Prepari il Suo audit ISO 27001 con l’Appendice A e le evidenze davanti.
Per chi introduce o mantiene un SGSI: HodeiShield valuta i 93 controlli dell’Appendice A (edizione 2022), raccoglie le evidenze di ciascuno e Le indica che cosa manca prima dell’audit di certificazione.
- Il SGSI di Hodeitek è certificato ISO/IEC 27001:2023 (n. 34/5700/26/10159); il suo ambito comprende i sistemi che supportano il SaaS HodeiShield. Non è una certificazione di prodotto
- Dati nell’UE (OVH, Gravelines); Cloudflare (USA) lungo il percorso della richiesta
Che cosa richiede ISO 27001, in breve
La norma fissa i requisiti di un sistema di gestione per la sicurezza delle informazioni. L’Appendice A è un catalogo di riferimento di controlli, non un elenco da soddisfare per intero.
Riepilogo informativo, non consulenza. La certificazione dipende dal Suo campo di applicazione, dalle Sue decisioni sui rischi e dal giudizio dell’organismo di certificazione.
- Contesto, campo di applicazione e leadership
- L’organizzazione determina il proprio contesto, le parti interessate e il campo di applicazione del SGSI, e la direzione stabilisce la politica e i ruoli (punti 4 e 5).
- Valutare e trattare i rischi
- I rischi vengono valutati, si sceglie il trattamento, i controlli necessari sono confrontati con l’Appendice A e ogni inclusione o esclusione è motivata nella Dichiarazione di applicabilità (punti 6.1.2 e 6.1.3).
- Gestire, misurare e sottoporre ad audit
- Il SGSI opera con informazioni documentate, le sue prestazioni sono misurate e si svolgono audit interni e riesami della direzione (punti da 7 a 9).
- Migliorare in modo continuo
- Le non conformità sono corrette e il sistema è migliorato in modo continuo (punto 10).
I quattro temi dell’Appendice A e dove interviene HodeiShield
L’Appendice A dell’edizione 2022 raggruppa 93 controlli in quattro temi. La piattaforma li elenca tutti come checklist, ma opera davvero solo su una parte.
A.5
Organizzativi (37)
Fornitori, incidenti, politiche e rischi hanno un modulo proprio; il resto si segue come checklist con le Sue evidenze.
ParzialeA.6
Persone (8)
Selezione, sensibilizzazione e accordi di riservatezza avvengono fuori dalla piattaforma. Può registrarne lo stato e caricare l’evidenza.
Non copertaA.7
Fisici (14)
La sicurezza di locali e apparecchiature resta fuori dalla piattaforma. Può registrarne lo stato e caricare l’evidenza.
Non copertaA.8
Tecnologici (34)
CVE giornaliere e allerte per componente a partire dall’SBOM; l’agente endpoint fornisce verifiche come evidenza.
Parziale
Da ogni requisito di ISO 27001 a una capacità di HodeiShield
Con fase del ciclo e copertura. Solo ciò che la piattaforma sostiene.
Diretta: lo svolge la piattaforma. Parziale: fornisce evidenze o una parte, il resto spetta a Lei. Non coperta: resta fuori da HodeiShield.
- Obbligo:
Contesto dell’organizzazione, parti interessate e campo di applicazione del SGSI
Punto 4
Che cosa fa HodeiShield:Fuori da HodeiShield. Definire il campo di applicazione e le parti interessate spetta alla direzione.
FaseFuori dal cicloCoperturaNon coperta - Obbligo:
Valutare i rischi per la sicurezza delle informazioni
Punto 6.1.2
Che cosa fa HodeiShield:Registro dei rischi con matrice 5×5 inerente e residua e propensione al rischio dichiarata. Per i fornitori, ALE FAIR in euro con una banda di incertezza simulata (non calibrata). I criteri e la metodologia di valutazione li definisce Lei.
Docs · Motore di rischio (si apre in una nuova scheda)FasePREDICTCoperturaParziale - Obbligo:
Trattare i rischi ed elaborare la Dichiarazione di applicabilità
Punto 6.1.3
Che cosa fa HodeiShield:Ogni rischio riporta il proprio trattamento e le proprie note. Un controllo dell’Appendice A può essere contrassegnato «non applicabile», con la motivazione nelle note, e smette di contare nel punteggio. HodeiShield non genera la Dichiarazione di applicabilità come documento.
Docs · Conformità (si apre in una nuova scheda)FaseFuori dal cicloCoperturaParziale - Obbligo:
Attuare e seguire i controlli dell’Appendice A
Appendice A (93)
Che cosa fa HodeiShield:Checklist dei 93 controlli dell’edizione 2022: stato, responsabile, scadenza, note ed evidenze per controllo. Il punteggio è il rapporto tra controlli attuati e controlli applicabili.
Demo · vista ISO 27001FaseSENSECoperturaDiretta - Obbligo:
Politiche e informazioni documentate
A.5.1; punto 7.5
Che cosa fa HodeiShield:Evidenze con responsabile, data di validità e stato, che Lei carica o collega; quelle scadute non contano più. Una biblioteca di politiche con versioni e registro di ogni modifica. Il contenuto delle politiche è Suo.
Docs · Conformità (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Sicurezza nelle relazioni con i fornitori e nella catena di fornitura ICT
Da A.5.19 ad A.5.22
Che cosa fa HodeiShield:Questionari con token e solleciti, scansione esterna periodica, CVE giornaliere e SBOM dei fornitori. Le clausole contrattuali e il monitoraggio del servizio restano Suoi.
Docs · Motore di rischio (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaParziale - Obbligo:
Gestione degli incidenti relativi alla sicurezza delle informazioni
Da A.5.24 ad A.5.28
Che cosa fa HodeiShield:Un unico registro degli incidenti, ciascuno classificato una sola volta e con evidenze allegate. Le procedure di risposta e le lezioni apprese le documenta Lei.
Demo · registro degli incidentiFaseFuori dal cicloCoperturaParziale - Obbligo:
Gestione delle vulnerabilità tecniche
A.8.8
Che cosa fa HodeiShield:Sincronizzazione giornaliera delle CVE e allerte per componente sugli SBOM che acquisisce. L’agente endpoint riferisce per ciclo e le sue verifiche non entrano nel punteggio di conformità.
Docs · Catena SBOM, CVE e allerta (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Monitoraggio, misurazione ed evidenza per l’auditor o per un cliente
Punto 9.1
Che cosa fa HodeiShield:Postura per framework e attestazione ATTEST con la banda ISO 27001, firmata con ML-DSA-65 e verificabile offline. Prova integrità, origine e momento, non veridicità.
Docs · Verificatore ATTEST (si apre in una nuova scheda)FaseATTESTCoperturaParziale - Obbligo:
Audit interno e riesame della direzione
Punti 9.2 e 9.3
Che cosa fa HodeiShield:Fuori da HodeiShield. Il punteggio e le evidenze possono alimentarli, ma li svolge e li documenta Lei.
FaseFuori dal cicloCoperturaNon coperta
Che cosa HodeiShield non fa con ISO 27001
Che cosa resta fuori, detto prima della demo.
Non certifica la Sua organizzazione
La certificazione ISO/IEC 27001 è rilasciata da un organismo accreditato dopo un audit. HodeiShield misura la Sua postura con le evidenze che fornisce e non sostituisce quell’audit. Il SGSI certificato di Hodeitek SL è quello dell’azienda e non si trasferisce alla Sua organizzazione.
Non genera la Dichiarazione di applicabilità
Può contrassegnare un controllo come non applicabile e annotare il perché, ma la piattaforma non produce quel documento né decide quali controlli Le spettano.
Non modella i punti del sistema di gestione
Il catalogo è quello dell’Appendice A. Contesto, obiettivi, competenza, audit interno e riesame della direzione non hanno un modulo proprio; il registro dei rischi e le evidenze possono alimentarli.
Le evidenze non si raccolgono da sole
Si caricano o si collegano a mano. I collettori cloud sono pianificati e oggi non esistono, e l’agente endpoint riferisce per ciclo, non in tempo reale.
Domande su ISO 27001
Risposte con la portata esatta.
HodeiShield mi certifica ISO 27001?
No. La certificazione è rilasciata da un organismo accreditato dopo l’audit del Suo sistema di gestione. HodeiShield misura la Sua postura con le evidenze che fornisce e segnala ciò che manca; essere pronti per l’audit dipende dalle Sue evidenze e dalle Sue decisioni.
Come viene valutata l’Appendice A?
Ciascuno dei 93 controlli ha uno stato che Lei imposta. Il punteggio è la percentuale di controlli attuati sul totale degli applicabili. Un controllo non valutato non fa salire il punteggio: solo «non applicabile» esce dal calcolo. È un’autovalutazione, non un audit.
Genera la Dichiarazione di applicabilità?
No. Può contrassegnare i controlli come non applicabili e annotarne la motivazione, ma la Dichiarazione di applicabilità come documento, con la giustificazione di ogni inclusione ed esclusione, la redige Lei.
Le stesse evidenze valgono per l’ENS o la NIS2?
Il crosswalk collega i controlli di ISO 27001 ai loro equivalenti in ENS, NIS2, SOC 2, ISO 42001 e NIST CSF 2.0, per non documentare due volte la stessa cosa. Un’equivalenza orienta il lavoro, ma non sostituisce il giudizio dell’auditor di ciascuna norma.
Con quale edizione della norma lavora?
Con ISO/IEC 27001:2022. Il catalogo contiene i 93 controlli della sua Appendice A: da A.5.1 ad A.5.37, da A.6.1 ad A.6.8, da A.7.1 ad A.7.14 e da A.8.1 ad A.8.34.
Soluzioni correlate
Serve aiuto per colmare le lacune?
HodeiShield Le mostra dove sono. Se Le serve un team che le colmi, Hodeitek offre consulenza di governance, rischio e conformità.
È un MSSP? Programma partner
Percorra l’Appendice A con le Sue evidenze davanti
Nella demo contrassegniamo i controlli che Le si applicano e vediamo quali evidenze ha già, quali scadono e che cosa manca prima dell’audit.
Senza impegno. Dati di esempio.