La ISO 27001 non si certifica con uno strumento. Si certifica con un sistema di gestione per la sicurezza delle informazioni, e quel sistema poggia su decisioni della direzione, una valutazione dei rischi, procedure documentate e lo stato reale dei dispositivi e degli accessi. Nessuna piattaforma copre tutte e quattro le cose.
Quello che invece uno strumento risolve è la parte che dipende dai dati. Quali dispositivi ci sono, in che stato si trovano, chi ha accesso a cosa e da quando. Nell’Allegato A sono questi i controlli che consumano più tempo, perché quasi nessuna organizzazione ha il dato a portata di mano e sono gli unici che non si risolvono scrivendo un documento.
In questo articolo si vedrà quali controlli dell’Allegato A copre Factorial IT, con quali prove concrete, e come affrontare la parte che resta fuori, a partire dal sistema di gestione stesso.
Nessuno strumento certifica la ISO 27001
La certificazione ISO 27001 la rilascia un organismo accreditato dopo aver verificato il sistema di gestione, non il software. Qualsiasi fornitore che mostra una tabella con i 93 controlli dell’Allegato A tutti in verde sta spuntando caselle, perché più della metà di quei controlli non dipende da nessuno strumento.
La norma ha due livelli, che conviene distinguere fin dall’inizio.
- Il primo livello è il sistema di gestione, quello che la norma chiama SGSI. Sono i capitoli dal 4 al 10, ed è lì che vivono il perimetro, il ruolo guida della direzione, la valutazione dei rischi, la dichiarazione di applicabilità, gli audit interni e il riesame della direzione. Niente di tutto questo è software. Un documento che nessuno approva non vale come prova, e nessuna piattaforma può approvarlo al posto della direzione.
- Il secondo livello sono i controlli dell’Allegato A, le misure concrete che la valutazione dei rischi decide di applicare. Una parte di questi controlli si dimostra con documentazione e processo. L’altra si dimostra con lo stato reale del parco dispositivi, ed è quella che consuma tempo e che l’auditor verifica dato per dato.
Factorial IT lavora su questo secondo livello. Non gestisce il SGSI, non esegue la valutazione dei rischi e non rilascia la certificazione. Quello che fa è far sì che i controlli tecnici dell’Allegato A che dipendono dai dispositivi e dagli accessi generino la propria prova da soli, con data, così da arrivare all’audit già chiusi.
Perché un inventario in Excel non regge un audit?
Il problema non è che Excel non funzioni. Il problema è che comincia a scadere nel momento stesso in cui si esportano le informazioni del parco dispositivi. L’auditor di certificazione non chiede se esiste una politica di cifratura, chiede su quale percentuale del parco la cifratura è attiva e a quale data è stata verificata. Un documento statico non risponde a questa domanda, e nella ISO questo dettaglio pesa più che in qualsiasi altra norma, perché l’auditor torna. Dopo la certificazione iniziale c’è un audit di sorveglianza ogni anno e una ricertificazione ogni tre anni.
| Cosa guarda l’auditor | Inventario in Excel | Factorial IT |
|---|---|---|
| Aggiornamento del dato | Manuale, quando qualcuno se ne ricorda | In tempo reale, senza intervento |
| Data della prova | Quella del giorno dell’esportazione | Quella del momento in cui la si consulta |
| Copertura del parco | I dispositivi che qualcuno si è ricordato di aggiungere | Tutti quelli che riportano il proprio stato |
| Dispositivi non conformi | Da incrociare a mano | Elenco nominativo con data di rilevamento |
| Uscita di un dipendente | Ricostruita a posteriori | Registrata in automatico |
| Audit di sorveglianza annuale | Il lavoro si ripete ogni volta | Il dato è già generato |
Quale parte del problema risolve Factorial IT?
L’Allegato A della ISO 27001, nella versione del 2022, raccoglie 93 controlli suddivisi in quattro gruppi, ovvero organizzativo, relativo alle persone, fisico e tecnologico. La maggior parte si dimostra con documentazione e processo, una politica approvata, una procedura scritta, un verbale. Una ventina non si dimostrano così. Si dimostrano con lo stato reale del parco e degli accessi, e sono quelli che l’auditor verifica dato per dato.
È qui che entra in gioco Factorial IT. Lo strumento non gestisce il SGSI, non esegue la valutazione dei rischi e non rilascia la certificazione, e non sostituisce nemmeno il consulente che redige le politiche né l’auditor che emette il certificato. Quello che fa è far sì che questi controlli tecnici generino la propria prova da soli, con data, così da arrivare all’audit già chiusi.
Si raggruppano in sei blocchi. Tutti e sei coprono ciò che consuma più tempo e l’unica parte del fascicolo che non si risolve scrivendo un documento.
I controlli dell'Allegato A che copre Factorial IT
Questi sono i sei blocchi in cui Factorial IT genera prove. Ognuno riporta cosa chiede la norma, dove di solito la prova resta insufficiente e cosa aggiunge Factorial IT.
| Controllo (Allegato A) | Cosa richiede | La prova che serve | Come la produce Factorial |
|---|---|---|---|
| Inventario degli asset (A.5.9, A.5.10, A.5.11) | Un inventario degli asset con un proprietario identificato per ciascuno | Un inventario datato, con un proprietario assegnato a ogni dispositivo | Un inventario in tempo reale di un parco misto macOS, Windows, Linux, iOS e Android, con ogni dispositivo collegato a una persona, un team e un reparto |
| Controllo degli accessi e gestione delle identità (A.5.15, A.5.16, A.5.18, A.6.5, A.8.2) | Ciclo di vita delle identità, privilegio minimo e revoca degli accessi all’uscita | Un registro datato di attivazioni, modifiche e revoche, con il tempo tra l’uscita e la chiusura dell’ultimo accesso | Attivazione e disattivazione avviate dall’evento HR, con revoca degli accessi, blocco del dispositivo e rilascio delle licenze nello stesso momento |
| Cifratura e configurazione sicura (A.8.24, A.8.9, A.8.1) | Uso della crittografia e configurazione sicura dei dispositivi degli utenti, applicati e verificati | La percentuale del parco con cifratura attiva a una data precisa e l’elenco nominativo dei dispositivi non conformi | Applicazione e verifica di FileVault e BitLocker e delle politiche di configurazione per ruolo, con rilevamento e correzione automatici degli scostamenti |
| Gestione delle vulnerabilità e degli aggiornamenti (A.8.8) | Rilevamento, valutazione e risoluzione delle vulnerabilità tecniche note | Il livello di patch per dispositivo, il tempo medio di applicazione e l’elenco dei sistemi fuori supporto | Monitoraggio delle versioni, politiche di aggiornamento e rilevamento delle vulnerabilità note e del software fuori supporto |
| Protezione dai malware (A.8.7) | Una protezione dai malware distribuita e attiva su tutti i dispositivi | La copertura reale dell’agent, dispositivo per dispositivo, con la data | Verifica dello stato dell’agent su ogni dispositivo, con integrazione con SentinelOne e ThreatDown, e segnalazione di quelli che ne sono privi |
| Registrazione degli eventi e risposta agli incidenti (A.8.15, A.5.26) | Registrazione degli eventi di sicurezza e risposta agli incidenti secondo un processo definito | Il perimetro dell’incidente e la traccia della risposta, con gli orari | La console restituisce all’istante l’utente del dispositivo coinvolto, i suoi accessi, le sue applicazioni e lo storico delle azioni, con blocco e cancellazione da remoto |
1. Inventario degli asset
Cosa richiede la norma? Un inventario degli asset informativi e degli asset associati, con un proprietario identificato per ciascuno (A.5.9), delle regole di uso accettabile (A.5.10) e la restituzione degli asset quando una persona lascia l’organizzazione (A.5.11).
Dove sta di solito il problema? Quasi tutti hanno un elenco dei dispositivi. Quasi nessuno lo ha collegato alle persone, e senza quel collegamento non si può dimostrare né la revoca degli accessi né il perimetro di un incidente. C’è un secondo problema tipico della ISO, ovvero che l’inventario degli asset è il punto di partenza della valutazione dei rischi e della dichiarazione di applicabilità. Se è incompleto, propaga l’errore a tutto il sistema di gestione.
Cosa fa Factorial IT? Un inventario in tempo reale di un parco misto macOS, Windows, Linux, iOS e Android da un’unica console, con hardware, software installato e versioni. Ogni dispositivo resta collegato a una persona, un team e un reparto grazie alla connessione con il software HR. L’inventario include inoltre le applicazioni SaaS realmente in uso, comprese quelle sottoscritte al di fuori dell’IT.
La prova generata da Factorial IT. Un inventario scaricabile e datato, con un proprietario per asset e la percentuale di copertura del report.
2. Controllo degli accessi e gestione delle identità
Cosa richiede la norma? Un controllo degli accessi definito (A.5.15), una gestione del ciclo di vita delle identità (A.5.16), l’assegnazione, il riesame e la revoca dei diritti di accesso (A.5.18), le responsabilità quando una persona cambia ruolo o esce (A.6.5) e il controllo specifico degli accessi privilegiati (A.8.2).
Dove sta di solito il problema? La procedura di uscita è scritta. Quello che manca è la prova della sua esecuzione. Quasi nessuna azienda sa dire quante ore sono passate, sulle ultime dodici uscite, tra l’ultimo giorno del dipendente e la chiusura dell’ultimo accesso. È esattamente ciò che verifica l’auditor, e ciò che ricorre più spesso in una non conformità.
Cosa fa Factorial IT? L’attivazione e la disattivazione si avviano dall’evento del software HR. Quando una persona entra, account e accessi vengono predisposti in base al suo ruolo. Quando esce, gli accessi vengono revocati, il dispositivo viene bloccato e le licenze vengono liberate.
La prova generata da Factorial IT. Un registro con le date di attivazioni, modifiche e revoche, e il tempo trascorso tra l’uscita registrata nel software HR e la chiusura dell’ultimo accesso.
3. Cifratura e configurazione sicura
Cosa richiede la norma? L’uso della crittografia secondo una politica definita (A.8.24), una gestione della configurazione dei sistemi (A.8.9) e la protezione dei dispositivi degli utenti finali (A.8.1).
Dove sta di solito il problema? La politica che impone la cifratura c’è, ma non c’è il dato su quale percentuale del parco la ha davvero attiva oggi, né l’elenco nominativo dei dispositivi che non la hanno. L’auditor chiede quella percentuale e quell’elenco, non la politica.
Cosa fa Factorial IT? Applicazione e verifica di FileVault e BitLocker su tutto il parco. Politiche di configurazione per ruolo, sistema operativo o stato di sicurezza, con firewall, blocco della sessione, politica delle password e restrizioni sulle periferiche. Gli scostamenti vengono rilevati e corretti in automatico.
La prova generata da Factorial IT. La percentuale di conformità per regola a una data precisa, i dispositivi non conformi e la traccia delle correzioni.
4. Gestione delle vulnerabilità e degli aggiornamenti
Cosa richiede la norma? La gestione delle vulnerabilità tecniche note, che comprende individuarle, valutarle e applicare le misure opportune (A.8.8).
Dove sta di solito il problema? Le patch si applicano, ma non si riesce a documentare il tempo medio di applicazione né a individuare i sistemi già fuori supporto. L’auditor cerca il processo e il dato preciso.
Cosa fa Factorial IT? Monitoraggio delle versioni di sistema operativo e applicazioni, politiche di aggiornamento, rilevamento delle vulnerabilità note per dispositivo con il relativo stato di risoluzione e rilevamento del software fuori supporto.
La prova generata da Factorial IT. Il livello di patch per dispositivo, il tempo medio di applicazione e l’elenco dei sistemi senza supporto.
5. Protezione dai malware
Cosa richiede la norma? Una protezione dai malware distribuita e attiva su tutti i dispositivi (A.8.7).
Dove sta di solito il problema? Si mostra la fattura dell’antivirus, ma ciò che si verifica davvero è la distribuzione effettiva, e quasi sempre c’è tra il 3% e l’8% di dispositivi senza agent o con l’agent fermo.
Cosa fa Factorial IT? Qui conviene essere precisi. Factorial IT non è l’antivirus. È lo strato che dimostra che c’è e che funziona. Integrazione con SentinelOne e ThreatDown, con verifica dello stato dell’agent su ogni dispositivo e segnalazione di quelli che ne sono privi.
La prova generata da Factorial IT. La copertura effettiva dell’antimalware, dispositivo per dispositivo, con la data.
6. Registrazione degli eventi e risposta agli incidenti
Cosa richiede la norma? La registrazione degli eventi di sicurezza rilevanti (A.8.15) e una risposta agli incidenti di sicurezza delle informazioni conforme a un processo definito (A.5.26).
Dove sta di solito il problema? Non nel rilevare, ma nel circoscrivere e nel lasciare traccia. La domanda che blocca la risposta è quali dati, quali accessi e quali sistemi erano alla portata del dispositivo compromesso, e poi cosa è stato fatto e a che ora.
Cosa fa Factorial IT? Quando un incidente coinvolge un dispositivo, la console restituisce all’istante l’utente, i suoi accessi, le sue applicazioni e lo storico delle azioni sul dispositivo. Include il blocco e la cancellazione da remoto, con la traccia di ogni azione.
La prova generata da Factorial IT. Il perimetro dell’incidente e la traccia della risposta, con gli orari.
Dove Factorial IT fa la parte più difficile
Oltre ai sei blocchi precedenti, ci sono tre controlli in cui Factorial IT risolve la parte che dipende dai dati, ma non il controllo per intero. Non restano del tutto fuori, come quelli della sezione successiva, né vengono coperti interamente, come i sei della tabella precedente. In questi tre lo strumento porta un pezzo preciso, e l’altro pezzo lo mette un fornitore esterno o un processo interno.
| Controllo (Allegato A) | Cosa richiede | La parte che copre Factorial | La parte che non copre |
|---|---|---|---|
| Autenticazione sicura (A.8.5) | MFA e autenticazione sicura dove il rischio lo richiede, con la prova degli account in cui è attiva | La visibilità sugli account con MFA attiva, raccolta dal provider di identità | La MFA in sé, fornita da Google Workspace, Microsoft Entra ID o altri |
| Riesame dei diritti di accesso (A.5.18) | Verificare a intervalli regolari che ogni persona conservi solo i permessi di cui ha bisogno | L’inventario degli accessi per persona e l’esecuzione della revoca | L’iter formale di ricertificazione, con un responsabile che riesamina e firma |
| Servizi cloud e fornitori (A.5.23, A.5.19) | Conoscere e valutare il rischio dei fornitori e dei servizi cloud in uso | L’inventario reale dei servizi in uso, shadow IT compreso | La valutazione e la contrattualizzazione di ogni fornitore, che è un processo aziendale |
1. Autenticazione sicura (A.8.5)
L’autenticazione a più fattori è fornita dal provider di identità, cioè il punto in cui i dipendenti effettuano l’accesso. Factorial IT non sostituisce quel provider e non attiva la MFA da solo.
Dove aiuta è sul fronte del controllo. La norma non chiede solo di avere la MFA attiva, chiede di poter dimostrare su quali account lo è, e questa fotografia di solito è sparsa tra più strumenti. L’integrazione con il provider di identità raccoglie queste informazioni in un unico punto, che è proprio ciò che l’auditor chiede di vedere.
2. Riesame dei diritti di accesso (A.5.18)
Questo controllo ha due facce. La prima è avere l’elenco di chi accede a cosa, e questa faccia la risolve già il blocco del controllo degli accessi, con l’inventario per persona sempre aggiornato e la revoca eseguita dall’evento HR. La seconda faccia è l’iter formale di ricertificazione, in cui a intervalli regolari un responsabile riesamina gli accessi del proprio team e attesta con la firma di averli approvati.
È questa seconda faccia che Factorial IT non fornisce, perché non è un dato ma un iter di approvazione in cui sono le persone a validare. Quello che invece riduce è il lavoro preliminare, dato che quel responsabile arriva al riesame con l’elenco degli accessi per persona già pronto invece di ricostruirlo a mano.
3. Servizi cloud e fornitori (A.5.23, A.5.19)
Controllare il rischio che entra dai fornitori ha due parti, sapere quali servizi si usano davvero e valutare quei fornitori con le dovute garanzie.
La prima parte si appoggia su un dato che Factorial IT ha già, l’inventario delle applicazioni SaaS realmente in uso, compreso lo shadow IT sottoscritto al di fuori dell’IT. Quell’inventario è il punto di partenza del controllo, perché non si può valutare il rischio di un fornitore di cui non si sapeva nemmeno di servirsi. La seconda parte, la valutazione e la contrattualizzazione di ogni fornitore con le sue clausole e le sue garanzie, è un processo aziendale e resta fuori dallo strumento.
Ciò che Factorial IT non copre, e come affrontarlo
Queste quattro aree restano fuori da Factorial IT, perché nessuno strumento di questa categoria copre i 93 controlli della norma. Ciononostante, sapere come affrontarle e in che ordine è ciò che distingue un progetto di sei settimane da uno di sei mesi.
| Area | Perché non è software | Cosa fa risparmiare Factorial IT |
|---|---|---|
| Il SGSI, la valutazione dei rischi e la Dichiarazione di Applicabilità | Sono decisioni della direzione e documenti che qualcuno deve approvare e firmare | L’inventario degli asset, da cui parte la valutazione dei rischi, e la prova tecnica che riempie la parte di applicazione della SoA |
| Formazione e sensibilizzazione (A.6.3) | Richiede una piattaforma di formazione con tracciamento per dipendente | L’elenco dei dipendenti per reparto che alimenta quella piattaforma |
| Sicurezza fisica e ambientale (A.7) | Sono controlli su locali, accessi fisici e apparecchiature dell’edificio, un livello distinto dalla postazione di lavoro | L’inventario dei dispositivi con il relativo responsabile e la cancellazione da remoto che attesta l’eliminazione sicura del dispositivo |
| Backup, continuità e sicurezza di rete | Sono server, rete e infrastrutture, più un piano che si redige e si collauda, non la postazione di lavoro | L’inventario dei sistemi su cui si decide cosa è critico |
1. Il SGSI, la valutazione dei rischi e la Dichiarazione di Applicabilità
Questo non è software perché sono decisioni della direzione e documenti che qualcuno deve approvare. La politica di sicurezza, la valutazione dei rischi, il piano di trattamento, l’audit interno e il riesame della direzione sono il cuore del sistema di gestione, e nessuno strumento può firmarli al posto della direzione.
Il modo per affrontarlo è affidarsi a una società di consulenza. Per un’azienda con meno di 300 persone è un progetto di quattro-sei settimane, che dovrebbe restituire elementi concreti.
- Il perimetro del sistema di gestione.
- La politica di sicurezza e l’assegnazione dei ruoli con nomi e cognomi.
- La valutazione dei rischi sugli asset critici e il relativo piano di trattamento.
- La Dichiarazione di Applicabilità, che motiva controllo per controllo cosa si applica e perché.
- Il verbale di approvazione della direzione e il primo audit interno.
2. Formazione e sensibilizzazione (A.6.3)
La norma chiede che i dipendenti ricevano una formazione sulla sicurezza adeguata al proprio ruolo e che la si possa dimostrare. Questo resta fuori da Factorial IT, perché per erogarla serve una piattaforma dedicata che registri chi ha completato ogni corso.
È la misura più economica di tutte e, allo stesso tempo, quella che si tende a rimandare di più. Una piattaforma di simulazione di phishing e microformazione costa poco per dipendente all’anno, e l’unica cosa che viene verificata è che esista il registro di chi ha svolto la formazione. Si attiva una volta e richiede pochissimo mantenimento. La sua unica vera manutenzione è tenere aggiornato l’elenco dei dipendenti che la alimenta, ordinato per reparto, proprio quello che Factorial IT già mantiene invece di gestirlo a mano in un foglio a parte.
3. Sicurezza fisica e ambientale (A.7)
Tutto il blocco A.7 riguarda la protezione del luogo in cui si trovano i sistemi, con le aree sicure, il controllo dell’accesso fisico ai locali, la protezione delle apparecchiature e l’eliminazione sicura del materiale. È un livello di edificio e locali, non di postazione di lavoro, ed è per questo che resta fuori dallo strumento.
La maggior parte di questi controlli si risolve con misure organizzative e fisiche a basso costo quando si ha un ufficio, e se si lavora da remoto il perimetro si riduce e questa riduzione si motiva nella dichiarazione di applicabilità. Dove Factorial IT aggiunge qualcosa è all’estremità che tocca il dispositivo. Ogni dispositivo è collegato a un responsabile e alla sua posizione, e la cancellazione da remoto attesta l’eliminazione sicura quando un dispositivo viene dismesso o smarrito, che è uno dei controlli di questo blocco.
4. Backup, continuità e sicurezza di rete
Sotto questa voce rientrano cose diverse, il backup e il ripristino, il piano di continuità, la sicurezza della rete e il suo monitoraggio. Niente di tutto questo è terreno di Factorial IT, ma conviene distinguerlo per non comprarlo tutto insieme.
Lo strumento di backup è un acquisto e si risolve con l’integratore abituale. Il piano di continuità non si compra, si redige e si collauda, e questo sì richiede tempo interno, perché consiste nel definire quali servizi sono critici, per quanto tempo si può restare senza e chi fa cosa nel frattempo. La sicurezza e il monitoraggio continuo della rete sono un altro livello di infrastruttura, e la sorveglianza a ogni ora è un SOC, di cui si è già parlato nel blocco degli incidenti.
Anche qui l’inventario torna a essere il punto di partenza, perché non si può decidere quali servizi sono critici su sistemi che non sono nemmeno identificati. Si parte dai pochi senza i quali l’azienda si ferma di colpo, non dall’elenco completo.
Come certificarsi ISO 27001 dall'inizio alla fine?
Nel corso dell’articolo i 93 controlli dell’Allegato A sono stati suddivisi in tre gruppi. Quelli che Factorial IT copre con i dati, quelli che copre a metà e quelli che restano fuori perché sono decisioni, documenti o fornitori esterni. E al di sopra dei controlli c’è il sistema di gestione, che è ciò che davvero si certifica. Il problema di questa suddivisione è che poi qualcuno deve mettere insieme tutti i pezzi.
La risposta è che non tocca a chi si certifica mettere insieme i pezzi. Factorial IT risolve il livello tecnico, quello che si dimostra con lo stato reale di dispositivi e accessi, e una società di consulenza specializzata costruisce il SGSI, ovvero il perimetro, la valutazione dei rischi, la dichiarazione di applicabilità e gli audit interni. E non lo fa per conto proprio, ma appoggiandosi ai dati che Factorial IT genera già, così la prova dello strumento è la stessa che sostiene l’intero fascicolo. Quando quel fascicolo è pronto, l’audit di certificazione lo svolge un organismo accreditato indipendente, l’unico a poter emettere il certificato. Quello che sarebbe un progetto con vari interlocutori scollegati diventa un percorso dall’inizio alla fine.
Non è una decisione da rimandare, anche se qui il motore non è una sanzione. Sempre più clienti, gare d’appalto e grandi aziende pretendono il certificato ISO 27001 come requisito per lavorare insieme, e la scadenza non la fissa una legge, la fissa il rinnovo di un contratto o un’offerta che non si vuole lasciar perdere. Partire dalla parte che si risolve con i dati, e appoggiarsi a un partner per il sistema di gestione, è il modo più prevedibile per arrivare in tempo.
