Un percorso verso la ISO/IEC 27001 spesso sembra iniziare dai controlli: accessi, backup, fornitori, incidenti, formazione. In realtà, una decisione viene prima di tutte: stabilire quale parte dell’organizzazione entra nel sistema di gestione della sicurezza delle informazioni, cioè nel SGSI.

Il perimetro non è una formula da inserire nel certificato né un confine disegnato per comodità. È la descrizione concreta di ciò che l’azienda intende governare: attività, informazioni, persone, tecnologie, sedi e dipendenze esterne rilevanti. Se è troppo vago, rende difficile assegnare responsabilità e produrre evidenze. Se è troppo esteso senza una ragione, può trasformare il progetto in un programma difficile da gestire.

Per le PMI, la scelta più efficace è quella che parte dal business e dai rischi reali, non dall’elenco dei controlli disponibili.

Il perimetro del SGSI: cosa significa davvero

La ISO/IEC 27001:2022 richiede che l’organizzazione determini i confini e l’applicabilità del proprio sistema di gestione della sicurezza delle informazioni. In pratica, significa spiegare con chiarezza quali attività e quali elementi organizzativi sono inclusi, tenendo conto del contesto, delle parti interessate e delle interfacce con ciò che resta esterno.

Il perimetro può riguardare l’intera azienda, ma non deve esserlo automaticamente. Può essere riferito a una sede, a un servizio, a una business unit o a un insieme di processi collegati. La scelta deve essere comprensibile e difendibile: chi legge deve poter capire che cosa viene gestito nel SGSI e quali dipendenze devono comunque essere considerate.

Un buon perimetro non cerca scorciatoie. Evita invece due equivoci ricorrenti: pensare che “la ISO/IEC 27001 riguarda solo l’IT” oppure includere ogni attività aziendale senza valutare se l’organizzazione abbia già ruoli, risorse e modalità per governarla in modo coerente.

Partire dalle attività che creano valore

La prima domanda non è “quali server dobbiamo includere?”. È: “quali attività dobbiamo proteggere perché l’azienda possa mantenere gli impegni presi con clienti, fornitori e altre parti interessate?”.

In una PMI, possono essere rilevanti la gestione delle commesse, lo sviluppo o la custodia di dati tecnici, la produzione di un servizio digitale, l’assistenza remota, la gestione degli ordini, l’amministrazione di informazioni riservate o la relazione con una filiera regolata. L’IT abilita queste attività, ma non le esaurisce.

Una ricognizione iniziale può partire da quattro domande pratiche:

• Quali prodotti o servizi sono coinvolti?
• Quali informazioni sono essenziali per erogarli o sostenerli?
• Quali persone e funzioni prendono decisioni o svolgono attività su tali informazioni?
• Quali eventi potrebbero interrompere il servizio, alterare i dati o comprometterne la riservatezza?

Le risposte permettono di collegare il perimetro a una finalità aziendale concreta, anziché a un inventario tecnico isolato.

Collegare informazioni, sistemi e luoghi di lavoro

Dopo avere individuato le attività, occorre capire dove vivono le informazioni e come vengono trattate. Non è necessario produrre una mappa perfetta al primo tentativo. Serve una vista sufficientemente affidabile per riconoscere i punti che contano.

Per ogni attività inclusa, è utile verificare almeno:

• le informazioni trattate: dati di clienti, progetti, disegni, documenti contrattuali, dati personali, credenziali o altri contenuti riservati;
• i sistemi e gli strumenti che le elaborano o le conservano: applicazioni gestionali, piattaforme cloud, file server, posta elettronica, dispositivi mobili, ambienti di sviluppo e backup;
• i luoghi in cui il lavoro viene svolto: sedi, reparti, lavoro da remoto, data center o ambienti messi a disposizione da terzi;
• le persone e le responsabilità: proprietari dei processi, utenti, IT, direzione e soggetti esterni.

Questo passaggio rende visibili le relazioni tra processi e tecnologie. Ad esempio, un servizio incluso nel perimetro può dipendere da un’identità cloud, da un fornitore di connettività, da un partner di sviluppo o da un sistema di backup esterno. Ignorare queste relazioni non semplifica il SGSI: sposta semplicemente il rischio fuori dalla vista.

I fornitori non spariscono perché sono fuori dal perimetro

Un errore frequente è confondere il confine organizzativo con l’assenza di responsabilità sulle dipendenze. Un fornitore cloud, un outsourcer IT, un partner che sviluppa software o un consulente che accede a informazioni aziendali possono non appartenere all’organizzazione, ma incidere in modo diretto sulle attività incluse nel SGSI.

Per questo, nella definizione del perimetro è importante descrivere le interfacce e le dipendenze esterne. Non significa trasferire automaticamente ogni fornitore dentro il SGSI. Significa capire quali rapporti devono essere gestiti attraverso requisiti contrattuali, criteri di selezione, regole di accesso, verifiche, piani di continuità o altre misure proporzionate.

La domanda utile è: se questo soggetto esterno non svolgesse correttamente il proprio ruolo, quale attività inclusa nel perimetro ne risentirebbe? La risposta aiuta a stabilire priorità e responsabilità.

Rendere il perimetro governabile nel tempo

Un perimetro efficace non resta fermo nel documento iniziale. Cambia quando cambiano il business, i servizi, le sedi, i sistemi, i contratti rilevanti o le modalità con cui l’azienda tratta le informazioni.

Per mantenerlo utile, la direzione e i responsabili di processo dovrebbero poter riconoscere tre elementi: che cosa è incluso, perché lo è e chi deve segnalare un cambiamento significativo. Questo consente di aggiornare valutazioni del rischio, controlli ed evidenze senza scoprire troppo tardi che un nuovo servizio o un nuovo fornitore è diventato critico.

Un perimetro governabile è anche leggibile. Una formulazione breve ma precisa è preferibile a un testo generico. Può indicare, per esempio, il servizio o processo interessato, le sedi coinvolte, le principali piattaforme e le interfacce esterne rilevanti. I dettagli tecnici possono restare in registri e documenti di supporto, aggiornati con maggiore frequenza.

Cinque segnali che indicano un perimetro da rivedere

Vale la pena riaprire la discussione sul perimetro quando:

1. l’azienda avvia un nuovo servizio, entra in una nuova filiera o assume nuovi impegni contrattuali;
2. informazioni rilevanti iniziano a essere gestite con un nuovo sistema o una nuova piattaforma cloud;
3. una funzione, una sede o un fornitore cambia in modo significativo il proprio ruolo;
4. un incidente, un audit o un test di continuità mostra una dipendenza non considerata;
5. le persone coinvolte non sanno più distinguere con chiarezza quali attività e responsabilità rientrano nel SGSI.

Questi segnali non richiedono necessariamente di ampliare il perimetro. Richiedono una decisione esplicita: confermare l’impostazione, modificare il confine oppure gestire diversamente una dipendenza.

Conclusione: prima il contesto, poi i controlli

Definire il perimetro della ISO/IEC 27001 significa scegliere dove l’azienda vuole applicare in modo disciplinato la propria capacità di proteggere le informazioni e garantire continuità. La scelta migliore non è quella più ampia o più restrittiva: è quella coerente con i servizi erogati, le informazioni trattate, le responsabilità disponibili e le dipendenze reali.

Prima di parlare di controlli, quindi, conviene chiarire il contesto. Da quella decisione dipendono la qualità del risk assessment, la selezione delle misure, il coinvolgimento della direzione e la sostenibilità del SGSI nel tempo.