ISO/IEC 27002:2022

Nell’ambito della sicurezza delle informazioni e della cybersecurity, uno degli standard internazionali più riconosciuti è la ISO/IEC 27001, pubblicata per la prima volta nel 2005 dall’International Organization for Standardization. Questo standard definisce i requisiti per progettare, implementare, mantenere e migliorare un Sistema di Gestione della Sicurezza delle Informazioni, noto anche come SGSI o ISMS.

Accanto alla ISO/IEC 27001 si colloca la ISO/IEC 27002, documento complementare che fornisce linee guida e indicazioni operative sui controlli di sicurezza richiamati dalla ISO/IEC 27001.

La compresenza dei due standard è spesso motivo di confusione. Pur essendo strettamente collegati, hanno finalità diverse: la ISO/IEC 27001 è lo standard certificabile, utilizzato dalle organizzazioni per ottenere una certificazione da parte di un ente terzo; la ISO/IEC 27002, invece, rappresenta una raccolta di best practice e indicazioni applicative per selezionare, implementare e gestire i controlli di sicurezza.

La pubblicazione della ISO/IEC 27002:2022 non deve quindi essere letta come un elemento di criticità, ma come un’opportunità per rafforzare il livello di sicurezza già previsto dai sistemi certificati secondo la ISO/IEC 27001.

ISO/IEC 27002:2022: cosa cambia rispetto alla versione precedente

La nuova versione dello standard introduce aggiornamenti significativi, a partire dal titolo. La precedente denominazione, "Information technology - Security techniques - Code of practice for information security controls", è stata sostituita da "Information security, cybersecurity and privacy protection - Information security controls".

Il cambiamento non è solo formale. Il nuovo titolo evidenzia il collegamento con il comitato tecnico JTC 1/SC 27, dedicato proprio a sicurezza delle informazioni, cybersecurity e protezione della privacy, e conferma la volontà di raccogliere in un unico documento i principali controlli di sicurezza applicabili a tre aree sempre più interconnesse:

• sicurezza delle informazioni
  
• cybersecurity
  
• protezione dei dati personali

L’aggiornamento risponde quindi all’esigenza delle organizzazioni pubbliche e private di disporre di un riferimento unico e più moderno per affrontare i rischi legati alla trasformazione digitale, all’aumento degli attacchi cyber e alla crescente attenzione normativa in materia di privacy e sicurezza informatica.

In questo senso, la ISO/IEC 27002:2022 rappresenta uno strumento centrale per supportare le aziende nella gestione dei rischi informativi e nel miglioramento continuo dei propri sistemi di sicurezza.

Che impatto ha la ISO/IEC 27002:2022 sulle aziende certificate ISO/IEC 27001?

La ISO/IEC 27002:2022 è particolarmente importante perché ridefinisce le best practice da considerare nell’ambito dei controlli di sicurezza associati alla ISO/IEC 27001.

Con la pubblicazione della ISO/IEC 27001:2022, anche l’Annex A è stato aggiornato e allineato alla nuova struttura della ISO/IEC 27002:2022. I controlli sono passati da 114 a 93 e sono ora organizzati in quattro grandi temi: controlli organizzativi, controlli sulle persone, controlli fisici e controlli tecnologici.

Per le aziende già certificate, questo aggiornamento rappresenta l’occasione per verificare la coerenza tra il proprio Sistema di Gestione della Sicurezza delle Informazioni e la nuova struttura dei controlli. In particolare, sarà necessario rivedere la dichiarazione di applicabilità, valutare i controlli già implementati e identificare eventuali gap rispetto alle nuove indicazioni.

La nuova ISO/IEC 27002 ha inoltre impatti, seppur indiretti, anche su altri standard collegati alla famiglia ISO 27000, come:

• ISO/IEC 27017, per la sicurezza dei servizi cloud
• ISO/IEC 27018, per la protezione dei dati personali nel cloud
• ISO/IEC 27701, per la gestione della privacy
• ISO/IEC 27019, per il settore energia
• ISO/IEC 27011, per le organizzazioni di telecomunicazioni
• ISO/IEC 27799, per il settore sanitario

I principali aggiornamenti della ISO/IEC 27002:2022

L’aggiornamento introduce diverse novità che ridefiniscono in modo sostanziale la struttura dei controlli di sicurezza.

In sintesi, la ISO/IEC 27002:2022 prevede:

• una nuova organizzazione dei controlli in 4 temi, rispetto ai 14 domini precedenti
• una riduzione del numero complessivo dei controlli, da 114 a 93
• l’introduzione di 11 nuovi controlli
• l’accorpamento e la revisione di diversi controlli già esistenti
• l’introduzione di nuovi attributi per classificare e filtrare i controlli in modo più flessibile

I 93 controlli sono distribuiti come segue:

• 37 controlli organizzativi
• 8 controlli sulle persone
• 14 controlli fisici
• 34 controlli tecnologici

Questa nuova struttura rende lo standard più semplice da consultare e più adatto alle esigenze delle organizzazioni moderne, che devono gestire rischi sempre più trasversali tra tecnologia, processi, persone, fornitori e conformità normativa.

I nuovi attributi dei controlli di sicurezza

Una delle novità più rilevanti della ISO/IEC 27002:2022 è l’introduzione degli attributi dei controlli. Gli attributi permettono di classificare, ordinare e filtrare i controlli secondo criteri diversi, facilitando l’analisi e l’applicazione dello standard in base alle specifiche esigenze dell’organizzazione.

A ciascun controllo sono associati cinque gruppi di attributi.

1. Tipo di controllo
Il primo attributo indica la funzione principale del controllo:

• preventivo, se il controllo mira a prevenire un incidente di sicurezza
  
• detettivo, se consente di rilevare un evento o un’anomalia
  
• correttivo, se interviene dopo il verificarsi di un incidente

2. Proprietà di sicurezza delle informazioni
Il secondo attributo collega il controllo ai tre principi fondamentali della sicurezza delle informazioni:

• riservatezza
• integrità
• disponibilità

3. Concetti di cybersecurity
Il terzo attributo richiama le principali fasi della gestione della cybersecurity:

• identificare
• proteggere
• rilevare
• rispondere
• ripristinare

4. Capacità operative
Il quarto attributo riguarda le capacità operative supportate dal controllo, tra cui:

• governance
• gestione degli asset
• protezione delle informazioni
• sicurezza delle risorse umane
• sicurezza fisica
• sicurezza di reti e sistemi
• sicurezza applicativa
• configurazione sicura
• gestione delle identità e degli accessi
• gestione di minacce e vulnerabilità
• continuità operativa
• sicurezza nelle relazioni con i fornitori
• conformità legale e normativa
• gestione degli eventi di sicurezza
• assurance della sicurezza delle informazioni

5. Domini di sicurezza
Il quinto attributo riconduce i controlli a tre macro-domini:

• governance ed ecosistema
• protezione
• difesa e resilienza

Questa classificazione consente alle organizzazioni di creare viste personalizzate dei controlli, utili per audit, risk assessment, piani di adeguamento e attività di monitoraggio.

Gli 11 controlli della ISO/IEC 27002:2022

Tra le modifiche più importanti introdotte dalla nuova versione vi sono gli 11 controlli, pensati per rispondere in modo più efficace alle esigenze di sicurezza delle organizzazioni moderne.

I nuovi controlli riguardano:

• threat intelligence
• sicurezza delle informazioni nell’utilizzo dei servizi cloud
• predisposizione ICT per la continuità operativa
• monitoraggio della sicurezza fisica
• gestione delle configurazioni
• cancellazione delle informazioni
• data masking
• data leakage prevention
• attività di monitoraggio
• web filtering
• secure coding

Questi controlli riflettono l’evoluzione del contesto tecnologico e organizzativo, con particolare attenzione a cloud, protezione dei dati, sviluppo sicuro, monitoraggio continuo e capacità di risposta alle minacce cyber.

Perché aggiornare il Sistema di Gestione della Sicurezza delle Informazioni

Alla luce delle modifiche introdotte, le organizzazioni dovrebbero programmare un aggiornamento del proprio Sistema di Gestione della Sicurezza delle Informazioni.

L’obiettivo non è soltanto mantenere la conformità rispetto alla ISO/IEC 27001, ma anche migliorare l’efficacia dei controlli adottati, rendendoli più coerenti con i rischi attuali.

L’aggiornamento alla ISO/IEC 27002:2022 consente infatti di:

• rafforzare la gestione dei rischi informativi
• integrare meglio sicurezza delle informazioni, cybersecurity e privacy
• migliorare la governance dei controlli
• supportare audit e attività di conformità
• rispondere in modo più strutturato alle minacce digitali
• adeguare il sistema di sicurezza ai nuovi scenari della trasformazione digitale

Per le aziende certificate ISO/IEC 27001, la ISO/IEC 27002:2022 rappresenta quindi un riferimento operativo essenziale per aggiornare i controlli, rafforzare il presidio della sicurezza e garantire un approccio più moderno, integrato e resiliente alla protezione delle informazioni.