Software compatibile con il sistema ISO 27001 della vostra azienda.
Per aziende già certificate ISO 27001 o in percorso di certificazione: il software che entra in produzione deve rispettare i controlli del SGSI. Lo costruiamo allineato fin dal design ai controlli applicabili (A.8 access control, A.12 operations, A.14 acquisition/development), con evidenze pronte per audit.
Cosa succede oggi.
Una certificazione ISO 27001 è un Sistema di Gestione della Sicurezza Informatica (SGSI): coinvolge policy, processi, controlli tecnici. Quando si introduce un nuovo software nel perimetro certificato, il software deve essere compatibile coi controlli del SGSI, altrimenti diventa una non-conformità all'audit di sorveglianza.
Costruire software ISO 27001-compatibile significa implementare i controlli applicabili (A.8 access control, A.12 operations security, A.14 system acquisition/development) e produrre le evidenze richieste (logging, audit trail, gestione vulnerabilità, segregation of duties, change management).
Un nuovo software in un'azienda ISO 27001 non è mai una sorpresa per l'auditor. È un capitolo del SGSI già pronto.
La soluzione, smontata in parti.
-
Mapping controlli ISO 27001 → software
Mappiamo i controlli ISO 27001 Annex A applicabili al software (access control, crittografia, operations, sviluppo sicuro, gestione incidenti) e li traduciamo in requisiti tecnici concreti.
-
Secure SDLC
Sviluppo seguendo Secure Software Development Lifecycle: code review obbligatoria, SAST e DAST automatici, dependency scanning continuo, threat modeling pre-implementazione, penetration testing pre-rilascio.
-
Evidenze audit-ready
Tutta la documentazione richiesta dal SGSI: ADR, threat model, change log, evidenze test sicurezza, audit log esportabili. Strutturata per essere allineata ai capitoli del Manuale SGSI aziendale.
I profili tipici di chi ne beneficia.
-
Aziende già ISO 27001 certificate
Aziende ICT, fintech, healthcare, B2B services certificati ISO 27001 che devono introdurre nuovo software senza generare non-conformità.
-
Aziende in percorso di certificazione
Aziende che stanno preparando la certificazione ISO 27001 (tipicamente 12-18 mesi di percorso). Costruire software compatibile fin dall'inizio facilita la certificazione finale.
Trasparenza sui compiti del cliente.
Prima di partire abbiamo bisogno di alcuni accessi e decisioni. Tutto ragionevole, nessuna richiesta sorpresa.
-
Sistema SGSI esistente
- Statement of Applicability (SoA) attuale
- Policy interne applicabili al software
- CISO/Responsabile SGSI come interlocutore tecnico
-
Software da costruire
- Scope funzionale e classificazione dati trattati
- Sistemi e integrazioni esistenti nel perimetro certificato
Numeri orientativi, non preventivi.
- TEMPI
- Tipicamente 4-9 mesi per software medio. Compliance ISO 27001 aggiunge 15-25% sul tempo di un progetto equivalente non-regolamentato.
- COSTI
- Range €50.000-250.000 a seconda della complessità.
- MODELLO
- Milestone fisse con go/no-go gate post threat modeling e post penetration test.
Numeri orientativi. Per un preventivo accurato, parliamoci.
Le risposte alle domande più frequenti.
Voi siete certificati ISO 27001?
La nostra azienda al momento non è certificata ISO 27001 (il percorso è in valutazione per il 2026). Tuttavia, costruiamo software che entra nel perimetro certificato di clienti già ISO 27001, applicando i controlli richiesti. Il cliente resta responsabile della certificazione complessiva, noi del software conforme.
Quali controlli ISO 27001 implementate nel software?
Tipicamente: A.5 (Information Security Policies, attraverso doc), A.8 (Access Control: RBAC, MFA, principio minimo privilegio), A.10 (Cryptography), A.12 (Operations Security: logging, monitoring, change management), A.13 (Communications Security), A.14 (System Acquisition/Development: secure SDLC, code review), A.16 (Incident Management). Lo SoA del cliente definisce esattamente quali controlli sono applicabili.
Come gestite la gestione delle vulnerabilità?
Dependency scanning automatico in CI (npm audit, Snyk, Dependabot). SAST con SonarQube o equivalenti, DAST pre-rilascio. Policy di patch automatica per dipendenze a basso rischio, processo formale di review per quelle ad alto rischio. Evidenze tutte loggate per audit.
Riconoscete il vostro caso?
Scrivete due righe sul vostro contesto. Rispondiamo entro 24-48 ore con una valutazione iniziale e un primo orientamento di tempi e costi.
Parliamone