Il primo audit ISO 27001 è il momento in cui si scopre se la sicurezza delle informazioni è un sistema o una cartella di documenti. Da Lead Auditor ho imparato che gli errori del primo audit ISO 27001 si ripetono con una puntualità quasi commovente. Quasi mai nascono dalla mala fede: nascono da sistemi costruiti per l’auditor invece che per l’azienda. Ecco i sette che incontro più spesso, e come evitarli.
1. La SoA copiata da un template
La Dichiarazione di Applicabilità dovrebbe spiegare quali controlli dell’Annex A avete adottato, quali no e perché. Quella che trovo spesso è un foglio identico a decine di altri, con le giustificazioni fotocopiate e controlli dichiarati non applicabili che invece riguardano l’azienda eccome. L’ho visto succedere con il lavoro da remoto escluso dalla SoA in un’azienda dove metà delle persone lavorava da casa. Basta una domanda per smontarla: mi mostra come attuate questo controllo? Se cala il silenzio, il template non vi ha aiutato, vi ha solo fatto risparmiare un pomeriggio.
2. L’inventario degli asset fermo a qualche anno fa
L’inventario è la base di tutto: se non sapete cosa avete, non potete proteggerlo. Eppure trovo regolarmente elenchi con server dismessi da tempo, portatili di persone che non lavorano più in azienda e nessuna traccia dei servizi cloud adottati nel frattempo. Il controllo è semplice: prendo l’inventario, faccio un giro tra gli uffici e conto le discrepanze. Un inventario vivo non deve essere perfetto, deve essere aggiornato quando qualcosa entra o esce. Se l’ultima modifica risale a due anni fa, l’auditor lo nota prima ancora di leggerlo.
3. Il risk assessment fatto una volta e mai più
La valutazione dei rischi è il motore del sistema, non un adempimento iniziale. Trovo spesso risk assessment datati al mese della prima consulenza e mai più toccati: nel frattempo l’azienda è migrata in cloud, ha cambiato gestionale, magari ha aperto una sede. La norma chiede riesami a intervalli pianificati e in caso di cambiamenti significativi. Un documento fermo mentre l’azienda si muove racconta una cosa sola: che nessuno lo usa per decidere.
4. I log che nessuno guarda
Raccogliere i log è facile, guardarli è un altro mestiere. L’ho visto succedere più volte: sistemi di logging configurati con cura e nessuno che li abbia mai aperti, nemmeno dopo un’anomalia. Alla domanda su chi controlla i log e con quale frequenza, la risposta più onesta che ho ricevuto è stata: il server. Non serve un SOC per essere conformi: serve una responsabilità assegnata, una frequenza definita e qualche evidenza che il controllo avviene davvero.
5. I fornitori cloud mai valutati
Buona parte delle informazioni aziendali vive ormai presso fornitori esterni, ma il controllo sui fornitori resta il capitolo più trascurato. Contratti mai letti oltre il prezzo, nessuna verifica su dove risiedono i dati, nessuna valutazione di sicurezza prima dell’acquisto. Poi però la posta elettronica, il backup e il gestionale stanno tutti nel cloud. Non serve un questionario di cento domande per ogni fornitore: serve un criterio proporzionato al rischio e la prova di averlo applicato almeno ai fornitori critici.
6. La formazione firmata ma non fatta
Il registro presenze c’è, le firme ci sono, l’attestato pure. Poi chiedo a una persona a caso cosa fa se riceve una mail sospetta e la risposta è che la apre per vedere cos’è. La consapevolezza non si dimostra con le firme ma con le persone: le interviste al personale sono la parte dell’audit in cui la formazione fatta per finta emerge sempre. Meglio un’ora concreta sui rischi veri del vostro lavoro che una giornata di slide generiche firmate in fretta.
7. I backup mai testati con un restore
Tutti fanno i backup, pochi hanno mai provato a ripristinarli. È l’errore che considero più pericoloso, perché di solito non lo scopre l’auditor: lo scopre il ransomware. Ho visto backup che giravano da anni verso uno spazio ormai pieno e ripristini tentati per la prima volta durante un’emergenza. Un test di restore documentato, anche solo periodico e su un campione di dati, vale più di dieci procedure scritte bene.
Come arrivare al primo audit senza sorprese
Il filo che unisce questi sette errori è sempre lo stesso: documenti pensati per la verifica e non per l’azienda. La preparazione migliore è usare il sistema per davvero qualche mese prima dell’audit, con rischi aggiornati, controlli attuati e qualche evidenza nata spontaneamente. Se volete sapere dove siete messi prima che ve lo dica l’organismo di certificazione, una gap analysis indipendente è il modo più rapido: date un’occhiata al nostro servizio di consulenza ISO 27001. Meglio scoprire i punti deboli in una verifica senza conseguenze che al primo audit.
Nota: le osservazioni riportate derivano dall’esperienza di audit e hanno valore generale; l’esito di una verifica dipende sempre dal singolo organismo di certificazione e dal contesto aziendale. Articolo aggiornato a luglio 2026.