{"id":206865,"date":"2026-11-10T17:03:44","date_gmt":"2026-11-10T15:03:44","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206865"},"modified":"2026-11-10T17:05:09","modified_gmt":"2026-11-10T15:05:09","slug":"evidenze-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/","title":{"rendered":"Evidenze ISO 27001: cosa chiede l\u2019auditor e come prepararle"},"content":{"rendered":"<p>Le evidenze sono ci\u00f2 che<strong> trasforma il tuo sistema di gestione della sicurezza in qualcosa che un auditor pu\u00f2 verificare<\/strong>. Senza di esse, una politica approvata o un controllo ben progettato non contano ai fini della certificazione.<\/p>\n<p>Il problema \u00e8 che spesso sono sparse tra strumenti, cartelle ed email, e raccoglierle all&#8217;ultimo momento \u00e8 una delle attivit\u00e0 che richiedono pi\u00f9 tempo in qualsiasi<a href=\"https:\/\/factorial.it\/blog\/audit-iso-27001\/\"> audit ISO 27001<\/a>.<\/p>\n<p>In questo articolo vedrai <strong>quali evidenze chiede l&#8217;auditor<\/strong>, come distingue un&#8217;evidenza valida da una che non lo \u00e8, l&#8217;elenco completo per requisito e per controllo dell&#8217;Allegato A e i passaggi per averle pronte in vista dell&#8217;audit.<\/p>\n<h2>Cosa sono le evidenze nella ISO 27001?<\/h2>\n<p>Un&#8217;evidenza \u00e8<strong> qualsiasi informazione verificabile che dimostra che il tuo sistema di gestione per la sicurezza delle informazioni (SGSI) funziona<\/strong> esattamente come lo hai descritto. Se la tua politica dice che i portatili sono cifrati, l&#8217;evidenza \u00e8 il report che mostra quali dispositivi sono cifrati e da quando.<\/p>\n<p>La norma parla di <strong>informazioni documentate<\/strong> e ne distingue due tipi.<\/p>\n<ul>\n<li><strong>Informazioni da mantenere.<\/strong> Sono i documenti che descrivono come funziona il sistema, come <a href=\"https:\/\/factorial.it\/blog\/politica-sicurezza-informazioni\/\">la politica di sicurezza<\/a>, il campo di applicazione o le procedure. Si aggiornano ogni volta che qualcosa cambia.<\/li>\n<li><strong>Informazioni da conservare.<\/strong> Sono le registrazioni che provano ci\u00f2 che \u00e8 successo, come un rapporto di audit interno, un ticket di uscita di un dipendente o un log degli accessi. Non si modificano, si archiviano.<\/li>\n<\/ul>\n<p>Con i documenti dimostri di aver progettato il sistema. Con le registrazioni dimostri di applicarlo. <strong>All&#8217;auditor servono entrambe le cose<\/strong>, ed \u00e8 proprio nelle registrazioni che di solito emergono le lacune.<\/p>\n<p>Se sei arrivato qui cercando il controllo 5.28 dell&#8217;Allegato A, conviene chiarire subito la differenza. Quel controllo si chiama \u00abRaccolta delle evidenze\u00bb e riguarda un tema pi\u00f9 specifico. Richiede una procedura per identificare, raccogliere e preservare le prove dopo un incidente di sicurezza, in modo che siano utilizzabili in un procedimento disciplinare o giudiziario. \u00c8 un requisito che rientra nella gestione degli incidenti, e non ha nulla a che vedere con le evidenze che l&#8217;auditor esamina per rilasciarti la certificazione.<\/p>\n<h2>Quali tipi di evidenze esamina l&#8217;auditor?<\/h2>\n<p>L&#8217;audit di certificazione si svolge in due fasi. Nella <strong>fase 1<\/strong> l&#8217;auditor esamina la documentazione del <a href=\"https:\/\/factorial.it\/blog\/sistema-gestione-sicurezza-informazioni\/\">SGSI<\/a> e verifica che tu sia pronto. Nella <strong>fase 2<\/strong> controlla che quanto documentato venga applicato nella pratica quotidiana. Per farlo combina quattro tipi di evidenze.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Tipo di evidenza<\/th>\n<th style=\"text-align: center;\">In cosa consiste<\/th>\n<th style=\"text-align: center;\">Esempio<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">Documentale<\/td>\n<td style=\"text-align: center;\">Politiche, procedure, verbali e piani approvati<\/td>\n<td style=\"text-align: center;\">Politica di controllo degli accessi firmata dalla direzione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Registrazioni tecniche<\/td>\n<td style=\"text-align: center;\">Esportazioni, log e report generati dai sistemi<\/td>\n<td style=\"text-align: center;\">Report delle patch in sospeso per dispositivo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Interviste<\/td>\n<td style=\"text-align: center;\">Domande ai responsabili di ciascun processo<\/td>\n<td style=\"text-align: center;\">Chiedere al team IT cosa fa quando qualcuno lascia l&#8217;azienda<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Osservazione<\/td>\n<td style=\"text-align: center;\">Verifica diretta di come viene eseguito un controllo<\/td>\n<td style=\"text-align: center;\">Chiedere di mostrare a schermo la configurazione del blocco di un dispositivo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>L&#8217;auditor non controlla tutto, ma lavora a campione. Sceglie tre uscite dell&#8217;ultimo trimestre, cinque portatili a caso o un incidente specifico, e ricostruisce il percorso dall&#8217;inizio alla fine. Basta che un solo campione non corrisponda a quanto dice la politica perch\u00e9 scatti un rilievo.<\/p>\n<p>Per questo non basta che l&#8217;evidenza esista. Perch\u00e9 l&#8217;auditor la consideri valida, deve rispettare alcune condizioni.<\/p>\n<ul>\n<li><strong>Datata.<\/strong> Uno screenshot senza data non dimostra che il controllo fosse attivo durante il periodo oggetto di audit.<\/li>\n<li><strong>Nel campo di applicazione.<\/strong> Deve riferirsi ai sistemi, alle sedi e ai processi inclusi nel SGSI.<\/li>\n<li><strong>Tracciabile.<\/strong> Deve essere chiaro chi l&#8217;ha generata, chi ha approvato l&#8217;azione e a quale controllo si riferisce.<\/li>\n<li><strong>Coerente con la politica.<\/strong> Se la politica prevede un riesame trimestrale degli accessi, l&#8217;auditor si aspetter\u00e0 di trovarne quattro all&#8217;anno.<\/li>\n<li><strong>Autentica.<\/strong> Generata al momento giusto e mai modificata. Una registrazione creata a posteriori \u00e8 peggio che non averla affatto.<\/li>\n<\/ul>\n<h2>Elenco delle evidenze ISO 27001<\/h2>\n<p>L&#8217;elenco si divide in due blocchi. Le evidenze del SGSI rispondono ai<strong> <a href=\"https:\/\/factorial.it\/blog\/struttura-iso-27001\/\">capitoli dal 4 al 10<\/a> <\/strong>e sono obbligatorie per qualsiasi azienda. Le evidenze dei<strong> controlli dell&#8217;Allegato A<\/strong> dipendono dai controlli che hai dichiarato applicabili nella tua <a href=\"https:\/\/factorial.it\/blog\/dichiarazione-applicabilita-iso-27001\/\">dichiarazione di applicabilit\u00e0<\/a>.<\/p>\n<h3>1. Le evidenze del SGSI<\/h3>\n<p>Sono quelle che dimostrano che il sistema di gestione esiste, ha un responsabile e viene riesaminato. Nessuno strumento tecnico le genera al posto tuo, per cui conviene sapere fin dall&#8217;inizio dove si trovano.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Requisito<\/th>\n<th style=\"text-align: center;\">Cosa dimostra<\/th>\n<th style=\"text-align: center;\">Evidenza tipica<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>4.3 Campo di applicazione<\/strong><\/td>\n<td style=\"text-align: center;\">Cosa copre il SGSI e cosa resta escluso<\/td>\n<td style=\"text-align: center;\">Documento del campo di applicazione approvato, con sedi, processi, sistemi e interfacce<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.2 Politica<\/strong><\/td>\n<td style=\"text-align: center;\">L&#8217;impegno della direzione<\/td>\n<td style=\"text-align: center;\">Politica per la sicurezza delle informazioni firmata e comunicata al personale<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.3 Ruoli<\/strong><\/td>\n<td style=\"text-align: center;\">Chi \u00e8 responsabile di cosa<\/td>\n<td style=\"text-align: center;\">Organigramma della sicurezza o matrice delle responsabilit\u00e0<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.2 Valutazione del rischio<\/strong><\/td>\n<td style=\"text-align: center;\">Come identifichi e valuti i rischi<\/td>\n<td style=\"text-align: center;\">Metodologia documentata e risultati dell&#8217;ultima <a href=\"https:\/\/factorial.it\/blog\/valutazione-dei-rischi-iso-27001\/\">valutazione dei rischi<\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.3 Trattamento del rischio<\/strong><\/td>\n<td style=\"text-align: center;\">Cosa decidi di fare con ciascun rischio<\/td>\n<td style=\"text-align: center;\">Piano di trattamento, dichiarazione di applicabilit\u00e0 e accettazione del rischio residuo da parte dei risk owner<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Obiettivi<\/strong><\/td>\n<td style=\"text-align: center;\">Cosa vuoi ottenere e come lo misuri<\/td>\n<td style=\"text-align: center;\">Obiettivi di sicurezza con responsabile, scadenza e indicatore<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.2 Competenza<\/strong><\/td>\n<td style=\"text-align: center;\">Che le figure chiave sono preparate<\/td>\n<td style=\"text-align: center;\">Certificazioni, registri della formazione e mansionari<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.3 Consapevolezza<\/strong><\/td>\n<td style=\"text-align: center;\">Che il personale conosce la politica<\/td>\n<td style=\"text-align: center;\">Registri delle presenze e risultati delle sessioni formative<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Controllo operativo<\/strong><\/td>\n<td style=\"text-align: center;\">Che i processi vengono eseguiti come pianificato<\/td>\n<td style=\"text-align: center;\">Registri delle modifiche, ticket e piani d&#8217;azione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.1 Monitoraggio e misurazione<\/strong><\/td>\n<td style=\"text-align: center;\">Che misuri le prestazioni del SGSI<\/td>\n<td style=\"text-align: center;\">Cruscotto degli indicatori con i risultati per periodo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.2 Audit interno<\/strong><\/td>\n<td style=\"text-align: center;\">Che verifichi il sistema prima di chiunque altro<\/td>\n<td style=\"text-align: center;\">Programma di audit, rapporto dell&#8217;ultimo audit interno e rilievi<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.3 Riesame della direzione<\/strong><\/td>\n<td style=\"text-align: center;\">Che la direzione supervisiona il sistema<\/td>\n<td style=\"text-align: center;\">Verbale dell&#8217;ultimo riesame con le decisioni e le azioni concordate<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>10.2 Non conformit\u00e0<\/strong><\/td>\n<td style=\"text-align: center;\">Che correggi ci\u00f2 che non funziona<\/td>\n<td style=\"text-align: center;\">Registro delle non conformit\u00e0 con analisi delle cause, azione correttiva e verifica dell&#8217;efficacia<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Il riesame della direzione e l&#8217;audit interno sono le due evidenze che si dimenticano pi\u00f9 spesso alla prima certificazione. Entrambi devono essere stati svolti prima della fase 2, con il tempo necessario per chiudere i rilievi.<\/p>\n<h3>2. Le evidenze dei controlli dell&#8217;Allegato A<\/h3>\n<p>L&#8217;Allegato A della ISO\/IEC 27001:2022 raccoglie <strong>93 controlli <\/strong>suddivisi in quattro gruppi. Non tutti si applicano a tutte le aziende, ma ogni controllo che dichiari applicabile ha bisogno di almeno un&#8217;evidenza del suo funzionamento. Queste sono le pi\u00f9 frequenti durante un audit.<\/p>\n<h4><strong>Controlli organizzativi<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controllo<\/th>\n<th style=\"text-align: center;\">Evidenza che l&#8217;auditor chiede di solito<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>5.9 Inventario degli asset<\/strong><\/td>\n<td style=\"text-align: center;\">Inventario aggiornato con un proprietario assegnato a ciascun asset e la data dell&#8217;ultimo riesame<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.10 Utilizzo accettabile<\/strong><\/td>\n<td style=\"text-align: center;\">Regole di utilizzo accettabile e registrazione della loro accettazione da parte del personale<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.11 Restituzione degli asset<\/strong><\/td>\n<td style=\"text-align: center;\">Registro della riconsegna dei dispositivi nelle ultime uscite<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.15 a 5.18 Controllo degli accessi<\/strong><\/td>\n<td style=\"text-align: center;\">Politica degli accessi, richieste approvate, riesami periodici dei permessi e revoca degli accessi nelle uscite<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.19 a 5.22 Fornitori<\/strong><\/td>\n<td style=\"text-align: center;\">Registro dei fornitori critici, clausole di sicurezza nei contratti e valutazioni periodiche<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.23 Servizi cloud<\/strong><\/td>\n<td style=\"text-align: center;\">Elenco dei servizi cloud in uso, responsabile di ciascuno e criteri di selezione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.24 a 5.27 Incidenti<\/strong><\/td>\n<td style=\"text-align: center;\">Procedura di gestione degli incidenti, registro degli incidenti con cronologia e lezioni apprese<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.29 e 5.30 Continuit\u00e0<\/strong><\/td>\n<td style=\"text-align: center;\">Piano di continuit\u00e0 e verbale dell&#8217;ultimo test effettuato<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controlli relativi alle persone<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controllo<\/th>\n<th style=\"text-align: center;\">Evidenza che l&#8217;auditor chiede di solito<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1 Screening<\/strong><\/td>\n<td style=\"text-align: center;\">Procedura di verifica in fase di assunzione e registrazioni della sua applicazione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Termini e condizioni di impiego<\/strong><\/td>\n<td style=\"text-align: center;\">Contratti o allegati firmati con obblighi di sicurezza e riservatezza<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.3 Formazione e consapevolezza<\/strong><\/td>\n<td style=\"text-align: center;\">Piano formativo, presenze e risultati per dipendente<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.5 Responsabilit\u00e0 dopo la cessazione<\/strong><\/td>\n<td style=\"text-align: center;\">Checklist di offboarding completata per le uscite recenti<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.7 Lavoro da remoto<\/strong><\/td>\n<td style=\"text-align: center;\">Politica sullo smart working e configurazione di sicurezza dei dispositivi usati da remoto<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controlli fisici<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controllo<\/th>\n<th style=\"text-align: center;\">Evidenza che l&#8217;auditor chiede di solito<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>7.1 e 7.2 Perimetro e accessi fisici<\/strong><\/td>\n<td style=\"text-align: center;\">Registro degli accessi agli uffici o alle aree riservate<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.9 Asset all&#8217;esterno delle sedi<\/strong><\/td>\n<td style=\"text-align: center;\">Elenco dei dispositivi assegnati fuori dall&#8217;ufficio e misure applicate, come la cifratura o il blocco da remoto<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.10 Supporti di memorizzazione<\/strong><\/td>\n<td style=\"text-align: center;\">Politica sull&#8217;uso dei supporti rimovibili e sua applicazione tecnica<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.14 Dismissione o riutilizzo delle apparecchiature<\/strong><\/td>\n<td style=\"text-align: center;\">Registro della cancellazione sicura o certificato di distruzione dei dispositivi dismessi<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controlli tecnologici<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controllo<\/th>\n<th style=\"text-align: center;\">Evidenza che l&#8217;auditor chiede di solito<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Dispositivi endpoint degli utenti<\/strong><\/td>\n<td style=\"text-align: center;\">Stato di conformit\u00e0 di ogni dispositivo rispetto alle politiche di sicurezza, come il blocco dello schermo, la password o la versione del sistema operativo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.2 Accessi privilegiati<\/strong><\/td>\n<td style=\"text-align: center;\">Elenco degli account con privilegi di amministratore e relativa motivazione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.5 Autenticazione sicura<\/strong><\/td>\n<td style=\"text-align: center;\">Configurazione dell&#8217;autenticazione a pi\u00f9 fattori e sistemi in cui \u00e8 attiva<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.7 Protezione dai malware<\/strong><\/td>\n<td style=\"text-align: center;\">Copertura della soluzione antimalware o EDR per dispositivo e registro degli alert<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.8 Vulnerabilit\u00e0 tecniche<\/strong><\/td>\n<td style=\"text-align: center;\">Report delle patch applicate e in sospeso, con le date<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.9 Gestione della configurazione<\/strong><\/td>\n<td style=\"text-align: center;\">Configurazioni di base approvate e verifica che i dispositivi le rispettino<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.10 Cancellazione delle informazioni<\/strong><\/td>\n<td style=\"text-align: center;\">Registrazioni della cancellazione dei dati sui dispositivi dismessi o riassegnati<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.13 Backup delle informazioni<\/strong><\/td>\n<td style=\"text-align: center;\">Politica di backup, registro delle esecuzioni e test di ripristino<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.15 Logging<\/strong><\/td>\n<td style=\"text-align: center;\">Log dei sistemi critici e periodo di conservazione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.24 Uso della crittografia<\/strong><\/td>\n<td style=\"text-align: center;\">Stato della cifratura dei dischi per dispositivo e gestione delle chiavi di ripristino<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.32 Gestione delle modifiche<\/strong><\/td>\n<td style=\"text-align: center;\">Registro delle modifiche con valutazione, approvazione e test<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Se vuoi ripassare il contenuto di ciascun gruppo prima di costruire il tuo elenco, nell&#8217;articolo sui <a href=\"https:\/\/factorial.it\/blog\/domini-iso-27001\/\">domini della ISO 27001<\/a> trovi il dettaglio di ognuno.<\/p>\n<h2>Come raccogliere le evidenze per l&#8217;audit?<\/h2>\n<p>Le aziende che superano l&#8217;audit senza sorprese hanno qualcosa in comune. <strong>Decidono quale evidenza corrisponde a ogni controllo molto prima che l&#8217;auditor la chieda<\/strong>. Questi sono i passaggi per riuscirci.<\/p>\n<h3>1. Parti dalla dichiarazione di applicabilit\u00e0<\/h3>\n<p>La dichiarazione di applicabilit\u00e0 (SoA) riporta i controlli dell&#8217;Allegato A che hai deciso di applicare e la motivazione di ogni scelta. \u00c8 il miglior punto di partenza, perch\u00e9 ti dice esattamente cosa dovrai dimostrare.<\/p>\n<p><strong>Scorri la SoA controllo per controllo e annota accanto a ciascuno l&#8217;evidenza che ne prova il funzionamento<\/strong>. Se un controllo applicabile non ha nessuna evidenza associata, hai gi\u00e0 trovato la tua prima lacuna. E se dichiari un controllo come implementato ma non puoi mostrare nulla che lo supporti, l&#8217;auditor se ne accorger\u00e0 nella fase 2.<\/p>\n<h3>2. Assegna un responsabile e una frequenza a ogni evidenza<\/h3>\n<p>Un&#8217;evidenza senza responsabile finisce per non essere pi\u00f9 aggiornata. <strong>Ogni evidenza ha bisogno di una persona che la generi e di un&#8217;altra che la verifichi<\/strong>, oltre che di una frequenza in linea con quanto previsto dalla tua politica.<\/p>\n<p>Alcune evidenze si producono una volta all&#8217;anno, come il riesame della direzione. Altre cambiano ogni settimana, come lo stato delle patch. Riunire tutte queste informazioni in una mappa delle evidenze ti d\u00e0 una visione immediata di cosa \u00e8 coperto e cosa no. Pu\u00f2 essere semplice come questa.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controllo<\/th>\n<th>Evidenza<\/th>\n<th>Fonte<\/th>\n<th>Responsabile<\/th>\n<th>Frequenza<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">5.9<\/td>\n<td>Inventario degli asset con proprietario<\/td>\n<td>Strumento di gestione degli asset<\/td>\n<td>Responsabile IT<\/td>\n<td>Continua, riesame trimestrale<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">5.18<\/td>\n<td>Riesame dei permessi<\/td>\n<td>Directory e applicazioni SaaS<\/td>\n<td>Responsabili di area<\/td>\n<td>Trimestrale<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">8.8<\/td>\n<td>Report delle patch<\/td>\n<td>MDM<\/td>\n<td>Responsabile IT<\/td>\n<td>Mensile<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">9.3<\/td>\n<td>Verbale del riesame della direzione<\/td>\n<td>Documento interno<\/td>\n<td>CISO<\/td>\n<td>Annuale<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>3. Centralizza e automatizza le evidenze<\/h3>\n<p>Quando le evidenze sono sparse tra la posta elettronica, cartelle personali e diversi strumenti, ritrovarle richiede ore. E se l&#8217;unica persona che sa dove si trova tutto non \u00e8 disponibile il giorno dell&#8217;audit, le cose si complicano parecchio.<\/p>\n<p>Conservale in <strong>un unico repository<\/strong>, con una cartella per requisito o per controllo e la data nel nome di ogni file. Limita l&#8217;accesso a chi ne ha davvero bisogno, perch\u00e9 molte contengono informazioni sensibili.<\/p>\n<p>Per le evidenze tecniche, come l&#8217;inventario degli asset, la cifratura dei dispositivi o le patch, la soluzione migliore \u00e8 che arrivino direttamente dai<strong> tuoi strumenti di gestione dei dispositivi<\/strong>. Un&#8217;esportazione manuale diventa obsoleta nel giro di poche settimane, mentre un report automatico riflette sempre la situazione reale e riporta la propria data. Se stai ancora valutando quale soluzione adottare, nel nostro confronto dei <a href=\"https:\/\/factorial.it\/blog\/migliori-software-iso-27001\/\">migliori software per conformarsi alla ISO 27001<\/a> trovi le principali alternative.<\/p>\n<h3>4. Fai una simulazione su casi reali<\/h3>\n<p>Prima della fase 2, mettiti nei panni dell&#8217;auditor. Scegli un ingresso recente, un&#8217;uscita dell&#8217;ultimo trimestre e un portatile a caso, e<strong> verifica di riuscire a ricostruire l&#8217;intera catena<\/strong> per ciascun caso.<\/p>\n<p>Per un&#8217;uscita, ad esempio, dovresti poter mostrare la comunicazione dell&#8217;ufficio HR, <a href=\"https:\/\/factorial.it\/blog\/controllo-degli-accessi-iso-27001\/\">la revoca degli accessi<\/a>, la riconsegna del dispositivo e la cancellazione dei dati, il tutto con le relative date. Se uno di questi passaggi manca o non torna con quanto dice la politica, meglio scoprirlo adesso. Quello che non trovi tu, non lo trover\u00e0 nemmeno l&#8217;auditor.<\/p>\n<h3>5. Mantieni le evidenze tra un audit e l&#8217;altro<\/h3>\n<p>La <a href=\"https:\/\/factorial.it\/blog\/come-ottenere-iso-27001\/\">certificazione<\/a> ha <strong>una validit\u00e0 di tre anni<\/strong>, con un audit di sorveglianza ogni anno e una ricertificazione alla fine del ciclo. L&#8217;auditor esaminer\u00e0 le evidenze dell&#8217;intero periodo trascorso dall&#8217;ultima visita, non solo del mese precedente.<\/p>\n<p>Se le evidenze vengono prodotte solo quando l&#8217;audit si avvicina, ogni sorveglianza torna a essere una corsa contro il tempo. <strong>Quelle che si generano in modo continuo<\/strong>, con responsabili e frequenze ben definiti, eliminano il problema e fanno funzionare il sistema anche nel resto dell&#8217;anno.<\/p>\n<h2>Gli errori pi\u00f9 comuni con le evidenze<\/h2>\n<p>La maggior parte delle non conformit\u00e0 che emergono durante un audit ha poco a che fare con controlli inesistenti. Di solito nasce da controlli che esistono ma che non si riesce a dimostrare. Questi sono gli errori pi\u00f9 frequenti.<\/p>\n<ul>\n<li><strong>Screenshot senza contesto.<\/strong> Un&#8217;immagine che mostra \u00abcifratura attiva\u00bb non dice su quale dispositivo, in quale data n\u00e9 se vale per il resto del parco. Gli screenshot possono integrare altre evidenze, ma raramente bastano da soli.<\/li>\n<li><strong>Evidenze create all&#8217;ultimo momento.<\/strong> Un verbale di riesame redatto la settimana prima dell&#8217;audit o un registro compilato con date passate si riconoscono facilmente. E finiscono per compromettere la credibilit\u00e0 del resto del sistema.<\/li>\n<li><strong>La politica dice una cosa e la pratica un&#8217;altra.<\/strong> Se la politica prevede riesami trimestrali degli accessi e ce n&#8217;\u00e8 solo uno all&#8217;anno, l&#8217;auditor sollever\u00e0 una non conformit\u00e0 anche se il riesame \u00e8 fatto bene. Meglio adattare la politica a una frequenza realistica che non rispettarla.<\/li>\n<li><strong>Evidenze disperse.<\/strong> Approvazioni nella posta, esportazioni sul portatile di una persona e ticket in tre strumenti diversi. Quando chi sapeva dove si trovava tutto va in ferie o lascia l&#8217;azienda, le evidenze spariscono con lui.<\/li>\n<li><strong>Asset che non compaiono nell&#8217;inventario.<\/strong> Un portatile che nessuno ha registrato o un&#8217;applicazione SaaS sottoscritta da un reparto senza passare dall&#8217;IT. Se l&#8217;asset non \u00e8 nell&#8217;<a href=\"https:\/\/factorial.it\/blog\/inventario-degli-asset-iso-27001\/\">inventario degli asset<\/a>, nessun controllo gli si applica, e l&#8217;auditor di solito lo scova incrociando i dati.<\/li>\n<li><strong>Uscite non chiuse del tutto.<\/strong> L&#8217;account principale viene disattivato, ma l&#8217;accesso a uno strumento SaaS resta attivo o il portatile non \u00e8 stato riconsegnato. Le uscite sono tra i primi campioni che chiede l&#8217;auditor, perch\u00e9 rivelano subito se i processi HR e IT sono collegati.<\/li>\n<\/ul>\n<h2>Come Factorial IT ti aiuta con le evidenze ISO 27001?<\/h2>\n<p>Buona parte delle evidenze dell&#8217;Allegato A \u00e8 di natura tecnica. Descrivono lo stato dei dispositivi, degli accessi e degli asset aziendali in un momento preciso. Raccoglierle a mano obbliga a esportare i dati da diversi strumenti, incrociarli e ripetere tutto prima di ogni audit.<\/p>\n<p><a href=\"https:\/\/factorial.it\/factorial-it\">Factorial IT<\/a> genera queste evidenze in modo continuo a partire dalla gestione quotidiana del parco dispositivi, e ogni report riporta la propria data.<\/p>\n<ul>\n<li><strong>Inventario degli asset sempre aggiornato (5.9).<\/strong> I dispositivi vengono registrati automaticamente con il proprietario assegnato, su parchi misti macOS, Windows, Linux, iOS e Android. L&#8217;inventario si pu\u00f2 scaricare con la data e la percentuale di copertura.<\/li>\n<li><strong>Stato di sicurezza di ogni dispositivo (8.1, 8.9 e 8.24).<\/strong> Le politiche di sicurezza si applicano dall&#8217;MDM e lo stato di conformit\u00e0 di ogni dispositivo, cifratura del disco compresa, resta registrato.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201960 aligncenter\" src=\"https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png\" alt=\"inventario Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png 1024w, https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-300x146.png 300w, https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-768x373.png 768w, https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Patch e vulnerabilit\u00e0 (8.8).<\/strong> Visibilit\u00e0 sugli aggiornamenti applicati e in sospeso per dispositivo, con il relativo storico.<\/li>\n<li><strong>Protezione dai malware (8.7).<\/strong> L&#8217;EDR integrato mostra la copertura per dispositivo e il registro degli alert e delle risposte.<\/li>\n<li><strong>Uscite collegate all&#8217;HR (5.11, 6.5 e 7.14).<\/strong> Dato che Factorial IT \u00e8 sincronizzato con gli ingressi e le uscite gestiti in Factorial, ogni uscita avvia la revoca degli accessi, la riconsegna del dispositivo e la cancellazione da remoto. Resta registrato il tempo tra l&#8217;uscita nel software HR e la chiusura dell&#8217;ultimo accesso, che \u00e8 proprio il campione che l&#8217;auditor chiede pi\u00f9 spesso.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201970 aligncenter\" src=\"https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png\" alt=\"evidenze Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png 1024w, https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-300x146.png 300w, https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-768x372.png 768w, https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Applicazioni SaaS e accessi (5.15 e 5.23).<\/strong> Visibilit\u00e0 sulle applicazioni in uso, su chi ha accesso a ciascuna e rilevamento degli strumenti usati senza passare dall&#8217;IT.<\/li>\n<li><strong>Modulo Compliance.<\/strong> Riunisce lo stato di questi controlli in un unico posto, cos\u00ec preparare l&#8217;audit significa controllare e scaricare invece di cercare.<\/li>\n<\/ul>\n<p>\u00c8 giusto essere chiari sul limite. Factorial IT lavora sul livello tecnico della conformit\u00e0. Le evidenze del SGSI, come la valutazione dei rischi, la dichiarazione di applicabilit\u00e0, l&#8217;audit interno o il riesame della direzione, dipendono dal tuo team e dal tuo processo di gestione. Nessuno strumento pu\u00f2 sostituirle.<\/p>\n<p>Per coprire questa parte, Factorial offre un <a href=\"https:\/\/factorial.it\/iso-27001\">servizio di certificazione ISO 27001 dall&#8217;inizio alla fine<\/a> insieme a partner specializzati, che accompagna l&#8217;azienda dalla diagnosi fino all&#8217;audit. E se vuoi vedere controllo per controllo quale evidenza genera la piattaforma, trovi tutto nel dettaglio in <a href=\"https:\/\/factorial.it\/blog\/come-factorial-it-aiuta-iso-27001\/\">come Factorial IT aiuta a conformarsi alla ISO 27001<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Le evidenze sono ci\u00f2 che trasforma il tuo sistema di gestione della sicurezza in qualcosa che un auditor pu\u00f2 verificare. Senza di esse, una politica approvata o un controllo ben progettato non contano ai fini della certificazione. Il problema \u00e8 che spesso sono sparse tra strumenti, cartelle ed email, e raccoglierle all&#8217;ultimo momento \u00e8 una<a href=\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":206871,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1093],"tags":[],"class_list":["post-206865","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001-it"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Evidenze ISO 27001: cosa chiede l\u2019auditor | Factorial<\/title>\n<meta name=\"description\" content=\"Hai dubbi sulle evidenze ISO 27001? Ti spieghiamo tutto quello che c\u2019\u00e8 da sapere per preparare l\u2019audit. Scoprilo ora!\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorial.it\/blog\/evidenze-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Evidenze ISO 27001: cosa chiede l\u2019auditor e come prepararle\" \/>\n<meta property=\"og:description\" content=\"Hai dubbi sulle evidenze ISO 27001? Ti spieghiamo tutto quello che c\u2019\u00e8 da sapere per preparare l\u2019audit. Scoprilo ora!\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorial.it\/blog\/evidenze-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-10T15:03:44+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-11-10T15:05:09+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/10170322\/evidenze-iso-27001.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"13 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Evidenze ISO 27001: cosa chiede l\u2019auditor e come prepararle\",\"datePublished\":\"2026-11-10T15:03:44+00:00\",\"dateModified\":\"2026-11-10T15:05:09+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/\"},\"wordCount\":2826,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/\",\"url\":\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/\",\"name\":\"Evidenze ISO 27001: cosa chiede l\u2019auditor | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-11-10T15:03:44+00:00\",\"dateModified\":\"2026-11-10T15:05:09+00:00\",\"description\":\"Hai dubbi sulle evidenze ISO 27001? Ti spieghiamo tutto quello che c\u2019\u00e8 da sapere per preparare l\u2019audit. Scoprilo ora!\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Evidenze ISO 27001: cosa chiede l\u2019auditor | Factorial","description":"Hai dubbi sulle evidenze ISO 27001? Ti spieghiamo tutto quello che c\u2019\u00e8 da sapere per preparare l\u2019audit. Scoprilo ora!","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorial.it\/blog\/evidenze-iso-27001\/","og_locale":"en_US","og_type":"article","og_title":"Evidenze ISO 27001: cosa chiede l\u2019auditor e come prepararle","og_description":"Hai dubbi sulle evidenze ISO 27001? Ti spieghiamo tutto quello che c\u2019\u00e8 da sapere per preparare l\u2019audit. Scoprilo ora!","og_url":"https:\/\/factorial.it\/blog\/evidenze-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-11-10T15:03:44+00:00","article_modified_time":"2026-11-10T15:05:09+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/10170322\/evidenze-iso-27001.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"13 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Evidenze ISO 27001: cosa chiede l\u2019auditor e come prepararle","datePublished":"2026-11-10T15:03:44+00:00","dateModified":"2026-11-10T15:05:09+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/"},"wordCount":2826,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/","url":"https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/","name":"Evidenze ISO 27001: cosa chiede l\u2019auditor | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-11-10T15:03:44+00:00","dateModified":"2026-11-10T15:05:09+00:00","description":"Hai dubbi sulle evidenze ISO 27001? Ti spieghiamo tutto quello che c\u2019\u00e8 da sapere per preparare l\u2019audit. Scoprilo ora!","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/it\/evidenze-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206865"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=206865"}],"version-history":[{"count":3,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206865\/revisions"}],"predecessor-version":[{"id":206872,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206865\/revisions\/206872"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/206871"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=206865"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=206865"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=206865"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}