L’inventario degli asset è uno dei primi controlli che un auditor ISO 27001 va a verificare ed è anche uno di quelli che fa emergere il maggior numero di incongruenze. Molte organizzazioni si presentano all’audit con un foglio di calcolo che non rispecchia più la realtà: dispositivi mai registrati, uscite mai gestite e proprietari che hanno lasciato l’azienda da mesi. Senza un elenco affidabile di ciò che va protetto, tutto il resto del sistema di gestione poggia su supposizioni.

In questo articolo vediamo cosa intende la norma ISO 27001 per inventario degli asset, cosa richiede, quali asset e quali dati raccogliere, e come costruirlo e mantenerlo senza dipendere dal lavoro manuale.

Cos'è un inventario degli asset secondo la norma ISO 27001?

Un inventario degli asset è il registro completo e aggiornato di tutto ciò che ha valore per la sicurezza delle informazioni in un’organizzazione, con un responsabile assegnato a ogni elemento. La norma non parla solo di computer o server. Un asset è qualsiasi cosa che l’azienda deve proteggere, perché la sua perdita, il furto o l’uso improprio comprometterebbe la riservatezza, l’integrità o la disponibilità delle informazioni.

La norma ISO 27001 distingue due grandi categorie:

Asset informativi: i dati in sé, indipendentemente dal supporto. Database dei clienti, contratti, codice sorgente, documentazione tecnica, proprietà intellettuale.
Asset associati: tutto ciò che supporta, elabora, archivia o trasmette quelle informazioni. Laptop, dispositivi mobili, server, applicazioni, licenze software, servizi cloud e persino le persone che vi hanno accesso.

Perché l'inventario è la base dell'SGSI?

Non si può proteggere ciò di cui si ignora l’esistenza. Un dispositivo che non compare nell’inventario non viene aggiornato con le patch, non viene cifrato e non viene revocato quando il suo utente lascia l’azienda. È esattamente il tipo di asset da cui passa un incidente.

L’inventario condiziona direttamente tutto il resto del sistema di gestione della sicurezza delle informazioni (SGSI):

Analisi dei rischi: valutare i rischi richiede di sapere prima su cosa si sta valutando. Senza inventario, la valutazione resta incompleta per definizione.
Classificazione delle informazioni: non si può decidere cosa proteggere con maggiore rigore se prima non è identificato e catalogato.
Controllo degli accessi: sapere chi deve accedere a cosa presuppone di avere chiaro quali asset esistono e chi ne è responsabile.
Gestione degli incidenti: di fronte a un incidente, l’inventario permette di delimitare l’ambito coinvolto e sapere quali asset sono interessati.

Cosa richiede la norma ISO 27001 sull'inventario degli asset?

Il requisito si trova nel controllo 5.9 dell’Allegato A della norma ISO/IEC 27001:2022, «Inventario delle informazioni e di altri asset associati» (equivalente del vecchio A.8.1.1 della versione del 2013). La norma chiede di elaborare e mantenere un inventario degli asset informativi e degli asset associati, indicandone i proprietari.

Questo controllo non viaggia da solo. È accompagnato da altri due che completano il ciclo di vita dell’asset:

Controllo 5.10 (uso accettabile): definire regole per l’utilizzo e la gestione delle informazioni e degli asset associati.
Controllo 5.11 (restituzione degli asset): garantire che, al termine del rapporto di lavoro o contrattuale, la persona restituisca gli asset che le erano stati assegnati.

Da questi requisiti derivano tre condizioni che l’auditor verificherà. L’inventario deve essere completo, senza tralasciare asset rilevanti. Ogni asset deve avere un proprietario identificato. E tutto deve essere aggiornato e coerente con ciò che è realmente in uso. L’assenza di una qualsiasi delle tre si traduce di solito in una non conformità.

Vale la pena ricordare che questo requisito non è esclusivo della ISO 27001. La gestione degli asset compare anche tra le misure minime della direttiva NIS2 — recepita in Italia dal D.Lgs. 138/2024, sotto la supervisione dell’ACN — e tra le misure minime di sicurezza ICT per le pubbliche amministrazioni dell’AgID. Un inventario ben costruito copre quindi più framework contemporaneamente.

Quali asset vanno inclusi nell'inventario?

L’errore più comune è limitare l’inventario all’hardware. La norma ISO 27001 abbraccia uno spettro più ampio, perché le informazioni si appoggiano a categorie di asset molto diverse tra loro:

Hardware: laptop, desktop, dispositivi mobili, tablet, server, apparati di rete e dispositivi di archiviazione.
Software: sistemi operativi, applicazioni desktop, strumenti interni e licenze.
Informazioni e dati: database, file, documentazione, backup e log, ovunque risiedano.
Servizi cloud e SaaS: piattaforme di posta, CRM, archiviazione, strumenti di collaborazione e qualsiasi servizio sottoscritto che tratti informazioni aziendali.
Asset immateriali: proprietà intellettuale, reputazione, know-how e dati privi di un supporto fisico unico.
Persone: dipendenti, collaboratori e fornitori con accesso a informazioni o ad altri asset, nella misura in cui quell’accesso va controllato.

Il SaaS e i servizi cloud meritano un’attenzione particolare. Sono la fonte abituale dello shadow IT: applicazioni sottoscritte da un team senza passare dall’IT, che non arrivano mai nell’inventario e restano fuori da ogni controllo.

Quali dati deve includere ogni asset dell'inventario?

Registrare solo il nome dell’asset non basta né per superare un audit né per gestire la sicurezza. Ogni voce dell’inventario deve raccogliere i dati che permettono di identificarlo, localizzarlo e sapere chi ne risponde:

Identificativo univoco: un codice o un riferimento che distingua l’asset senza ambiguità.
Descrizione e tipo: cos’è e a quale categoria appartiene (hardware, software, servizio, dato).
Proprietario: la persona o il ruolo responsabile dell’asset e delle decisioni sulla sua protezione.
Ubicazione: dove si trova fisicamente o, nel caso degli asset logici, in quale ambiente risiede.
Stato: se è attivo, in riparazione, in giacenza o dismesso.
Classificazione: il livello di sensibilità delle informazioni che contiene o tratta.
Date di registrazione e di ultima revisione: da quando è censito e quando è stato verificato l’ultima volta.

Come fare l'inventario degli asset passo dopo passo?

Costruire l’inventario da zero è più gestibile affrontandolo per fasi, invece di provare a catalogare tutto in una volta. Questi sei passaggi mettono ordine nel lavoro ed evitano che rimanga a metà:

1. Definire il perimetro

Prima di elencare qualsiasi cosa, occorre delimitare quali aree, processi e sedi rientrano nell’SGSI. Da lì la regola è semplice: dentro il perimetro, tutto; fuori, niente.

Il problema nasce quando il perimetro è definito male. Se è troppo stretto, restano asset non registrati. Se è troppo ampio, si finisce per mantenere informazioni prive di valore, che generano solo lavoro. Conviene metterlo per iscritto e usarlo come filtro ogni volta che sorge un dubbio sull’inclusione di un elemento.

2. Identificare e rilevare gli asset

È qui che l’inventario si vince o si perde. Occorre passare in rassegna ogni categoria — hardware, software, dati, servizi e persone — e far emergere tutto ciò che esiste all’interno del perimetro.

Lo shadow IT e il laptop dimenticato in un cassetto non si presentano da soli: non ci si può affidare alla sola memoria di ogni responsabile. Il rilevamento automatico è il migliore alleato in questo passaggio.

3. Assegnare un proprietario a ogni asset

Nessun elemento deve restare senza responsabile. Il proprietario decide sulla protezione dell’asset e ne risponde.

Quando non è chiaro a chi assegnare qualcosa, quel dubbio è proprio ciò che va risolto, non rimandato. Un inventario con proprietari lasciati in bianco è una non conformità che aspetta l’auditor.

4. Classificare ogni asset

Va attribuito a ogni asset il livello di sensibilità che gli corrisponde in base alle informazioni che gestisce. Per farlo serve una scala propria dell’organizzazione; se non esiste ancora, definirla è il passaggio preliminare, perché senza di essa ognuno classifica a modo suo e la coerenza si perde.

Con la scala a disposizione, la classificazione è rapida e indica dove conviene rafforzare la protezione e dove non serve.

5. Documentare in uno strumento centralizzato

Tutto quanto precede deve vivere in un unico posto da cui poter estrarre evidenze. Un foglio di calcolo isolato diventa obsoleto nel giro di settimane, perché dipende da qualcuno che lo aggiorni a mano. Una piattaforma collegata alle fonti reali si alimenta da sola. Questa differenza non si nota nel quotidiano, ma salta all’occhio il giorno dell’audit, quando viene chiesto lo stato attuale e non una fotografia di sei mesi prima.

6. Rivedere e mantenere l’inventario

Arriviamo al passaggio che quasi tutti trascurano. Un inventario impeccabile il giorno in cui nasce perde valore in fretta se nessuno lo tiene vivo.

Serve una periodicità di revisione e, soprattutto, un processo che riporti ingressi, uscite e cambi di proprietario nel momento stesso in cui avvengono. Il modo più affidabile per ottenerlo è collegare l’inventario agli ingressi e alle uscite del personale: così ogni movimento dell’organico si riflette nel catalogo senza che nessuno debba ricordarsene.

Come costruire e mantenere l'inventario con Factorial IT?

Factorial IT risolve il problema alla radice dell’inventario: la distanza tra ciò che è documentato e ciò che è realmente in uso. Invece di mantenere un foglio di calcolo a mano, la piattaforma rileva e cataloga automaticamente i dispositivi e il software dell’organizzazione, e mantiene un inventario in tempo reale di ogni asset.

Ogni elemento del catalogo include le informazioni richieste dalla norma ISO 27001 e verificate dall’auditor:

Proprietario, stato e costo: chi risponde di ogni dispositivo, in quale situazione si trova e quanto costa, disponibile in pochi secondi.
Tracciabilità di ingressi e uscite: ogni modifica viene registrata, così lo storico riflette l’evoluzione reale del parco dispositivi.
Ciclo di vita completo: dall’assegnazione del dispositivo alla sua dismissione controllata, senza asset fuori supporto che spariscono dai radar.
Evidenze esportabili: report e registri generati in automatico, direttamente utilizzabili come prova di conformità.

La differenza di fondo sta nella connessione con l’HR. Collegando l’inventario agli ingressi e alle uscite del personale, un collaboratore che entra in azienda riceve il suo dispositivo registrato dal primo giorno, e chi se ne va lascia l’asset contrassegnato per la restituzione senza passaggi manuali. È questo collegamento a evitare che l’inventario si disallinei — proprio la causa per cui la maggior parte degli inventari fallisce il giorno dell’audit.

Inventario degli asset ISO 27001: cos’è e come farlo