Che cos’è
L’audit ISO/IEC 27001 è la verifica di conformità di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI / ISMS) allo standard ISO/IEC 27001:2022. Si distinguono tre tipologie:
- Audit di prima parte (interno) — commissionato dall’organizzazione stessa, solitamente annuale, per verificare il funzionamento del SGSI e prepararsi alle verifiche esterne.
- Audit di seconda parte — condotto da un cliente verso un fornitore (due diligence contrattuale), sempre più frequente nelle catene di subfornitura.
- Audit di terza parte — rilasciato da un ente di certificazione accreditato; è quello che porta al certificato ufficiale.
Io conduco audit di prima e seconda parte, e sono Lead Auditor iscritto per ISO 27001 presso vari enti di certificazione in Italia, Albania e Malta per la terza parte.
Cosa ottieni
- Piano di audit con scope, criteri, campioni, interlocutori.
- Report di audit completo con: punti di forza osservati, non conformità maggiori e minori tracciate ai controlli del Allegato A e della clausola 4–10 della norma, osservazioni (oss.) e opportunità di miglioramento (OM).
- Matrice di tracciabilità controllo ↔ evidenza, utile per dimostrare la conformità a terze parti.
- Piano di azioni correttive con tempistiche realistiche e suggerimenti di priorità.
- Briefing esecutivo per il top management — trasformo l’audit in decisioni, non in un ennesimo documento da archiviare.
A chi si rivolge
- Aziende certificate ISO 27001 che devono condurre l’audit interno annuale obbligatorio (clausola 9.2).
- Organizzazioni in fase di pre-certification — un gap audit 6–8 settimane prima della visita dell’ente certificatore fa la differenza fra un certificato al primo colpo e una procedura di sorveglianza difficile.
- Committenti pubblici o privati che vogliono verificare un fornitore critico (tipico nel settore bancario, sanitario, PA).
- Gruppi multi-sede che devono armonizzare SGSI distribuiti geograficamente.
Metodologia
Seguo le linee guida ISO 19011 per la conduzione degli audit:
- Pianificazione e riesame documentale — analisi di Statement of Applicability, policy, procedure, report di risk assessment, registri, evidenze di audit precedenti.
- Audit on-site (o remoto in modalità ibrida) — interviste strutturate, osservazioni dirette, campionamento di evidenze, test di controlli tecnici selezionati.
- Analisi tecnica puntuale — dove lo standard si interseca con la sicurezza tecnica (crittografia, gestione delle identità, logging, backup) vado oltre la documentazione e verifico l’implementazione reale.
- Riunione di chiusura — restituzione delle evidenze, classificazione delle NC, concordanza sui tempi di risposta.
- Reporting formale entro 10 giorni lavorativi dall’audit.
Perché con me
Sono Lead Auditor ISO/IEC 27001 iscritto presso vari enti di certificazione in Italia, Albania e Malta. A differenza di molti auditor puramente processuali, porto il background tecnico di ethical hacker: quando l’organizzazione dichiara un controllo crittografico, so verificarlo davvero. L’audit non diventa un rituale di carte, ma un esame sostanziale.