01 · Gap analysis
Confrontiamo la postura attuale con ogni requisito delle clausole da 4 a 10 e con i controlli dell'Annex A, producendo un report prioritizzato che mostra esattamente cosa manca per la conformità e lo sforzo stimato per ogni ambito.
Compliance · Governance
Consulenza ISO 27001 e certificazione dell'SGSI
La consulenza ISO 27001 di Berghem porta la vostra organizzazione dalla diagnosi alla certificazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI): gap analysis rispetto alla ISO/IEC 27001:2022, valutazione e trattamento dei rischi, implementazione dei controlli dell'Annex A e preparazione all'audit di un organismo accreditato.
Che cos'è la certificazione ISO 27001?
La ISO/IEC 27001 è la norma internazionale che definisce i requisiti per stabilire, gestire e migliorare continuamente un Sistema di Gestione della Sicurezza delle Informazioni (SGSI). La certificazione, emessa da un organismo di certificazione accreditato, dimostra a terzi — clienti, regolatori e partner — che la sicurezza delle informazioni è gestita con processi formali e verificabili, non con controlli isolati.
L'edizione vigente, ISO/IEC 27001:2022, include un Annex A con 93 controlli organizzati in quattro temi: organizzativi, relativi alle persone, fisici e tecnologici. Berghem struttura l'SGSI attorno al contesto e ai rischi reali del vostro business, così che la certificazione sia conseguenza di un'operatività sicura — e non un esercizio cartaceo per l'auditor.
Cosa è incluso
•Gap analysis rispetto alla ISO/IEC 27001:2022
•Definizione dell'ambito e del contesto dell'SGSI
•Valutazione e trattamento dei rischi + Dichiarazione di Applicabilità
•Implementazione dei controlli dell'Annex A
•Policy, procedure ed evidenze verificabili
•Audit interno e preparazione agli Stage 1 e 2
Roadmap
Come funziona il percorso verso la certificazione ISO 27001?
La certificazione segue un percorso prevedibile: diagnosi, trattamento dei rischi, implementazione, audit interno e l'audit di certificazione in due stage. Berghem accompagna ogni fase e prepara le evidenze richieste dall'organismo di certificazione.
02 · Contesto e ambito dell'SGSI
Definiamo i confini del sistema — unità, processi, asset e parti interessate —, gli obiettivi di sicurezza e le responsabilità della direzione, base su cui poggiano l'SGSI e la certificazione.
03 · Valutazione e trattamento dei rischi
Strutturiamo la metodologia di rischio, identifichiamo e valutiamo i rischi di sicurezza delle informazioni e definiamo il trattamento di ciascuno, consolidato nella Dichiarazione di Applicabilità (SoA).
04 · Implementazione dei controlli
Rendiamo operativi i controlli applicabili dell'Annex A — policy, gestione degli accessi, crittografia, sicurezza delle operazioni e risposta agli incidenti —, con procedure e registrazioni che generano evidenza reale.
05 · Audit interno e riesame della direzione
Conduciamo l'audit interno dell'SGSI e supportiamo il riesame della direzione, correggendo le non conformità prima che l'organismo di certificazione le trovi.
06 · Audit di certificazione
Prepariamo l'organizzazione allo Stage 1 (riesame documentale) e allo Stage 2 (audit dell'implementazione) dell'organismo accreditato, e supportiamo il trattamento dei rilievi fino all'emissione del certificato.
Annex A
Quali controlli richiede la ISO/IEC 27001:2022?
L'edizione 2022 organizza i 93 controlli dell'Annex A in quattro temi. La Dichiarazione di Applicabilità definisce quali si applicano al vostro contesto — Berghem implementa ed evidenzia ogni controllo selezionato.
Controlli organizzativi
Policy di sicurezza, ruoli e responsabilità, gestione dei fornitori, classificazione delle informazioni, continuità e conformità — la spina dorsale di governance dell'SGSI.
Controlli sulle persone
Screening in assunzione, sensibilizzazione e formazione, responsabilità disciplinari e lavoro da remoto — il fattore umano, bersaglio ricorrente del social engineering.
Controlli fisici
Perimetri sicuri, controllo degli accessi, protezione di apparecchiature, supporti e aree sensibili — la sicurezza del mondo fisico che sostiene il livello logico.
Controlli tecnologici
Gestione degli accessi, crittografia, sicurezza di reti ed endpoint, sviluppo sicuro, logging e monitoraggio — il livello tecnico validato con test reali.
Quali sono le fasi della certificazione e i tempi?
L'audit di certificazione avviene in due stage condotti dall'organismo accreditato. Dalla gap analysis all'emissione del certificato, i tempi tipici vanno da 4 a 9 mesi, a seconda della maturità e dell'ambito dell'organizzazione.
Stage 1 — audit documentale
L'organismo accreditato riesamina la documentazione dell'SGSI — ambito, policy, valutazione dei rischi e Dichiarazione di Applicabilità — per confermare che il sistema sia formalizzato e pronto per l'audit di implementazione.
Stage 2 — audit di implementazione
L'auditor verifica sul campo che i controlli dell'Annex A siano operativi e generino evidenza, intervistando i responsabili ed esaminando le registrazioni. Superato lo Stage 2, il certificato viene emesso.
Tempi tipici (4–9 mesi)
Dalla diagnosi alla certificazione, la maggior parte dei progetti richiede da 4 a 9 mesi. Seguono gli audit di sorveglianza annuali e la ricertificazione completa ogni tre anni.
Qual è la differenza tra l'audit interno e quello di certificazione?
Sono due audit distinti ed entrambi obbligatori. L'audit interno è il vostro; quello di certificazione è dell'organismo accreditato.
Audit interno (riesame della direzione)
Requisito dello stesso SGSI: la vostra organizzazione audita i controlli e porta i risultati al riesame della direzione, correggendo le non conformità prima della certificazione. Berghem conduce questo audit come preparazione.
Audit di certificazione
Condotto da un organismo di certificazione accreditato e indipendente in due stage (documentale e di implementazione). È quello che porta all'emissione del certificato ISO/IEC 27001.
Quanto costa la certificazione ISO 27001?
Non esiste un prezzo unico: l'investimento dipende da fattori che definiamo nella gap analysis iniziale. Al progetto di consulenza si aggiunge la tariffa addebitata a parte dall'organismo di certificazione.
Ambito
Quante unità, processi e asset rientrano nell'SGSI. Un ambito ristretto certifica più in fretta e a costi minori; uno ampio richiede più controlli ed evidenze.
Maturità attuale
Le organizzazioni con controlli e policy già operativi partono avvantaggiate; chi parte da zero deve costruire gran parte dell'SGSI prima dell'audit.
Team e disponibilità
La dimensione del team, la disponibilità dei responsabili e la complessità tecnologica incidono sullo sforzo di implementazione e quindi sul costo totale.
Per un preventivo su misura, parla con uno specialista: Parla con uno specialista.
La ISO 27001 equivale alla conformità alla LGPD?
No. La ISO 27001 è una norma internazionale di gestione della sicurezza delle informazioni; la LGPD è la legge brasiliana sulla protezione dei dati personali. L'SGSI della ISO 27001 fornisce gran parte dei controlli tecnici e di governance richiesti dalla LGPD, ma non copre gli obblighi giuridici — basi giuridiche, diritti dell'interessato e valutazione d'impatto. Integrati, i due programmi riducono molto lo sforzo di conformità.
Come si applica la ISO 27001 per settore?
L'SGSI si adatta al contesto e ai rischi di ogni settore. Alcuni esempi di come strutturiamo ambito e controlli:
Finanziario
Banche, fintech e sistemi di pagamento usano l'SGSI come base per le risoluzioni del BACEN/CMN e il PCI DSS, riutilizzando i controlli tra i framework.
Sanità
Operatori, cliniche e healthtech allineano la protezione dei dati sensibili dei pazienti alla LGPD sulla struttura di controlli della ISO 27001.
Tecnologia
SaaS e fornitori di software usano la certificazione come prerequisito commerciale, dimostrando a clienti e partner che la sicurezza è gestita per processi.
Settore pubblico e altri
Enti e aziende regolamentate costruiscono una governance della sicurezza verificabile, collegando l'SGSI agli altri requisiti di conformità del loro settore.
Perché Berghem
Perché fare la ISO 27001 con un'azienda offensiva?
La maggior parte delle consulenze ISO 27001 si ferma alla carta. Berghem valida i controlli tecnologici dell'Annex A con pentest reale, trasformando la certificazione in evidenza di sicurezza — non solo di conformità.
Controlli validati nella pratica
I controlli tecnologici dell'Annex A ottengono prova di efficacia quando affrontati con il nostro pentest. L'auditor riceve l'evidenza che i controlli funzionano e la vostra organizzazione ottiene una postura di sicurezza reale.
Integrazione col programma di sicurezza
Colleghiamo l'SGSI al resto del vostro programma — pentest, DevSecOps e risposta agli incidenti — così che la certificazione rafforzi l'operatività di sicurezza invece di competere per le risorse.
Preparazione a più framework
L'SGSI della ISO 27001 fa da base per PCI DSS, LGPD e le risoluzioni del BACEN/CMN sulla sicurezza informatica, inclusa la 4.893. Strutturiamo i controlli affinché lo stesso sforzo soddisfi più requisiti.
FAQ
Domande frequenti sulla certificazione ISO 27001
Quanto tempo richiede la certificazione ISO 27001?
Dipende dalla maturità attuale, dall'ambito e dalla disponibilità del team. Le organizzazioni con controlli informali procedono più rapidamente; chi parte da zero deve costruire l'SGSI prima dell'audit. La gap analysis iniziale definisce un cronoprogramma realistico.
Qual è la differenza tra ISO 27001 e ISO 27002?
La ISO 27001 contiene i requisiti certificabili dell'SGSI e l'Annex A con l'elenco dei controlli. La ISO 27002 è la guida di implementazione che dettaglia ogni controllo. Ci si certifica sulla ISO 27001 e si usa la ISO 27002 come riferimento pratico.
Berghem emette il certificato ISO 27001?
No. Il certificato è emesso da un organismo di certificazione accreditato e indipendente, che audita l'SGSI negli Stage 1 e 2. Berghem opera come consulenza: struttura il sistema, implementa i controlli e prepara l'organizzazione a superare quell'audit.
Che cos'è la Dichiarazione di Applicabilità (SoA)?
È il documento che elenca tutti i controlli dell'Annex A e giustifica quali si applicano al vostro contesto, quali sono stati esclusi e perché, oltre allo stato di implementazione di ciascuno. È uno degli artefatti centrali esaminati dall'auditor.
La ISO 27001 aiuta la conformità alla LGPD?
Sì. L'SGSI della ISO 27001 fornisce la struttura di governance e i controlli tecnici che sostengono buona parte dei requisiti di sicurezza della LGPD. Non sostituisce l'adeguamento giuridico, ma riduce molto lo sforzo quando i programmi sono integrati.
Iniziamo
Pronti a certificare il vostro SGSI secondo la ISO 27001?
In una conversazione di 30 minuti mappiamo la vostra maturità attuale e progettiamo il percorso verso la certificazione — dalla gap analysis all'audit dell'organismo accreditato.