C’è un equivoco che accompagna molti sistemi di gestione per la sicurezza delle informazioni: considerare l’audit interno un rito documentale, da svolgere una volta l’anno per arrivare preparati alla visita dell’ente di certificazione. In questa versione l’audit mira a verificare che le procedure esistano, che i documenti siano firmati, che i moduli siano compilati.
Tutto vero, tutto necessario, ma non basta.
La ISO/IEC 27001, alla clausola 9.2, chiede infatti qualcosa di più preciso: accertare che il sistema di gestione sia conforme ai requisiti e che sia efficacemente attuato e mantenuto. La domanda giusta non è “il controllo esiste?”, ma “il controllo funziona?”. Ed è una domanda a cui si risponde con evidenze, non con dichiarazioni.
Un programma di audit costruito sul rischio
Il punto di partenza è il programma di audit, che la norma vuole pianificato tenendo conto dell’importanza dei processi e dei risultati degli audit precedenti.
Tradotto in pratica: non tutte le aree meritano la stessa profondità né la stessa frequenza. I processi che trattano le informazioni più critiche, quelli che hanno generato incidenti o rilievi in passato, quelli investiti da cambiamenti recenti — una migrazione, una riorganizzazione, un nuovo fornitore — vanno verificati più spesso e più a fondo.
Per ogni audit vanno poi definiti criteri e perimetro. I requisiti della norma, certo, ma anche le policy interne, la Statement of Applicability, gli obiettivi di sicurezza che l’azienda si è data. Un audit senza criteri espliciti produce opinioni; i criteri espliciti producono rilievi ed evidenze inequivocabili.
Campionare per credere: le evidenze
L’efficacia non si dimostra a parole, si dimostra su campioni. Prendiamo un controllo classico come la revoca degli accessi al termine del rapporto di lavoro. La verifica di esistenza si ferma alla procedura pubblicata sulla intranet. La verifica di efficacia estrae dalla direzione del personale l’elenco delle cessazioni degli ultimi sei mesi, seleziona un campione e va a guardare nei sistemi: quelle utenze risultano disattivate? Entro quanti giorni? Chi ha autorizzato le eccezioni? Lo stesso approccio vale ovunque: per il backup non basta il piano, servono i log delle esecuzioni e almeno un ripristino di prova documentato; per la gestione delle vulnerabilità non basta la policy, servono le scansioni e i tempi effettivi di remediation sul campione scelto.
Il campionamento va dichiarato nel rapporto: quanti elementi, estratti come, su quale popolazione. Non per pignoleria, ma perché è ciò che rende il risultato riproducibile e credibile — anche agli occhi dell’auditor esterno, che su quelle stesse popolazioni tornerà a campionare.
Test, non solo interviste
Le interviste restano preziose per capire come un processo vive davvero, ma l’audit di efficacia le affianca a tecniche più robuste. Il walkthrough segue una transazione reale dall’inizio alla fine — una richiesta di accesso, un cambio in produzione — osservando ogni passaggio. La riesecuzione rifà il controllo in autonomia: se la regola dice che i log vengono rivisti ogni settimana, l’auditor prende una settimana a caso e cerca la traccia della revisione. I test tecnici, dove il perimetro lo consente, verificano direttamente le configurazioni: cifratura attiva, autenticazione a più fattori applicata, segregazione delle reti reale e non solo disegnata. Non è un colloquio pro forma, ma una verifica formale e sostanziale.
Rilievi e cause radice: il valore sta nel perché
Quando la verifica trova uno scostamento, comincia la parte più delicata. La clausola 10.2 distingue con chiarezza due movimenti: la correzione, che sistema il caso specifico, e l’azione correttiva, che rimuove la causa perché il problema non si ripresenti. Se tre utenze di ex dipendenti risultano ancora attive, disattivarle è la correzione. L’azione correttiva richiede prima un’analisi delle cause: la comunicazione tra personale e IT passa per e-mail non tracciate? Il processo non copre i collaboratori esterni? Nessuno ha la responsabilità esplicita del passaggio finale? L’analisi delle cause radice cerca il perché nel processo, non il colpevole nelle persone, ed è la differenza tra un sistema che apprende e uno che accumula rilievi fotocopia, anno dopo anno.
Ogni rilievo merita poi una classificazione onesta — non conformità maggiore, minore, osservazione, opportunità di miglioramento — e un piano con owner e scadenza. La chiusura non coincide con la promessa: coincide con la verifica che l’azione è stata attuata e che funziona.
Misurare l'efficacia nel tempo: gli indicatori
Tra un audit e l’altro, la clausola 9.1 chiede di monitorare e misurare. È qui che entrano in gioco pochi indicatori scelti bene: tempo mediano di revoca degli accessi, percentuale di ripristini di backup riusciti al primo tentativo, tempi di remediation delle vulnerabilità critiche, percentuale di azioni correttive chiuse entro scadenza. Non serve un cruscotto monumentale: servono numeri che qualcuno guarda, con soglie che fanno scattare domande. Gli indicatori danno continuità al lavoro dell’audit e preparano il terreno al passaggio successivo.
Il riesame della direzione: da cerimonia a stanza delle decisioni
Tutto questo materiale converge nel riesame della direzione previsto dalla clausola 9.3, che è il punto in cui il sistema di gestione dimostra di essere uno strumento di governo e non un faldone. Gli ingressi li elenca la norma: risultati degli audit, stato delle azioni correttive, andamento degli indicatori, feedback delle parti interessate, evoluzione dei rischi. Ma è sulle uscite che si misura la qualità del riesame: decisioni. Risorse assegnate o riallocate, priorità riviste, obiettivi aggiornati, ciascuna con un responsabile e una data. Un verbale di riesame che si limita a “prendere atto” è il sintomo più affidabile di un sistema che gira a vuoto; un verbale che assegna decisioni è la prova, davanti a chiunque la chieda, che la sicurezza in azienda ha un ciclo di guida funzionante.
Se vuoi mettere alla prova il tuo sistema
Se leggendo ti sei riconosciuto più nella verifica di esistenza che in quella di efficacia, è il momento buono per alzare l’asticella: la prossima sorveglianza dell’ente di certificazione — e, sempre più spesso, i questionari dei clienti — guarderanno esattamente lì.
Rexilience affianca le aziende con audit di efficacia e gap assessment ISO/IEC 27001 condotti con logica di campionamento e test: l’obiettivo non è produrre un altro documento, ma dirti dove il tuo sistema funziona davvero e dove sta solo dichiarando di funzionare.
Vuoi capire se il tuo sistema ISO 27001 è realmente efficace?
Contattaci per confrontarti con i nostri esperti e valutare lo stato reale del tuo sistema di gestione.