l'intero ciclo di vita del software NewPicass 14.Net: progettazione, sviluppo, hosting, supporto. Certificato pubblico disponibile su richiesta + nel Trust Center.

Quelli a maggior impatto per il nostro contesto: A.5.7 Threat intelligence, A.5.23 Information security cloud, A.5.30 ICT readiness BC/DR, A.8.10 Information deletion, A.8.11 Data masking, A.8.12 Data leakage prevention, A.8.23 Web filtering, A.8.24 Cryptography, A.8.28 Secure coding. Tutti i 93 sono documentati nel SoA (Statement of Applicability) condivisibile sotto NDA.

L'organismo certificatore conduce ogni anno un audit di sorveglianza (durata 2-3 giorni on-site + documentale) per verificare il mantenimento dell'ISMS: campionatura controlli, verifica trattamento rischi, audit log, gestione incidenti, formazione. Ogni 3 anni audit di ricertificazione esteso. Eventuali non-conformità minori sono chiuse con piano d'azione; non-conformità maggiori sospendono la certificazione.

Per due diligence vendor: il nostro certificato ISO 27001:2023 sostituisce molti dei questionari di sicurezza che le compagnie compilano normalmente. Il SoA + report audit interno + risultati pen-test sono il pacchetto due diligence standard per il CISO della compagnia. Il certificato pubblico è verificabile presso Audiso Certification. Per audit specifici (es. coverholder audit Lloyd's su requisiti IT) la certificazione ISO è un punto di partenza positivo.

Sì, complementare alla ISO 27001. SOC 2 Type II coprire i 5 Trust Services Criteria (Security, Availability, Confidentiality, Processing Integrity, Privacy) con audit retrospettivo su 12 mesi. Report SOC 2 disponibile sotto NDA per due diligence dei clienti enterprise. Differenza vs ISO: ISO certifica il sistema di gestione, SOC 2 attesta che i controlli sono effettivamente operativi nel periodo audit.