L’audit di transizione ISO 27001:2022. La frase incute timore nel cuore di molte startup tecnologiche che sono già state abbastanza diligenti da ottenere la loro certificazione ISO 27001:2013.
Ma non temete. Se siete già certificati ISO 27001:2013, la certificazione è ancora valida fino alla fine del vostro ciclo di certificazione, se questo termina prima del 1° novembre 2025. Maggiori informazioni più avanti.
Perché l’aggiornamento dalla ISO 27001:2013 alla ISO 27001:2022?
Essendo la sicurezza delle informazioni una priorità, gli standard di sicurezza devono essere rivisti e migliorati regolarmente. Va da sé, quindi, che in futuro dovranno essere implementate nuove e migliori versioni della ISO 27001.
Sono passati quasi 10 anni dall’uscita della versione 2013 e, quando tutti saranno passati alla versione 2022, saranno passati 12 anni, quindi è certamente tempo di rivedere la certificazione.
Cosa è cambiato dalla ISO 27001:2013 alla ISO 27001:2022?
Per prima cosa vediamo le differenze tra la ISO 27001:2013 e la ISO 27001:2022. Potete leggere un breve riassunto nel post di Compleye su LinkedIn del 21 marzo.
Le modifiche sono più evidenti nell’Allegato A e riguardano gli aspetti della sicurezza informatica e della privacy. Ci sono 11 nuovi controlli, 58 controlli aggiornati e 24 controlli accorpati.
I nuovi controlli di sicurezza includono:
- Informazioni sulle minacce
- Sicurezza delle informazioni per l’utilizzo di servizi cloud
- Predisposizione informatica per la continuità operativa
- Monitoraggio della sicurezza fisica
- Gestione della configurazione
- Cancellazione delle informazioni
- Mascheramento dei dati
- Mascheramento dati
- Prevenzione della fuga di dati Attività di monitoraggio Filtraggio web
- Codifica sicura
Qual è la tempistica per il passaggio alla ISO 27001:2022?
Come accennato, la vostra certificazione ISO 27001:2013 è valida fino alla fine del suo ciclo attuale, a condizione che tale ciclo si concluda prima del 31 ottobre 2025, che è il termine ultimo per l’implementazione della ISO 27001:2022.
Quindi, se siete attualmente certificati con la versione 2013, la vostra certificazione è ancora valida, ma solo fino al 31 ottobre 2025.
Che cos’è l’audit di transizione della ISO 27001:2022?
L’audit di transizione è l’ispezione che l’auditor condurrà per verificare i nuovi requisiti della ISO 27001:2022. L’auditor verificherà come la vostra organizzazione ha implementato i nuovi controlli.
Quando può essere effettuato l’audit di transizione?
È possibile effettuare l’audit di transizione durante qualsiasi audit programmato. Ciò significa che verrà aggiunto del tempo supplementare all’audit già in corso.
Ma è anche possibile far eseguire separatamente un audit speciale di transizione, in modo da non dover aspettare il prossimo audit programmato e da non dover essere pronti prima di quanto si voglia o si possa essere.
Se la mia organizzazione non è mai stata certificata, dovrei certificarmi con la ISO 27001:2013 o con la ISO 27001:2022?
Anche se, in teoria, potreste certificarvi con la ISO 27001:2013 se avete intenzione di certificarvi prima dell’ottobre 2023, raccomandiamo alle aziende che non dispongono di una certificazione esistente, se possibile, di fare un passo indietro e di puntare direttamente alla ISO 27001:2022
Se decidete di optare per la ISO 27001:2013, l’auditor si aspetterà che facciate un’analisi delle lacune per dimostrare che avete capito cosa dovrete fare per la ISO 27001:2022 e quali risorse aggiuntive saranno necessarie. Questo vale anche per le aziende già certificate che scelgono di rinnovare la certificazione con la versione 2013 della ISO 27001.
Questo è importante perché, se si tenta di adottare la ISO 27001:2022 e non si è pronti, è probabile che si incontrino molte non conformità. Sarebbe meglio implementare la ISO 27001:2013 e completare un’analisi delle lacune, dimostrando di aver compreso ciò che è richiesto e di essere in grado di implementare la ISO 27001:2022 prima del 31 ottobre 2025.
Qual è l’ultima data in cui posso fare l’audit di transizione?
Tutti gli audit di transizione dovrebbero essere condotti entro il 21 luglio 2025.
Naturalmente non avrete bisogno di un audit di transizione se passate direttamente alla ISO 27001:2022.
Contatta Compleye per ricevere ulteriori consigli sulla scelta migliore da fare in vista della transizione!
