Storia vera.
Una donna che ho formato all'inizio di quest'anno mi ha raccontato come si è ritrovata nel progetto ISO/IEC 27001 della sua azienda. Non si era offerta volontaria. Una persona era andata via, c'era un vuoto, e il suo manager l'aveva indicata in corridoio dicendo: «Ora ti occuperai della certificazione di sicurezza.»
Il suo background era il coordinamento di progetto. Non aveva mai aperto uno standard ISO in vita sua. Nella prima riunione, il consulente esterno aveva parlato per quaranta minuti dello Statement of Applicability, dei controlli dell'Allegato A e del piano di trattamento del rischio. Lei aveva trascritto tutti e tre i termini nel suo taccuino, scritti foneticamente, e li aveva cercati su Google sul treno di ritorno a casa.
Lo ha fatto per sei mesi. A ogni riunione. Nuovi vocaboli, ricerche silenziose su Google dopo, annuire nei momenti giusti perché nessuno in sala si accorgesse che non aveva la minima idea di cosa si stesse effettivamente decidendo.
Non era incapace. Era brava nel suo lavoro. Era semplicemente stata gettata in una lingua che nessuno si era offerto di insegnarle.
Se si è stati anche solo sfiorare ISO/IEC 27001 senza un background nella sicurezza, qualche versione di questa storia suona probabilmente familiare. Forse si lavora in compliance. Forse si è in IT e si è stati arruolati. Forse si è un consulente che deve risultare credibile davanti a un cliente lunedì mattina. I dettagli cambiano. La sensazione no: tutti in sala sembrano fluenti in qualcosa che non ti è mai stato insegnato, e ammetterlo ad alta voce sembra più rischioso che fingere.
Questo articolo parla di quel divario. Non del divario implementativo. Di quello che viene prima. Il divario del vocabolario. E di come colmarlo.
Non ti lasciano impararlo prima che ne abbia bisogno
Ecco la realtà di ISO/IEC 27001: non si ha il tempo di studiarlo prima che atterri sulla scrivania.
Si viene assegnati a un progetto. O si riceve una domanda in riunione. O l'azienda decide di certificarsi e mette il tuo nome accanto a «responsabile.» E all'improvviso ci si aspetta che tu abbia opinioni su cose che non hai mai sentito. Nessuno ti siede vicino prima. Nessuno dice: «Prima di iniziare, ecco cos'è davvero un ISMS, ecco come è costruito lo standard, ecco cosa significano queste parole e perché contano.» Iniziano semplicemente a usare le parole.
E le parole sono tante. Riservatezza, integrità, disponibilità. Valutazione del rischio, trattamento del rischio, accettazione del rischio. Annex A, Statement of Applicability, obiettivi di controllo, non conformità, azione correttiva, miglioramento continuo. Trenta pagine di standard. Novantasei controlli. Un intero vocabolario operativo che tutti intorno a te sembrano aver assorbito per osmosi.
Non lo si assorbe per osmosi. Nessuno lo fa. Le persone che sembrano fluenti lo hanno imparato da qualche parte, intenzionalmente. Semplicemente lo hanno imparato prima che tu entrassi in sala.
Questo è l'unico vero problema. Non che ISO/IEC 27001 sia impossibilmente difficile. È che il settore si aspetta che tu parli la lingua prima che qualcuno te la insegni.
Cinque cose su cui la gente annuisce senza capire
Ho formato molte persone all'inizio di questo percorso. Gli stessi concetti mettono tutti in difficoltà, non perché siano lente, ma perché nessuno li ha mai spiegati bene. Ecco cinque cose che le persone fingono di capire, e su cui non dovrebbero essere costrette a farlo.
«Un ISMS.» La maggior parte delle persone pensa che sia un software. O un documento singolo. O quella cartella su SharePoint. Non lo è. Un Information Security Management System è l'intero sistema che si usa per gestire la sicurezza: le policy, i processi, le decisioni, le persone e il modo in cui tutto si connette. Quando questo scatta, metà dello standard smette di essere misterioso. Fino a quel momento, niente ha senso.
«Il rischio.» È il concetto chiave. Le persone usano «rischio» per indicare quattro cose diverse nella stessa frase. Una minaccia non è una vulnerabilità. Una vulnerabilità non è un rischio. E «non abbiamo l'autenticazione a più fattori» non è un rischio: è un controllo mancante. Un rischio è uno scenario: qualcosa che potrebbe accadere, il perché potrebbe accadere e cosa costerebbe. Se non si riesce a distinguerli, ogni conversazione sul rischio sembrerà nebbia. Una volta che ci si riesce, diventa improvvisamente leggibile.
«Lo Statement of Applicability.» Le persone annuiscono a questa frase per anni senza sapere a cosa serva. È il documento che indica quali controlli dell'Annex A si applicano, quali no e perché. È anche la prima cosa che un auditor apre. Se non si capisce cos'è, non si può capire perché sia così importante; e lo è più di quasi qualsiasi altra cosa nel fascicolo.
«L'Annex A è una lista della spesa.» Non lo è. I novantasei controlli dell'Annex A non sono un menu da cui acquistare o una checklist da spuntare. Sono opzioni che si giustificano in base ai propri rischi. «Abbiamo implementato tutti i novantasei» non è una buona risposta. «Abbiamo implementato questi, escluso quelli, ed ecco perché» lo è. La distanza tra queste due frasi è la distanza tra capire lo standard ed eseguirlo.
«Certificati significa fatto.» Superare l'audit di certificazione non è il traguardo finale. ISO/IEC 27001 è un sistema di gestione, il che significa che deve continuare a funzionare: monitorato, riesaminato, migliorato, nuovamente auditato. Chi pensa che la certificazione sia un evento una tantum è quello che va nel panico all'audit di sorveglianza un anno dopo. Capirlo fin dall'inizio cambia il modo in cui si tratta tutto il resto.
Nessuno di questi è un concetto avanzato. Sono le basi. Ma le basi sono esattamente ciò che nessuno si ferma a insegnare, ed è per questo che tante persone capaci passano tanto tempo a sentirsi smarrite.
Cosa danno concretamente due giorni
Non si esce da un corso Foundation in grado di costruire un ISMS da zero. Per quello c'è un corso diverso, e più lungo. Quello con cui si esce è qualcosa di più immediatamente utile per la situazione in cui ci si trova probabilmente adesso: si riesce finalmente a seguire la conversazione.
Si avrà un modello mentale di cos'è un ISMS e perché esiste, così lo standard smette di sembrare una serie di clausole scollegate. Si avrà il vocabolario, davvero compreso e non solo memorizzato, così le parole in riunione avranno un significato. Si capirà come è strutturato lo standard, così ci si orienta tra trenta pagine senza annegare. Si capirà la logica del rischio, la differenza reale tra un rischio, una minaccia e un controllo mancante, così i workshop sul rischio smettono di essere nebbia. E si saprà abbastanza da sapere cosa non si sa, il che è ciò che permette di fare la domanda giusta invece di annuire nel momento sbagliato.
Questa è la differenza tra stare in sala ed essere in sala.
A questo servono i 2 giorni
31 agosto e 1° settembre. Lunedì e martedì. Live online, in inglese. Un piccolo gruppo, costruito attorno a spiegare questo settore nel modo in cui avrei voluto che qualcuno lo spiegasse a me.
Questo non è una lettura drammatica dello standard. Lo standard lo si può leggere da soli; non è quella la parte difficile. Questa è la mappa che sta sotto: cos'è un ISMS, come si incastrano i pezzi, cosa significano le parole, come funziona davvero il rischio, cosa cerca un auditor e dove ci si colloca in tutto questo. Spiegato in linguaggio chiaro, con esempi reali da riunioni reali.
Giorno 1. Cosa significa davvero la sicurezza delle informazioni, al di là dei buzzword. Cos'è un ISMS e perché le organizzazioni lo costruiscono. Come è strutturato ISO/IEC 27001, clausola per clausola, senza il gergo. Contesto, leadership e l'origine dello standard. Il quadro normativo: perché GDPR, NIS2 e DORA continuano a puntare in questa direzione.
Giorno 2. Come funzionano davvero la valutazione e il trattamento del rischio. Lo Statement of Applicability e i controlli dell'Annex A, demistificati. Come funziona un ISMS giorno per giorno: monitoraggio, riesame, miglioramento. Cosa succede in un audit di certificazione e cosa vogliono vedere gli auditor. Poi la preparazione all'esame e l'esame stesso.
Entro la fine di martedì, si sostiene l'esame PECB. Superandolo, si è certificati.
Chi insegna questo corso
Io. Christophe Mazzola. CISO attivo, fondatore di Cyber Academy.
Non insegno le basi da un manuale. Le insegno dal lavoro sul campo. Quando spiego cos'è un rischio, è perché ho partecipato ai workshop e ho visto persone confondere rischi e controlli per la centesima volta. Quando spiego lo Statement of Applicability, è perché ne ho consegnato uno a un auditor e l'ho visto andare direttamente a quello. Quando qualcuno in sala dice «non capisco perché questo sia importante», non gli do la risposta da esame. Gli racconto come appare quando le cose vanno storte, perché le ho viste andare storte.
Il vantaggio di imparare i fondamentali da qualcuno che fa davvero il lavoro è semplice: si impara cosa conta e cosa è solo rumore. Si salta il superfluo. Si tengono le parti che si useranno la settimana successiva.
Questa è la differenza tra la formazione e un mazzo di slide.
La garanzia
Completa il corso. Sostieni l'esame. Se non passi, rimborsiamo la quota di formazione.
Nessuna clausola nascosta oltre al completamento del programma e alla partecipazione all'esame. La chiamiamo Certified or Refunded, e lo diciamo sul serio. La metodologia funziona, il tasso di superamento lo dimostra, e se si sta investendo il proprio tempo e il denaro della propria azienda, si merita un provider che scommetta sullo stesso risultato.
I dettagli
Corso: ISO/IEC 27001:2022 Foundation, PECB Certified
Date: 31 agosto – 1° settembre 2026
Formato: Live online. Interattivo. Non registrato.
Lingua: Inglese
CPD: 14 crediti
Ripetizione gratuita: entro 12 mesi
Prezzo: €1.099
La tua mossa
Se ti è appena stato affidato un progetto ISO/IEC 27001 e non sai da dove iniziare, questo è il tuo punto di partenza.
Se da mesi annuisci in riunione e sei stanco di cercare su Google sotto il tavolo, questo è il modo per smettere.
Se hai in programma di andare oltre un giorno, Lead Implementer, Lead Auditor, questa è la base su cui si costruisce tutto il resto. Parti da qui e i corsi avanzati avranno davvero senso.
E se hai semplicemente bisogno della credenziale per dimostrare di conoscere le basi, questo ti certifica in due giorni.
Prenota il tuo posto qui sotto.
Domande? Scrivimi direttamente. Niente team commerciale. Niente chatbot. Solo io.
Christophe Mazzola