Che cos'è un controllo in ISO 27001?

Panoramica

Un controllo in ISO 27001 è una misura che modifica o riduce il rischio per la sicurezza delle informazioni. I controlli sono politiche, procedure, pratiche, strutture organizzative o meccanismi tecnici che proteggono la riservatezza, l'integrità e la disponibilità degli asset informativi.

Cosa significa nella pratica

I controlli sono il "come" della sicurezza: le azioni specifiche che si intraprendono per affrontare i rischi identificati. Dopo che la valutazione dei rischi individua le minacce, i controlli sono le contromisure che si implementano per ridurre tali rischi a livelli accettabili.

Tipi di controlli

Per funzione

• Controlli preventivi: Bloccano gli incidenti di sicurezza prima che si verifichino (controlli degli accessi, firewall, crittografia)
• Controlli detective: Identificano gli incidenti di sicurezza mentre si verificano (monitoraggio, logging, rilevamento delle intrusioni)
• Controlli correttivi: Riduccono l'impatto dopo che si sono verificati gli incidenti (ripristino dei backup, procedure di risposta agli incidenti)

Per natura

• Controlli tecnici: Misure basate sulla tecnologia (crittografia, autenticazione, protezione da malware)
• Controlli organizzativi: Politiche, procedure e pratiche di gestione (gestione dei rischi, classificazione degli asset)
• Controlli fisici: Proteggono l'ambiente fisico (serrature, sorveglianza, accesso alle strutture)
• Controlli sulle persone: Misure focalizzate sulle persone (formazione, screening, accordi di riservatezza)

Per approccio di implementazione

• Controlli amministrativi: Regole e procedure documentate
• Controlli logici: Controlli basati su software e sistemi
• Controlli fisici: Misure di protezione tangibili

Controlli dell'Annex A

L'Annex A della ISO 27001:2022 elenca 93 controlli specifici organizzati in quattro temi che le organizzazioni possono selezionare in base alla valutazione dei rischi:

• Controlli organizzativi (A.5.1-A.5.37): 37 controlli per la governance, le politiche, la gestione degli asset, la gestione dei fornitori, la gestione degli incidenti
• Controlli sulle persone (A.6.1-A.6.8): 8 controlli per il ciclo di vita dell'impiego e i rischi legati alle persone
• Controlli fisici (A.7.1-A.7.14): 14 controlli per la sicurezza delle strutture e la protezione degli asset fisici
• Controlli tecnologici (A.8.1-A.8.34): 34 controlli per la sicurezza IT, la gestione degli accessi e le salvaguardie tecniche

Obiettivi dei controlli vs. controlli

Obiettivo del controllo

Il risultato desiderato o l'obiettivo di sicurezza (ad es., "prevenire l'accesso non autorizzato ai dati sensibili").

Controllo

La misura specifica che implementa l'obiettivo (ad es., "autenticazione a più fattori per tutti gli utenti che accedono al database dei clienti").

Perché la distinzione è importante

L'Annex A della ISO 27001 elenca gli obiettivi dei controlli. Il modo in cui si implementa ogni controllo dipende dal contesto organizzativo, dalla tecnologia e dal profilo di rischio. Due organizzazioni possono raggiungere lo stesso obiettivo con implementazioni diverse.

Efficacia dei controlli

Cosa rende efficace un controllo

I controlli devono effettivamente ridurre il rischio, non esistere solo sulla carta. I controlli efficaci sono:

• Implementati: Effettivamente distribuiti e operativi
• Appropriati: Adatti al rischio e al contesto organizzativo
• Misurabili: È possibile verificarne il funzionamento
• Consistenti: Applicati uniformemente in tutta l'organizzazione
• Mantenuti: Aggiornati man mano che i rischi e l'ambiente cambiano

Verifica dell'efficacia dei controlli

• Revisione dei documenti: Verifica che la documentazione dei controlli esista e sia aggiornata
• Osservazione: Osserva i controlli in funzione
• Intervista: Conferma che il personale comprenda e segua le procedure dei controlli
• Test tecnici: Verifica che i controlli tecnici funzionino come configurati
• Campionamento delle evidenze: Rivedi i registri che dimostrano il funzionamento continuo dei controlli

Controlli compensativi

Quando si utilizzano i controlli compensativi

A volte non è possibile implementare un controllo specifico a causa di limitazioni tecniche, vincoli di costo o motivi operativi. I controlli compensativi sono misure alternative che raggiungono la stessa riduzione del rischio.

Requisiti per i controlli compensativi

• Fornire una riduzione del rischio simile o migliore rispetto al controllo originale
• Affrontare lo stesso obiettivo di controllo
• Essere documentati e giustificati nella Dichiarazione di Applicabilità
• Essere accettabili per gli auditor e le parti interessate

Esempi

• Controllo originale: Segmentazione della rete per isolare i sistemi sensibili

• Controllo compensativo: Monitoraggio potenziato e controlli degli accessi se l'architettura di rete impedisce la segmentazione

• Controllo originale: Accesso biometrico per la sala server

• Controllo compensativo: Accesso con badge con monitoraggio CCTV e registri degli accessi se la biometria non è fattibile

Evidenze dei controlli

Cosa cercano gli auditor

Per ogni controllo implementato, gli auditor richiedono evidenze che dimostrino:

• Esistenza: Il controllo è stabilito (documenti delle politiche, configurazioni dei sistemi)
• Funzionamento: Il controllo opera regolarmente (log, report, registri)
• Efficacia: Il controllo riduce il rischio (metriche, risultati dei test, dati sugli incidenti)

Esempi di evidenze per tipo di controllo

• Controlli delle politiche: Documenti delle politiche approvati, cronologia delle versioni, riconoscimenti del personale
• Controlli tecnici: Screenshot delle configurazioni, log di sistema, report delle scansioni
• Controlli dei processi: Checklist completate, ticket di workflow, registri delle revisioni
• Controlli di formazione: Certificati di completamento, registri di presenza, punteggi dei test

Ciclo di vita dei controlli

1. Selezione (Pianificazione)

Basandosi sulla valutazione dei rischi, identifica quali controlli affrontano i rischi identificati. Documenta nella Dichiarazione di Applicabilità.

2. Implementazione (Distribuzione)

Distribuisci i controlli selezionati con un ambito, una tempistica e risorse appropriate. Crea politiche, configura sistemi, forma il personale.

3. Operatività (Giorno per giorno)

Esegui i controlli come parte delle normali operazioni aziendali. Genera evidenze attraverso log, report e registri.

4. Monitoraggio (Continuo)

Traccia l'efficacia dei controlli attraverso metriche, revisioni e test. Identifica tempestivamente i fallimenti o le debolezze dei controlli.

5. Revisione (Periodica)

Valuta se i controlli rimangono appropriati man mano che i rischi, la tecnologia e il business cambiano. Aggiorna o ritira i controlli secondo necessità.

6. Miglioramento (Continuo)

Migliora i controlli in base agli incidenti, ai risultati degli audit, alle nuove minacce o ai miglioramenti tecnologici.

Errori comuni nell'implementazione dei controlli

Implementazione di controlli senza valutazione dei rischi

Selezione dei controlli basata su modelli o "best practice" piuttosto che sulla valutazione dei rischi effettiva. Ciò comporta uno spreco di risorse e può lasciare lacune.

Sovra-documentazione, sotto-implementazione

Creazione di politiche e procedure estese ma senza effettivamente distribuire o operare i controlli.

Mentalità "imposta e dimentica"

Implementazione dei controlli una sola volta durante la preparazione alla certificazione ma senza mantenerli o raccogliere evidenze continue.

Nessuna misurazione dell'efficacia

Presumere che i controlli funzionino senza testare o misurare il loro impatto sulla riduzione del rischio.

Soluzioni puntuali invece di difesa in profondità

Affidarsi a singoli controlli piuttosto che a difese stratificate. Il fallimento di un controllo non dovrebbe comportare una compromissione totale.

Livelli di maturità dei controlli

Livello 1: Iniziale/Ad hoc

I controlli esistono in modo informale o incoerente. Nessuna documentazione o standardizzazione.

Livello 2: Ripetibile

I controlli sono documentati e generalmente seguiti, ma l'implementazione varia per dipartimento o individuo.

Livello 3: Definito

I controlli sono standardizzati, documentati e implementati in modo coerente in tutta l'organizzazione.

Livello 4: Gestito

I controlli sono misurati e monitorati. Le metriche tracciano l'efficacia e le prestazioni.

Livello 5: Ottimizzato

I controlli sono continuamente migliorati in base alle metriche, agli incidenti e all'evoluzione dell'ambiente di rischio.

La certificazione ISO 27001 richiede tipicamente il Livello 3 (definito e coerente). Le organizzazioni mature mirano ai Livelli 4-5.

Controlli in diversi framework

Controlli ISO 27001

93 controlli nell'Annex A, selezione basata sul rischio, riconosciuti a livello internazionale.

Framework NIST

Il NIST CSF utilizza cinque funzioni (Identify, Protect, Detect, Respond, Recover). NIST 800-53 fornisce un catalogo dettagliato di controlli principalmente per i sistemi federali statunitensi.

Criteri di servizio fiduciario SOC 2

Criteri di sicurezza, disponibilità, integrità del trattamento, riservatezza, privacy con requisiti di controllo specifici per le organizzazioni di servizi.

Requisiti PCI DSS

12 requisiti focalizzati sulla protezione dei dati delle carte di pagamento, obbligatori per le organizzazioni che gestiscono pagamenti con carta.

Molti controlli si sovrappongono tra i vari framework. L'approccio basato sul rischio della ISO 27001 spesso soddisfa i requisiti di più framework contemporaneamente.

Concetti correlati

• Annex A Controls - I 93 controlli specifici nella ISO 27001:2022
• Risk Assessment - Processo che determina quali controlli implementare
• Statement of Applicability - Documento che elenca le selezioni dei controlli
• Risk Treatment - Implementazione di controlli per affrontare i rischi
• How to implement ISO 27001 Annex A controls using AI

Ottenere aiuto

Usa ISMS Copilot per identificare i controlli appropriati per i tuoi rischi, creare la documentazione per l'implementazione dei controlli e sviluppare strategie di raccolta delle evidenze per la preparazione all'audit.