ISO 27001 è lo standard internazionale più riconosciuto al mondo per la gestione della sicurezza delle informazioni. È anche uno dei più fraintesi nel contesto delle aziende medie. Ci sono organizzazioni che lo inseguono senza averne realmente bisogno e organizzazioni che dovrebbero averlo e non lo considerano perché assumono che sia solo per grandi corporation.
Questo articolo non cerca di venderti il processo di certificazione. Cerca di darti i dati reali per decidere se abbia senso per la tua azienda adesso, tra 12 mesi o mai.
Cos'è davvero ISO 27001 (e cosa non è)
ISO 27001 è un framework di gestione, non una lista di controlli tecnici. Certifica che la tua organizzazione ha un Sistema di Gestione della Sicurezza delle Informazioni (SGSI) implementato, documentato e in processo di miglioramento continuo. Non certifica che i tuoi sistemi siano sicuri — certifica che hai un processo strutturato per identificare rischi, implementare controlli e migliorare continuamente.
Quanto costa davvero certificarsi
| Componente | Range stimato |
|---|---|
| Consulenza di implementazione (se esternalizzata) | 15.000 € – 45.000 € |
| Audit di certificazione (ente accreditato) | 4.000 € – 12.000 € |
| Strumenti di gestione del SGSI | 2.000 € – 8.000 € / anno |
| Formazione del team interno | 1.500 € – 5.000 € |
| Audit di mantenimento annuale | 3.000 € – 8.000 € |
| Costo totale anno 1 (range tipico) | 25.000 € – 70.000 € |
Quanto tempo richiede davvero
Il timeframe più comune per un'azienda media è da 12 a 18 mesi dall'inizio all'ottenimento della certificazione. I progetti completati in meno di 9 mesi tendono ad avere problemi negli audit di mantenimento.
Le aziende che cercano di certificarsi in meno di 6 mesi stanno quasi sempre costruendo un SGSI di carta. ISO 27001 richiede che il sistema funzioni, non che esista in un PDF.
Quando ha senso certificarsi
- I tuoi clienti target sono enterprise o pubblica amministrazione e lo richiedono come condizione contrattuale
- Gestisci dati sensibili (salute, finanza, dati personali su larga scala)
- Partecipi a gare d'appalto dove la certificazione porta punti differenziatori
- Il tuo settore è soggetto a regolamentazione attiva (NIS2, DORA, ecc.)
Quando non ha ancora senso
- Se non hai un responsabile della sicurezza con tempo reale da dedicare al progetto
- Se nessun cliente o prospect te lo ha chiesto e non lo farà nei prossimi 18 mesi
- Se hai problemi di sicurezza base irrisolti (senza MFA, senza gestione delle patch, senza backup verificati)
Cosa puoi fare prima di certificarti
- Audit della superficie di attacco: sapere esattamente quali asset hai esposti
- MFA su tutti i sistemi critici
- Policy di gestione delle password con password manager aziendale
- Processo documentato di gestione degli accessi (onboarding e offboarding)
- Piano base di risposta agli incidenti
- Backup verificati con procedura di ripristino testata