Certificazione ISO 27001 per la tua azienda, a costo fisso fino al certificato
Ti accompagniamo dall'analisi dei rischi all'audit dell'ente di certificazione. Costruiamo il sistema di gestione della sicurezza delle informazioni e le misure di cyber security sui vostri processi reali, senza montagne di carta inutile.
- Assessment iniziale senza impegno
- Prezzo concordato all'inizio, non a giornate
- Un solo referente, dalla prima analisi all'audit finale
Preferisci scrivere? info@memole.it
Richiedi Consulenza ISO 27001
Senza impegno. Ti ricontattiamo per capire da dove partite e quanto lavoro serve davvero.
La certificazione ISO 27001 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni: stabilisce come un'azienda protegge i propri dati, con regole chiare, tecniche di sicurezza e controlli verificabili.
Perché adessoLa cyber security è diventata un requisito commerciale
Un sistema di protezione dei dati non può più mancare in un'azienda che vuole presentarsi sul mercato come affidabile. La certificazione ISO 27001 è il modo riconosciuto in tutto il mondo per dimostrarlo.
Clienti e committenti
Grandi aziende e PA chiedono ai fornitori garanzie scritte su come trattano i loro dati. Il certificato ISO 27001 risponde a tutti i questionari in un colpo solo.
Gare d'appalto
Nei capitolati ICT e dei servizi la ISO 27001 è sempre più spesso un requisito di accesso o un punteggio premiante.
NIS2
Il D.Lgs. 138/2024 chiede misure di gestione del rischio informatico. Un sistema ISO 27001 le organizza in modo verificabile.
Attacchi in aumento
Il danno economico e di reputazione di una violazione dei dati può essere disastroso. Investire in cyber security costa molto meno che rimediare.
Un sistema che protegge l'azienda, non solo un certificato da appendere
- Rispondi ai requisiti contrattuali dei clienti sulla sicurezza delle loro informazioni
- Conosci e governi i rischi di cyber security: attacchi, fughe di dati, furti, errori del personale
- Dimostri il rispetto di leggi e normative, dal Regolamento GDPR alla NIS2
- Formalizzi processi e responsabilità, così la sicurezza non dipende da una sola persona
- Ti distingui dai concorrenti con uno strumento riconosciuto a livello internazionale
Non lavoriamo a tassametro
A fronte dell'importo stabilito, i nostri consulenti vi seguono fino al conseguimento della certificazione, a prescindere dalle giornate.
Prima però ci conosciamo: con l'assessment iniziale entrate nel merito del percorso e noi capiamo le vostre esigenze. Alla fine saremo entrambi in grado di valutare l'impegno richiesto. Solo allora vi facciamo un'offerta.
Inizia dall'assessmentDalla prima analisi al certificato in 11 passi
Partiamo da quello che la vostra azienda fa già bene e lo portiamo ai requisiti della norma. Voi sapete sempre a che punto siete.
1. Analisi del contesto interno ed esterno8%
Si individuano i principali stakeholders aziendali, e quali sono i loro impegni e le aspettative nei confronti dell'azienda
2. Screening delle prassi e dei flussi operativi dell'azienda13%
Si analizza quanto la cultura aziendale ha consolidato in termini di pratiche, valorizzandone la qualificazione rispetto ai requisiti previsti dalla norma di riferimento
3. Analisi dei rischi e delle opportunità16%
Si analizzano i rischi di mancato rispetto dei requisiti della norma, non sufficientemente coperti dalle prassi aziendali, e le opportunità che potrebbero cogliersi con una migliore qualificazione delle prassi stesse
4. Individuazione dei presìdi da adottare per la riduzione del rischio24%
Per i rischi che non presentano sufficiente copertura, si individuano i presìdi adottabili, in termini di migliori controlli, più efficienti modalità operative ecc.
5. Adeguamento dei processi aziendali29%
I presìdi individuati vengono implementati nei processi aziendali
6. Redazione della documentazione di sistema (manuale e procedure)40%
I processi così qualificati sono descritti nella documentazione di sistema (manuale e procedure). Tale documentazione è approvata dalla direzione aziendale ed illustrata al personale
7. Messa in esercizio del sistema49%
Viene curata la concreta applicazione del sistema, intervenendo eventualmente con le revisioni che si rendessero necessarie
8. Verifica dello stato di applicazione del sistema e di conformità ai requisiti della norma di riferimento70%
Tramite cicli di audits interni, sull'intero sistema, se ne verifica lo stato di applicazione e la effettiva conformità alla norma di riferimento
9. Scelta di un ente di certificazione82%
Si individua l'ente accreditato, si presenta la domanda di certificazione e si pianifica l'audit
10. Sostenimento dell'audit89%
L'audit vede come protagonisti l'azienda nel suo complesso, e i suoi dipendenti, che devono dimostrare di possedere sufficiente conoscenza e competenza applicativa della norma e delle procedure di sistema.
11. Conseguimento del certificato100%
Il rapporto dell'auditor con la proposta di certificazione di conformità alla norma, indirizzata al comitato dell'ente, sancisce la conclusione dell'iter di certificazione
Cosa chiede la ISO/IEC 27001:2022
Un sistema di gestione della sicurezza delle informazioni (SGSI): politiche, procedure e controlli per proteggere riservatezza, integrità e disponibilità dei dati. Riguarda persone, processi e tecnologie. Nell'Annex A i controlli sono 93, divisi in quattro temi. La versione in vigore è la ISO/IEC 27001:2022, integrata dall'Amendment 1:2024 sul cambiamento climatico; i certificati sulla vecchia edizione 2013 non sono più validi dal 31 ottobre 2025.
Politiche, ruoli, gestione degli asset, fornitori, incidenti, continuità operativa.
Selezione, formazione, consapevolezza, lavoro da remoto, riservatezza.
Accesso ai locali, protezione delle apparecchiature, scrivania pulita.
Accessi logici, crittografia, backup, reti, sviluppo sicuro, monitoraggio.
Certificazione ISO 27001: cos'è e come ottenerla
Tecnologia delle informazioni, tecniche di sicurezza, sistemi di gestione della sicurezza delle informazioni.
Certificazione ISO 27001
Certificazione di sicurezza dati ISO 27001: cos'è e come ottenerla
ISO/IEC 27001 è lo standard internazionale che aiuta le organizzazioni a stabilire, implementare, rivedere, mantenere, monitorare e migliorare il proprio sistema di gestione della sicurezza delle informazioni (ISMS).
Anche se non tutte le organizzazioni scelgono di ottenere la certificazione ISO 27001, e molte utilizzano lo standard solo come riferimento per un approccio di best practice alla sicurezza delle proprie informazioni, la certificazione di conformità dell'ISMS ai requisiti della ISO 27001 resta comunque la migliore garanzia che una azienda può offrire alla committenza per quanto riguarda l'allineamento del proprio contesto organizzativo e tecnologico alle migliori pratiche adottabili nell'ambito della sicurezza delle informazioni.
Un ISMS ISO 27001 si compone di politiche, procedure, controlli, finalizzati sostanzialmente a gestire i rischi relativi alle informazioni, come attacchi informatici, hack, fughe di dati o furti, a cui può essere soggetto il patrimonio informativo aziendale, e chiama in causa persone, processi e tecnologie.
Lo standard ISO 27001 prevede che il sistema, una volta messo in esercizio, disponga di funzioni di analisi periodica di tutte le risorse informative gestite dalla organizzazione, per individuare i rischi a cui possono essere soggette, e di presìdi che riescano a ricondurre tali rischi ad un livello accettabile.
La certificazione ISO 27001 aiuta a dare evidenza delle buone pratiche di sicurezza adottate dalla azienda, e a migliorare così i rapporti e la fidelizzazione della propria clientela, agendo come ottimo strumento di marketing, in grado di fare la differenza rispetto ai concorrenti.
La ISO 27001 è generalmente accettata come strumento di benchmark globale per determinare il livello di efficacia conseguito da una azienda nella gestione delle risorse informative, e quindi la copertura data ai rischi di perdite finanziarie potenzialmente devastanti causate dalle violazioni dei dati.
Gli attacchi informatici stanno aumentando di volume e di forza ogni giorno, e il danno finanziario e reputazionale causato da un approccio inefficace alla sicurezza delle informazioni può infatti essere disastroso.
Assessment iniziale senza impegno
Voi capite noi, noi capiamo voi
Siamo disponibili ad avviare senza impegno le attività per la certificazione della vostra azienda, per consentire a voi di entrare nel merito del processo, e alla Memole di conoscere meglio l'azienda, le sue necessità e specifiche aspettative.
Alla fine dell'assessment, saremo entrambi più consapevoli, ed in grado di valutare insieme l'impegno prevedibilmente richiesto per giungere al risultato.
In ogni caso, la Memole non lavora "a tassametro": a fronte dell'importo stabilito, i suoi consulenti supportano l'azienda fino al conseguimento della certificazione, a prescindere dalle giornate.
Cyber Security
Certificazione di sicurezza dati ISO 27001: cos'è e come ottenerla
Un sistema di protezione dei dati è ormai uno degli elementi che non può mancare in una azienda che voglia presentarsi sul mercato come affidabile. Nella progettazione di un efficace sistema di protezione aziendale, ed in particolare nella protezione delle informazioni, entrano in gioco numerosi fattori, che richiedono scelte di base condizionate solo parzialmente dalla tipologia dei processi, ma molto da quanto il proprio mercato di riferimento e gli stakeholders istituzionali richiedono sulle problematiche inerenti alla sicurezza.
Non esiste quindi una soluzione già pronta per ogni situazione, ma sono disponibili metodologie riconosciute internazionalmente che forniscono i criteri per giungere a una soluzione la cui affidabilità cresce gradualmente nel tempo, con l'aiuto di una ciclica valutazione del rischio.
Tra i più diffusi modelli di riferimento per costruire e monitorare un sistema di sicurezza informatica (SGSI) il primo è sicuramente lo standard internazionale ISO/IEC 27001 contenente i requisiti per la gestione della sicurezza delle informazioni, che può essere integrato, per gli aspetti più strettamente legati alla tecnologia operativa (OT), con il framework NIST sulla cybersecurity (CSF).
I più evidenti vantaggi che può offrire ad una organizzazione l'adozione di un sistema di gestione per la sicurezza delle informazioni (SGSI) sono:
- soddisfare i requisiti contrattuali dei propri clienti per quanto riguarda la sicurezza delle loro informazioni
- identificare, valutare e gestire i rischi dell'organizzazione, formalizzando al tempo stesso i processi, le procedure e la documentazione relativi alla sicurezza delle informazioni
- dimostrare l'osservanza delle leggi e normative applicabili
- dimostrare l'impegno direzionale per garantire la sicurezza delle informazioni
- garantire il monitoraggio delle prestazioni aziendali e attivare le azioni di miglioramento necessarie
I punti chiave della norma ISO/IEC 27001 sono:
- la valutazione dei rischi coerentemente al contesto di riferimento;
- il concetto di informazione (o risorsa informativa) con relativa valorizzazione;
- gli aspetti economico-finanziari inerenti la Sicurezza delle Informazioni;
- l'aspetto organizzativo (e non solo tecnologico) della Sicurezza delle Informazioni;
- l'efficacia del SGSI e delle contromisure adottate per trattare i rischi.
Essi fissano i requisiti a cui devono rispondere:
- la politica e l'organizzazione per la sicurezza delle informazioni
- la sicurezza delle risorse umane
- la gestione degli asset
- il controllo degli accessi logici
- la crittografia
- la sicurezza fisica e ambientale
- la sicurezza delle attività operative
- la sicurezza delle comunicazioni
- la gestione della sicurezza applicativa
- la relazione con i fornitori coinvolti nella gestione della sicurezza delle informazioni
- il trattamento degli incidenti (relativi alla sicurezza delle informazioni)
- la gestione della Business Continuity
- il rispetto normativo
Approfondimenti su ISO 27001 e cyber security
Guide e servizi collegati alla sicurezza delle informazioni, dal nostro sito.
Volete sapere quanto siete lontani dal certificato?
L'assessment iniziale ve lo dice, senza impegno.
Le domande che ci fanno prima di iniziare
Se la vostra non c'è, chiamateci: rispondiamo dal lunedì al venerdì, dalle 9 alle 18.
Quanto tempo serve per ottenere la certificazione ISO 27001?
Dipende dalle dimensioni dell'azienda, dal perimetro da certificare e da quanto è già strutturata la gestione della sicurezza. Per una PMI il percorso richiede in genere alcuni mesi. Il calendario preciso lo definiamo insieme al termine dell'assessment iniziale.
Quanto costa la certificazione ISO 27001?
I costi sono due: la consulenza e l'ente di certificazione. La nostra consulenza ha un costo fisso, concordato dopo l'assessment, che copre il supporto fino al conseguimento del certificato indipendentemente dalle giornate impiegate.
Il costo dell'ente dipende soprattutto dal numero di persone e dal perimetro: vi aiutiamo a confrontare le offerte. Altri dettagli nella FAQ quanto costa la certificazione.
La ISO 27001 è obbligatoria? Che rapporto ha con la NIS2?
La certificazione è volontaria, ma viene richiesta sempre più spesso da clienti, capitolati di gara e committenti della filiera.
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, impone ai soggetti interessati misure di gestione del rischio informatico. Un sistema ISO 27001 è uno dei modi più strutturati per organizzarle, anche se il certificato da solo non equivale alla conformità NIS2.
Chi rilascia il certificato?
Un ente di certificazione accreditato, in Italia da Accredia. Memole è il consulente che prepara l'azienda: vi aiutiamo a scegliere l'ente, presentare la domanda e affrontare l'audit. Leggi anche il ruolo delle società di consulenza.
Quanto dura la certificazione e cosa succede dopo?
Il certificato vale tre anni. Ogni anno l'ente svolge un audit di sorveglianza e alla scadenza un audit di rinnovo. Possiamo seguirvi anche nel mantenimento, con audit interni e riesami periodici. Vedi anche per quanto tempo rimane valida la certificazione.
Serve un reparto IT interno?
No. La ISO 27001 riguarda l'organizzazione prima ancora della tecnologia: persone, processi, fornitori. Molte PMI la ottengono gestendo l'informatica con fornitori esterni, che vengono coinvolti nel sistema.
Il primo passo è una conversazione, non un contratto
Raccontateci la vostra azienda e perché vi serve la ISO 27001. Vi diciamo con franchezza quanto lavoro serve e quanto costa, a costo fisso. Intanto potete vedere chi ci ha già scelto.