In un panorama digitale in continua evoluzione, anche gli standard per la certificazione della sicurezza delle informazioni si aggiornano.

È stata pubblicata la nuova edizione della norma ISO/IEC 27006-1:2024, che definisce i requisiti per gli Organismi di Certificazione che operano secondo lo schema ISO/IEC 27001.

Sebbene si tratti di una norma tecnica per gli addetti ai lavori, essa introduce modifiche sostanziali che avranno un impatto diretto sulla pianificazione e sulla durata degli audit per le organizzazioni certificate o in fase di certificazione.

Le 3 principali novità per i nostri Clienti

1. Un nuovo conteggio del Personale: Il calcolo delle giornate di audit non si baserà più solo sul numero dei dipendenti interni, ma includerà anche il "personale effettivo" che opera sotto il controllo dell'organizzazione (come consulenti IT fissi e collaboratori esterni critici). Inoltre, se un'organizzazione ha un numero elevato di persone che svolgono esattamente le stesse attività sotto lo stesso set di controlli di sicurezza, il rischio e la variabilità diminuiscono. Di conseguenza, è possibile applicare una riduzione al conteggio del personale totale per ottenere il Personale Effettivo su cui calcolare i giorni di audit.
2. Flessibilità e Audit da Remoto: La norma recepisce l'uso delle tecnologie ICT, permettendo una gestione più flessibile degli audit a distanza, a condizione che venga effettuata una rigorosa analisi del rischio preventiva.
3. Focus sulla Complessità Tecnologica: La durata degli audit sarà maggiormente personalizzata in base alla complessità dell'infrastruttura (es. presenza di Multi-Cloud, Sviluppo Software interno o gestione di dati sensibili su larga scala).

Tempistiche e Transizione

Secondo le direttive internazionali, gli Organismi di Certificazione dovranno adottare i nuovi criteri di calcolo per tutti gli audit di certificazione e rinnovo a partire dal 31 marzo 2025.

Entro il 31 marzo 2026, tutte le aziende certificate ISO 27001 dovranno essere allineate a questi nuovi standard.

Il nostro supporto

In occasione delle prossime verifiche, il nostro ufficio tecnico vi supporterà nella raccolta dei dati necessari per aggiornare la pianificazione dei vostri audit. L'obiettivo comune rimane quello di garantire una verifica che non sia solo un adempimento burocratico, ma un reale valore aggiunto per la protezione della vostra infrastruttura informativa.