Come ottenere la certificazione ISO 27001: guida pratica per SaaS
Dal perimetro e dall’analisi dei rischi agli audit Stage 1 e Stage 2: cosa preparare, chi rilascia il certificato e cosa incide sui costi.
La risposta breve
Per ottenere la certificazione ISO 27001 occorre definire il perimetro, costruire e applicare un sistema di gestione della sicurezza delle informazioni, svolgere audit interno e riesame della direzione, quindi affrontare l’audit indipendente. Amprovia prepara il sistema; l’organismo decide se certificarlo.
Parti dal prodotto che il cliente sta valutando
Definisci entità legale, attività, sedi e informazioni comprese nel sistema. Per un SaaS, mappa sviluppo, hosting, assistenza e fornitori rilevanti. Il certificato del provider cloud non certifica la tua organizzazione.
Costruisci il sistema sui rischi, non su una cartella di modelli
Valuta i rischi per la sicurezza, registra le decisioni di trattamento e documenta i controlli applicabili nella Dichiarazione di Applicabilità. Integra i controlli nel lavoro quotidiano e conserva le evidenze: approvazioni degli accessi, verifiche dei fornitori, gestione degli incidenti e test di ripristino, ove applicabili.
Cosa succede negli audit Stage 1 e Stage 2?
Lo Stage 1 valuta il sistema documentato e la preparazione allo Stage 2. Lo Stage 2 esamina attuazione ed efficacia attraverso interviste ed evidenze a campione. Completa prima audit interno e riesame della direzione e gestisci i rilievi secondo il processo dell’organismo.
Quanto costa la certificazione ISO 27001?
Non esiste un prezzo unico. Perimetro, organico, complessità, controlli esistenti e programma di audit incidono sul preventivo. Distingui preparazione, audit indipendente e mantenimento. Verifica cosa è incluso prima di confrontare le offerte: non pubblichiamo un prezzo universale o tempi garantiti.
Italia, UK e USA: verifica i requisiti del cliente
ISO 27001 è una norma internazionale, non una licenza nazionale. I clienti possono richiedere accreditamento, un perimetro preciso o ulteriori evidenze. La certificazione non dimostra automaticamente conformità al GDPR, non sostituisce una richiesta SOC 2 di un cliente USA e non soddisfa ogni gara britannica. Verifica il contratto prima di scegliere il percorso.
Cosa prepara Amprovia e cosa resta al tuo team
Definiamo le lacune, redigiamo documenti, organizziamo evidenze e prepariamo l’audit insieme al tuo team. La tua organizzazione mantiene la responsabilità di controlli operativi, decisioni e approvazioni. Porta alla discovery call i requisiti del cliente, il perimetro del prodotto e le evidenze già disponibili.
KPI da monitorare, non risultati promessi
Misura il valore della certificazione
- Ore interne
- Misura il tempo del personale su documentazione, evidenze e preparazione all’audit prima e dopo il supporto.
- Costo totale
- Confronta consulenza, costi di audit e tempo del personale sullo stesso ambito, includendo il mantenimento.
- Fiducia dei clienti
- Monitora valutazioni fornitore superate, ammissibilità alle gare e tempo dedicato ai controlli dei clienti. La certificazione da sola non garantisce più vendite.
A cura della redazione Amprovia
Fonti ufficiali
Gestiamo il percorso verso la certificazione.
Analisi delle lacune, documenti, implementazione, evidenze e preparazione all'audit: gestiti con il tuo team dall'inizio alla certificazione.
Prenota una gap analysis gratuita