Politica di sicurezza delle informazioni: come si scrive

Quasi tutte le aziende hanno una politica di sicurezza delle informazioni. I problemi iniziano quando bisogna dimostrare che qualcuno l’ha davvero letta, che viene riesaminata a intervalli regolari e che quello che c’è scritto corrisponde a come sono effettivamente configurati i computer dei dipendenti. È il primo documento che ti chiede un auditor, ed è anche quello che viene copiato più spesso e adattato peggio.

In questo articolo vediamo che cos’è esattamente una politica di sicurezza delle informazioni, quali normative la impongono, quali sezioni deve contenere, come si elabora passo dopo passo e quali sono gli errori più frequenti in fase di redazione.

Che cos’è una politica di sicurezza delle informazioni?

La politica di sicurezza delle informazioni è il documento approvato dalla direzione con cui un’organizzazione dichiara il proprio impegno a proteggere le informazioni e fissa i principi che governano questa protezione. Definisce l’ambito di applicazione, assegna le responsabilità e stabilisce la cornice entro cui vengono prese in seguito le decisioni tecniche e organizzative. La trovi citata anche come politica di sicurezza informatica, anche se la formulazione usata dalla ISO 27001 è la prima.

È un documento di alto livello. Non spiega come si configura un firewall né ogni quanti giorni scade una password. Fissa il cosa e il perché, e lascia il come alle norme e alle procedure che ne discendono. Per questo una politica scritta bene raramente supera le quattro o cinque pagine.

Copre tutte le informazioni dell’organizzazione, a prescindere dal supporto. I dati dei sistemi interni, la documentazione cartacea, le informazioni condivise con i fornitori e quelle che circolano nelle conversazioni o su supporti rimovibili rientrano tutte nello stesso perimetro.

Politica di sicurezza delle informazioni e politiche di sicurezza, sono la stessa cosa?

È la confusione più comune e conviene chiarirla subito. Al singolare parliamo del documento quadro, quello che firma la direzione e da cui dipendono tutti gli altri. Al plurale parliamo delle politiche tematiche, quelle che sviluppano ogni singolo ambito e che il personale applica davvero nel lavoro quotidiano.

La gerarchia documentale ha di solito tre livelli.

• Politica generale: documento quadro approvato dalla direzione, breve e stabile nel tempo.
• Politiche tematiche: controllo degli accessi, uso dei dispositivi, lavoro da remoto, backup, classificazione delle informazioni, gestione degli incidenti o sviluppo sicuro, tra le altre.
• Procedure e registrazioni: il dettaglio operativo di ogni politica e la prova che è stata applicata.

A cosa serve una politica di sicurezza delle informazioni?

La sua funzione principale è dare una direzione. Quando si presenta una situazione che nessuno aveva previsto, la politica è il criterio a cui ci si rifà per decidere. Senza, ogni reparto si arrangia come può e le decisioni di sicurezza finiscono per dipendere da chi è disponibile quel giorno.

Oltre a questo svolge quattro funzioni concrete.

• Rende visibile l’impegno della direzione: la sicurezza smette di essere una questione dell’IT e diventa un tema sostenuto dai vertici.
• Distribuisce le responsabilità: ogni ruolo sa cosa gli compete e a chi rivolgersi.
• Rende la regola esigibile all’interno: senza una norma comunicata e accettata è difficile contestarne il mancato rispetto a un dipendente.
• Sostiene tutto il resto dell’impianto: politiche tematiche, procedure e misure tecniche si appoggiano su di essa e da lì trovano giustificazione.

A questo si aggiunge un uso sempre più frequente fuori dall’organizzazione. I grandi clienti e le pubbliche amministrazioni chiedono la politica di sicurezza nei processi di qualifica dei fornitori, e molte compagnie assicurative la richiedono prima di emettere una polizza cyber.

Che impatto ha la politica di sicurezza delle informazioni sulla certificazione ISO 27001?

La ISO 27001 è la norma internazionale che certifica i sistemi di gestione della sicurezza delle informazioni, e la politica ne condiziona la certificazione fin dall’inizio. La sua assenza è eliminatoria, perché il requisito 5.2 fa parte del corpo della norma e non ammette esclusioni nella Dichiarazione di Applicabilità. Senza una politica approvata dall’alta direzione non c’è certificazione possibile.

La sua qualità dà il tono al resto dell’audit. Il controllo A.5.1 richiede che la politica sia approvata, pubblicata, comunicata, riconosciuta dal personale interessato e riesaminata a intervalli pianificati. Dato che politiche tematiche e procedure si appoggiano su di essa, una debolezza a questo livello trascina non conformità a catena. Anche il suo ambito di applicazione delimita quello del certificato, perché ciò che resta fuori dal documento resta fuori dal sistema.

La ISO 27001 non è l’unica a richiederla. La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, apre l’elenco delle misure minime proprio con le politiche di sicurezza dei sistemi informativi, il Framework Nazionale per la Cybersecurity e la Data Protection la colloca tra le prime misure della funzione Identify e il GDPR impone di documentare le misure organizzative applicate ai trattamenti.

Cosa deve contenere una politica di sicurezza delle informazioni?

Non esiste un indice obbligatorio. Ci sono però alcune sezioni che ricorrono in quasi tutte le politiche che superano un audit.

1. Obiettivo e ambito di applicazione

L’obiettivo spiega perché esiste il documento e deve essere allineato agli obiettivi dell’azienda. L’ambito di applicazione è la parte più trascurata e quella che crea più problemi in seguito. Deve delimitare con precisione quali processi, sedi, sistemi, asset e persone rientrano nella copertura.

Un ambito definito male produce due effetti. Se è troppo ampio, l’azienda si impegna a proteggere ciò che non riesce a controllare. Se è troppo stretto, la certificazione perde valore agli occhi di clienti che si aspettavano di vedere coperta l’intera operatività.

2. Principi e impegno della direzione

Qui si mettono per iscritto i principi che orientano la sicurezza nell’organizzazione. I più comuni sono la gestione basata sul rischio, la sicurezza by default, il privilegio minimo, la difesa in profondità e il miglioramento continuo.

L’impegno della direzione deve essere esplicito e verificabile. Comprende l’assegnazione delle risorse, l’approvazione formale del documento e la partecipazione al riesame periodico del sistema. Una dichiarazione di intenti generica, senza budget alle spalle né una firma identificabile, serve a poco.

3. Ruoli e responsabilità

La politica definisce chi fa cosa. Come minimo compaiono il responsabile della sicurezza delle informazioni, il comitato di sicurezza se esiste, i proprietari di ogni asset o processo e gli obblighi generali di tutto il personale.

Ogni ruolo deve avere compiti concreti. Vale la pena chiarire anche i rapporti con la protezione dei dati, con il DPO quando c’è e con i responsabili HR, perché assunzioni e uscite fanno scattare attività di sicurezza che spesso restano senza un titolare.

4. Politiche tematiche di riferimento

La politica generale elenca le politiche specifiche che la sviluppano e indica dove consultarle. Le più frequenti riguardano il controllo degli accessi, l’uso accettabile delle risorse, i dispositivi mobili e il BYOD, il lavoro da remoto, la classificazione e il trattamento delle informazioni, i backup, la crittografia, la gestione degli incidenti, il rapporto con i fornitori e lo sviluppo sicuro.

Non serve descriverle. Basta elencarle, indicarne il proprietario e dare un riferimento documentale chiaro.

5. Deroghe e conseguenze del mancato rispetto

Prima o poi ogni politica incontra un caso in cui una misura non si può applicare. Il documento deve indicare chi può autorizzare una deroga, con quale motivazione, per quanto tempo e dove viene registrata.

Le conseguenze del mancato rispetto vanno riportate in modo esplicito e nei limiti consentiti dalla normativa sul lavoro. Senza questa sezione, l’organizzazione perde ogni capacità di reazione di fronte a una violazione grave.

6. Controllo delle versioni e approvazione

Una politica senza controllo delle versioni è una politica che non si può sottoporre ad audit. La copertina o il piè di pagina deve riportare il numero di versione, la data di approvazione, l’organo che approva, l’autore, la data del prossimo riesame e uno storico delle modifiche.

Questa sezione sembra secondaria ed è tra le prime che un auditor va a guardare. Gli permette di capire in trenta secondi se il sistema è vivo o se il documento non viene toccato da quattro anni.

Come elaborare una politica di sicurezza delle informazioni?

Scrivere il documento è la parte più breve del lavoro. Quello che gli dà sostanza è ciò che succede prima e ciò che succede dopo.

1. Inventariare gli asset e analizzare i rischi

La politica protegge asset precisi, quindi il primo passo è sapere quali sono. L’inventario deve raccogliere computer, server, applicazioni e servizi cloud, dati, supporti e le persone che vi accedono. In una flotta aziendale distribuita tra ufficio e lavoro da remoto, questa fotografia resta aggiornata solo se viene scattata in automatico.

Con l’inventario in mano si individuano minacce e vulnerabilità, se ne valuta probabilità e impatto e si decide quali rischi accettare, ridurre, trasferire o evitare. In Italia il riferimento più usato per questa fase è la ISO 27005, affiancata dal Framework Nazionale per la Cybersecurity e la Data Protection. I principi che finiranno nella politica nascono da qui, ed è questo a distinguere un documento davvero aziendale da un modello scaricato.

2. Redigere e approvare il documento

La scrittura deve restare comprensibile a tutto il personale, comprese le persone senza un profilo tecnico. Frasi brevi, un glossario in fondo e nessun termine che non si possa spiegare in una riga.

L’approvazione spetta alla direzione, con data e firma identificabile. Nelle organizzazioni dotate di un comitato di sicurezza la prassi è che sia il comitato a proporre il testo e la direzione ad approvarlo formalmente a verbale.

3. Comunicarla e registrare l’accettazione

Caricare la politica in una cartella condivisa non significa comunicarla. La norma chiede che il personale interessato ne prenda atto, quindi serve una prova che ogni persona l’ha ricevuta e accettata, con tanto di data.

Il modo più pulito per risolverla è integrarla nell’onboarding. La persona riceve il documento appena entra in azienda, lo accetta in digitale e quella registrazione finisce nel suo fascicolo. Quando la politica cambia versione, l’accettazione viene richiesta di nuovo a tutto il personale. Questo storico è esattamente ciò che ti verrà chiesto durante un audit.

4. Riesaminarla e aggiornarla

Il riesame si fa a intervalli pianificati, di solito una volta l’anno all’interno del riesame di direzione. Si fa anche in occasione di cambiamenti significativi, come una fusione, un cambio di infrastruttura, l’ingresso in un nuovo quadro normativo o un incidente di sicurezza rilevante.

Ogni riesame lascia una traccia anche quando non porta modifiche. Registrare che il documento è stato riesaminato in una data precisa e confermato senza variazioni è comunque una prova valida.

Esempio di politica di sicurezza delle informazioni

Molte organizzazioni pubblicano la propria politica in chiaro, ed è un buon modo per farsi un’idea del tono e della lunghezza reali. Emergono due costanti. Il documento supera raramente le cinque pagine, e quasi tutti includono una tabella di controllo delle versioni nella prima o nell’ultima pagina.

Un indice tipo di una politica di sicurezza delle informazioni è più o meno questo.

• Oggetto e campo di applicazione
• Quadro normativo di riferimento
• Principi di sicurezza delle informazioni
• Impegno della direzione
• Organizzazione della sicurezza, ruoli e responsabilità
• Gestione dei rischi
• Norme e politiche specifiche di attuazione
• Formazione e sensibilizzazione
• Gestione degli incidenti
• Conformità, deroghe e regime disciplinare
• Riesame e controllo delle versioni

Questa traccia serve come punto di partenza. Il contenuto di ogni sezione ha valore solo se nasce dall’analisi dei rischi dell’organizzazione stessa.

Errori frequenti nella redazione di una politica di sicurezza delle informazioni

Le politiche che non superano un audit ripetono quasi sempre gli stessi errori.

• Copiare un modello senza adattare l’ambito di applicazione: compaiono sedi che non esistono, reparti che l’azienda non ha mai avuto o sistemi mai messi in produzione. Un auditor se ne accorge alla prima lettura e da lì in poi guarda il resto dell’impianto con più diffidenza.
• Farla approvare dall’IT invece che dalla direzione: la norma chiede che sia l’alta direzione a stabilirla. Una politica firmata solo dal responsabile tecnico non soddisfa il requisito e comunica che la sicurezza non è sostenuta dai vertici.
• Confondere la politica con la procedura: se il documento fissa la lunghezza minima delle password o la frequenza dei backup, ogni aggiustamento operativo obbliga a farlo riapprovare dalla direzione. La politica smette di essere aggiornata e in pochi mesi si scolla dalla realtà.
• Lasciare fuori fornitori e personale esterno: molte politiche considerano solo i dipendenti e dimenticano liberi professionisti, aziende in subappalto e fornitori che accedono ai sistemi. È una delle porte d’ingresso più comuni e uno dei punti più controllati in audit.
• Non riuscire a dimostrare che il personale la conosce: il documento esiste, è approvato ed è pubblicato, ma nessuno può attestare chi l’ha letto. Senza una registrazione dell’accettazione viene meno il requisito di comunicazione e presa d’atto.
• Uno scarto tra ciò che è scritto e come sono configurati i dispositivi: la politica dichiara cifratura del disco, blocco automatico dello schermo e password robuste, e controllando la flotta si scopre che una parte dei dispositivi non soddisfa nessuna delle tre condizioni. È l’errore con le conseguenze più pesanti, perché trasforma una non conformità minore in una maggiore.

Applica la politica di sicurezza delle informazioni con Factorial IT

Una politica serve a qualcosa solo se quello che dichiara è davvero applicato sui dispositivi e se questa applicazione si può dimostrare. Più il processo è manuale, più il documento e la realtà si allontanano.

Factorial IT effettua l’enrollment dei dispositivi aziendali e vi applica le regole di cifratura, blocco schermo e password su Mac, Windows e Linux, senza doverli configurare uno per uno. La politica viene consegnata e accettata già durante l’onboarding, e quell’accettazione resta registrata con la data nel fascicolo di ogni persona.

Il risultato è che la politica ha finalmente alle spalle un quadro di stato che mostra quali dispositivi rispettano ogni misura e chi ha accettato il documento.