Guida alle evidenze per l’emendamento ISO 27001 sul cambiamento climatico

Sono le 09:10 del mattino dell’audit di sorveglianza ISO/IEC 27001:2022. L’auditor ha già esaminato il Registro dei rischi, la Dichiarazione di Applicabilità, i verbali del riesame della direzione, il Registro dei fornitori e il rapporto dell’esercitazione di continuità operativa. Poi arriva la domanda che coglie la sala impreparata:

“Mostratemi come avete determinato se il cambiamento climatico è rilevante per il SGSI.”

Il Responsabile della sicurezza delle informazioni guarda il Responsabile Compliance. Il Responsabile Compliance apre il Registro di conformità. Qualcuno cita l’ESG. Qualcun altro dice che il fornitore del data center possiede certificazioni ISO. L’auditor attende.

Quel momento rappresenta la lacuna pratica di evidenze creata dall’emendamento sul cambiamento climatico applicabile ai sistemi di gestione ISO. L’emendamento non chiede ai team di sicurezza di diventare climatologi, di calcolare le emissioni di carbonio del cloud o di creare un “controllo di sicurezza climatica” puramente formale. Pone una domanda più diretta, propria dei sistemi di gestione: l’organizzazione ha considerato se il cambiamento climatico è rilevante per il proprio contesto e se le parti interessate hanno requisiti climatici che incidono sul sistema di gestione?

Per ISO/IEC 27001:2022, ciò significa che le evidenze devono collegare le Clausole da 4 a 10: contesto, parti interessate, ambito di applicazione, pianificazione del rischio, controllo operativo, valutazione delle prestazioni, riesame della direzione e miglioramento continuo. L’emendamento non si supera dichiarando “non applicabile” in riunione. Si supera mostrando una decisione motivata, documentata e basata sul rischio.

Sarah, Responsabile della sicurezza delle informazioni in una fintech, si è trovata davanti alla stessa domanda poche settimane prima dell’audit. La sua prima reazione è stata comune: il cambiamento climatico sembrava esterno al SGSI, mentre il suo team era concentrato su minacce informatiche, violazioni dei dati, sicurezza cloud, preparazione a DORA e due diligence dei clienti. Ma quando ha tradotto l’emendamento nel linguaggio operativo del SGSI, il tema è diventato concreto: eventi meteorologici estremi potevano incidere sulla disponibilità di una regione cloud, un fornitore in un’area soggetta a stress idrico poteva ritardare la sostituzione di hardware critico, un’interruzione prolungata dell’energia poteva compromettere la disponibilità del personale di risposta agli incidenti e i clienti potevano richiedere prove di resilienza operativa.

Questo è l’inquadramento corretto. Il cambiamento climatico deve essere trattato come un input di contesto e resilienza per il SGSI, non come un tema aggiuntivo separato.

L’approccio di Clarysec utilizza Zenith Blueprint: roadmap in 30 passaggi per auditor, Zenith Controls: la guida alla conformità trasversale e i modelli di policy Clarysec per convertire una nuova domanda di audit in evidenze tracciabili. L’obiettivo è semplice: mostrare all’auditor una catena chiara dal contesto al rischio, dal rischio ai controlli, dai controlli alle evidenze, dalle evidenze al riesame della direzione e dal riesame della direzione al miglioramento.

L’emendamento cambia la domanda di audit, non la missione del SGSI

L’errore più comune consiste nel trattare l’emendamento ISO 27001 sul cambiamento climatico come un dominio di controllo separato. Non lo è. Per un SGSI, la vera domanda è se il cambiamento climatico possa incidere sui risultati attesi della sicurezza delle informazioni, in particolare su riservatezza, integrità e disponibilità.

L’emendamento introduce il cambiamento climatico come considerazione specifica nei requisiti di contesto dei sistemi di gestione ISO. Per ISO/IEC 27001:2022, gli auditor verificano di norma innanzitutto due aspetti:

• Clausola 4.1, se l’organizzazione ha determinato se il cambiamento climatico costituisce una questione esterna rilevante.
• Clausola 4.2, se le parti interessate rilevanti hanno requisiti climatici.

La parola chiave è “determinato”. Un’organizzazione può determinare che il cambiamento climatico non è rilevante, è rilevante solo per determinate sedi o servizi, oppure è rilevante per l’intero SGSI. Tuttavia, la determinazione deve essere documentata e supportata dalle effettive dipendenze dell’organizzazione.

Ad esempio, un fornitore SaaS può stabilire che esiste una rilevanza climatica perché la disponibilità della produzione dipende da un numero limitato di regioni cloud, da un fornitore di servizi gestiti e dal personale remoto di risposta agli incidenti. Una fintech può collegare l’emendamento a dipendenze critiche da terze parti ICT, resilienza operativa DORA, segnalazione regolamentata degli incidenti e responsabilizzazione del consiglio di amministrazione. Un produttore può concentrarsi sulla disponibilità della rete OT, sulla connettività dello stabilimento, sul monitoraggio da remoto e sulle interruzioni dei siti fisici.

Un insieme maturo di evidenze deve comparire negli stessi punti in cui l’organizzazione dimostra già che il proprio SGSI funziona.

Le evidenze di audit più solide non risiedono in un “fascicolo clima” autonomo. Compaiono nelle normali registrazioni del SGSI e dimostrano che il sistema di gestione è in grado di rispondere ai cambiamenti del contesto esterno.

Inizia da contesto, parti interessate e ambito di applicazione

La rilevanza climatica inizia dal contesto. L’organizzazione deve registrare una determinazione chiara: rilevante, non rilevante o parzialmente rilevante. “Rilevante” non significa catastrofico. Significa in grado di incidere sui risultati attesi della sicurezza delle informazioni.

In Zenith Blueprint, la fase Fondazione e leadership del SGSI parte dall’analisi del contesto. Il passaggio 1 stabilisce:

Azione 4.1: Elaborare un elenco di fattori interni ed esterni rilevanti per la sicurezza delle informazioni dell’organizzazione.

La stessa guida raccomanda un’analisi esterna ampia, inclusi fattori ambientali mediante tecniche come PESTLE. È qui che l’emendamento sul clima diventa operativo. Invece di chiedere “Abbiamo un controllo climatico?”, il team chiede:

• Quali sedi fisiche, data center, regioni cloud, reti e fornitori supportano i servizi inclusi nell’ambito di applicazione?
• Eventi meteorologici estremi, calore, incendi, alluvioni, stress idrico, instabilità energetica o interruzioni dei trasporti potrebbero incidere su disponibilità, integrità o riservatezza?
• I clienti richiedono evidenze di resilienza climatica o resilienza operativa durante la due diligence di sicurezza?
• Autorità di regolamentazione, assicuratori, investitori o clienti del settore pubblico impongono aspettative in materia di continuità operativa, Disaster Recovery o disponibilità?
• Progetti di adattamento climatico potrebbero introdurre nuovi rischi tecnologici, come integrazioni con sistemi di gestione degli edifici, sensori IoT, monitoraggio ambientale o migrazione rapida al cloud?
• Esistono implicazioni privacy se il nuovo monitoraggio include dati relativi a dipendenti, posizione, dispositivi o dati ambientali collegati a persone?

Per il team fintech di Sarah, il workshop sul contesto ha prodotto quattro questioni esterne realistiche: esposizione a tempeste in una regione del data center, concentrazione in un’unica regione cloud, dipendenza da un fornitore hardware in un’area soggetta a stress idrico e aspettative regolatorie ai sensi di DORA e NIS2.

Il passaggio successivo riguarda le parti interessate. L’emendamento richiede alle organizzazioni di determinare se le parti interessate hanno requisiti climatici. Tali parti possono includere clienti, autorità di regolamentazione, assicuratori, fornitori cloud, investitori, consigli di amministrazione o fornitori critici.

Il passaggio 2 di Zenith Blueprint collega questa analisi all’ambito di applicazione del SGSI:

Azione 4.3: Redigere una dichiarazione dell’ambito di applicazione del SGSI. Elencare ciò che è incluso (unità aziendali, sedi, sistemi) ed eventuali esclusioni.

Questo è importante perché le interruzioni climatiche entrano spesso attraverso interfacce e dipendenze. Un’organizzazione può sostenere che la propria sede non è significativa perché la produzione è ospitata in cloud, ma l’auditor può chiedere se assistenza clienti, accesso privilegiato, risposta agli incidenti, amministrazione dei backup, escalation verso i fornitori o comunicazione di crisi dipendono da persone, siti o fornitori fuori dall’ambito.

La Politica per la sicurezza delle informazioni Enterprise di Clarysec stabilisce la baseline:

L’organizzazione deve attuare e mantenere un Sistema di gestione della sicurezza delle informazioni (SGSI) in conformità alle Clausole da 4 a 10 di ISO/IEC 27001:2022.

Richiede inoltre la struttura delle evidenze attesa dagli auditor:

Il SGSI deve includere confini dell’ambito di applicazione definiti, una Metodologia di valutazione del rischio, Obiettivi misurabili e controlli documentati giustificati nella Dichiarazione di Applicabilità (SoA).

Queste parole sono il nucleo della preparazione all’emendamento: confini dell’ambito di applicazione, metodologia del rischio, obiettivi misurabili e giustificazione della SoA.

Trasforma il contesto climatico in rischi per la sicurezza delle informazioni

Le evidenze migliori raramente consistono in un rischio generico denominato “cambiamento climatico”. Il cambiamento climatico è il fattore di contesto. Lo scenario di rischio deve descrivere la conseguenza per la sicurezza delle informazioni.

Scenari di rischio solidi sono formulati così:

• Eventi meteorologici estremi interrompono l’accesso alla sede principale durante un incidente di sicurezza, ritardando la risposta privilegiata e le comunicazioni ai clienti.
• Un’ondata di calore regionale aumenta la probabilità di instabilità del raffreddamento o dell’alimentazione presso un data center che supporta carichi di lavoro di produzione.
• Un’alluvione colpisce la sede del service desk di un fornitore critico, ritardando il ripristino dei servizi gestiti di protezione degli endpoint.
• I requisiti dei clienti in materia di resilienza climatica non sono acquisiti nel Registro di conformità, generando non conformità contrattuale e risultanze dell’audit.
• Una migrazione cloud d’emergenza per ridurre la dipendenza da un sito fisico elude il processo standard di gestione delle modifiche e il riesame del rischio dei fornitori.
• Dispositivi di monitoraggio per l’adattamento climatico vengono collegati alla rete aziendale senza inventario degli asset, logging o gestione delle vulnerabilità.

Si tratta di rischi per la sicurezza delle informazioni perché incidono su disponibilità, gestione degli incidenti, assurance dei fornitori, gestione degli asset, obblighi legali, modifiche sicure o privacy.

La Politica di gestione del rischio - PMI di Clarysec stabilisce:

Tutti i rischi identificati devono essere registrati nel Registro dei rischi.

Rafforza inoltre la cadenza di riesame:

I rischi devono essere riesaminati trimestralmente e aggiornati quando si verificano eventi significativi.

Per le organizzazioni enterprise, la Politica di gestione del rischio di Clarysec amplia il modello degli input:

Gli input per l’Identificazione del rischio devono includere, a titolo esemplificativo e non esaustivo, risultanze dell’audit, scansioni di vulnerabilità, rapporti di test di penetrazione, Tendenze degli incidenti, Obblighi legali e modifiche operative.

La rilevanza climatica può emergere da qualsiasi di questi input. Una risultanza dell’audit di un cliente può individuare evidenze di resilienza mancanti. Un aggiornamento normativo può introdurre obblighi di resilienza operativa. Una migrazione cloud può spostare i carichi di lavoro verso un diverso profilo di esposizione regionale. Un test di continuità operativa può mostrare che il personale non riesce ad accedere alle procedure di ripristino durante un’interruzione dell’energia.

Ogni rischio deve avere un proprietario, probabilità, impatto, decisione di trattamento, posizione sul rischio residuo e data di riesame. Se l’organizzazione conclude che non esiste alcun rischio significativo per la sicurezza delle informazioni connesso al clima, tale conclusione richiede comunque una motivazione.

Usa la Dichiarazione di Applicabilità per trasformare la logica del rischio in logica dei controlli

Una volta registrati gli scenari climatici, la domanda successiva è se siano necessari controlli e se la Dichiarazione di Applicabilità rifletta la decisione. Le Clausole 6.1.1-6.1.3 di ISO/IEC 27001:2022 richiedono azioni pianificate per rischi e opportunità, valutazione del rischio, trattamento del rischio, controlli necessari, confronto con l’Appendice A e una SoA con giustificazioni di inclusione ed esclusione.

Nella fase di Gestione del rischio, il passaggio 13 di Zenith Blueprint fornisce un modello pratico di tracciabilità:

Collegare le normative: se determinati controlli sono attuati specificamente per conformarsi a GDPR, NIS2 o DORA, puoi annotarlo nel Registro dei rischi (come parte della giustificazione dell’impatto del rischio) oppure nelle note della SoA.

Applica lo stesso principio all’emendamento sul cambiamento climatico. Non inventare un controllo. Mappa lo scenario sui controlli esistenti di ISO/IEC 27002:2022 e spiega perché sono applicabili.

La Politica di gestione del rischio enterprise rende esplicito il fattore che attiva il riesame della SoA:

La SoA deve essere riesaminata dopo ogni valutazione del rischio rilevante o cambiamento ambientale significativo.

Questa clausola è molto rilevante. Un cambiamento ambientale significativo può essere letterale, come un’esposizione aggiornata ad alluvioni per una struttura, oppure operativo, come cambiare provider di data center, spostare carichi di lavoro, aprire un nuovo sito di supporto o accettare un cliente regolamentato con requisiti di resilienza.

Una motivazione SoA solida è specifica:

“Il controllo A.5.30 è applicabile perché RR-31 identifica una potenziale interruzione del servizio dovuta a eventi meteorologici estremi che incidono sulle operazioni primarie di supporto. Il trattamento include coordinamento remoto degli incidenti, procedure di ripristino testate, esercitazione annuale di prontezza ICT e convalida del failover cloud.”

È più forte di “Applicabile perché lo richiede ISO.”

Usa le evidenze di policy per rendere l’emendamento ripetibile

L’emendamento non deve generare una corsa una tantum prima dell’audit. Deve diventare parte del normale ciclo di riesame del sistema di gestione.

La Politica di conformità legale e normativa - PMI di Clarysec stabilisce:

Qualsiasi cambiamento che incida sulla conformità deve attivare un riesame del Registro di conformità e delle politiche pertinenti.

Aggiungi l’emendamento sul cambiamento climatico dei sistemi di gestione ISO al Registro di conformità, quindi collega obblighi correlati di clienti, autorità di regolamentazione, contratti, assicurazioni e certificazioni. Se l’organizzazione opera in un contesto NIS2 o DORA, collega tali obblighi alle evidenze di continuità operativa, segnalazione degli incidenti, assurance dei fornitori e governance.

Per la continuità operativa, la Politica di continuità operativa e disaster recovery - PMI di Clarysec richiede evidenze:

del fatto che gli scenari di interruzione siano stati considerati e testati nell’ambito delle valutazioni del rischio

È qui che gli scenari climatici diventano operativi. Un test tabletop per perdita di alimentazione regionale, un’esercitazione di ripristino dei backup, una convalida del failover cloud o una simulazione di indisponibilità del supporto di un fornitore possono tutti supportare l’emendamento se collegati al Registro dei rischi.

Per la governance degli audit, la Politica di audit e monitoraggio della conformità - PMI di Clarysec stabilisce:

Le risultanze dell’audit e gli aggiornamenti di stato devono essere inclusi nel processo di riesame della direzione del SGSI.

Se un audit interno identifica evidenze deboli sull’emendamento climatico, la risultanza non deve restare in un semplice tracker di audit. Deve alimentare il riesame della direzione, l’azione correttiva e il miglioramento continuo.

Le evidenze privacy sono rilevanti quando l’adattamento climatico modifica il trattamento dei dati personali. La Politica del Sistema di gestione delle informazioni sulla privacy di Clarysec richiede disciplina sul contesto:

[Entrambi] Il Responsabile Privacy / PIMS Manager DEVE documentare le questioni esterne e interne del contesto privacy in REG01 con cadenza annuale ed entro 30 giorni da qualsiasi modifica sostanziale.

Richiede inoltre che siano acquisiti i requisiti delle parti interessate:

[Entrambi] Il Responsabile Privacy / PIMS Manager DEVE documentare le parti interessate rilevanti e i relativi requisiti PIMS in REG01 con cadenza annuale ed entro 30 giorni da qualsiasi modifica sostanziale.

Per i rischi privacy e le DPIA, la Politica di valutazione del rischio privacy e DPIA aggiunge:

[Entrambi] Il Responsabile Privacy / PIMS Manager DEVE riferire trimestralmente e prima di ogni riesame della direzione sullo stato del rischio privacy e delle DPIA da REG04 a REG12.

La Politica di monitoraggio, audit e miglioramento del PIMS fornisce un modello di riesame della direzione utile anche oltre la privacy:

[Entrambi] L’alta direzione DEVE riesaminare in REG12, durante ogni riesame della direzione, gli input relativi a non conformità del PIMS, azioni correttive, risultati del monitoraggio, risultati degli audit, rischio privacy, assurance dei fornitori e cambiamenti delle parti interessate.

E la Politica sulle informazioni documentate e sulla gestione delle evidenze del PIMS rafforza l’indicizzazione delle evidenze:

[Tutti] Il Responsabile Privacy / PIMS Manager DEVE mantenere un indice delle informazioni documentate del PIMS in REG12 prima della pubblicazione iniziale del PIMS e successivamente con cadenza trimestrale.

Per la preparazione del SGSI all’emendamento climatico, applica la stessa disciplina: mantieni un indice delle evidenze affinché il team di audit possa recuperare rapidamente registrazioni relative a contesto, rischio, SoA, continuità, fornitori e riesame della direzione.

Valore di conformità trasversale: ISO 27001, NIS2, DORA, GDPR, NIST CSF e COBIT

L’emendamento ISO 27001 sul cambiamento climatico è un requisito dei sistemi di gestione ISO, ma le evidenze hanno un valore regolatorio e di assurance più ampio.

NIS2 richiede ai soggetti essenziali e importanti di applicare misure di gestione dei rischi di cibersicurezza adeguate e proporzionate secondo un approccio multirischio. Article 21 copre analisi dei rischi, gestione degli incidenti, continuità operativa, backup, Disaster Recovery, gestione delle crisi, sicurezza della catena di fornitura, sviluppo sicuro, valutazione dell’efficacia, formazione, crittografia, controllo degli accessi e gestione degli asset. Eventi meteorologici estremi, instabilità energetica e interruzione dei fornitori rientrano naturalmente in questa prospettiva multirischio. Article 20 richiede inoltre agli organi di gestione di approvare le misure di gestione dei rischi di cibersicurezza e di supervisionarne l’attuazione, in linea con le evidenze del riesame della direzione previste da ISO/IEC 27001:2022.

DORA è particolarmente rilevante per le entità finanziarie. Richiede gestione del rischio ICT, responsabilità dell’organo di gestione, piani di continuità e ripristino, test di resilienza operativa digitale, gestione del rischio ICT di terze parti e miglioramento continuo. Se un’organizzazione finanziaria utilizza già il riesame della direzione del SGSI per approvare azioni di continuità ICT connesse al clima, le stesse evidenze possono supportare una narrazione di governance DORA.

GDPR diventa rilevante quando l’adattamento climatico modifica il trattamento dei dati personali. Esempi includono monitoraggio della sicurezza della forza lavoro, tracciamento della posizione durante eventi meteorologici estremi, nuovi sensori negli edifici, monitoraggio ambientale collegato ai dipendenti o cambiamenti nelle localizzazioni di trattamento cloud. Responsabilizzazione, limitazione della finalità, minimizzazione dei dati, sicurezza, conservazione e governance dei fornitori previsti da GDPR restano applicabili anche durante un’interruzione.

NIST CSF 2.0 fornisce un linguaggio per il management applicabile alle stesse evidenze. La funzione GOVERN enfatizza contesto organizzativo, aspettative delle parti interessate, requisiti legali e normativi, strategia di gestione del rischio, ruoli, supervisione e rischio della catena di fornitura. COBIT 2019 e i professionisti dell’assurance orientati a ISACA si concentrano spesso su titolarità, metriche di prestazione, accettazione del rischio, obiettivi di governance, gestione delle criticità ed evidenze che la direzione conosca il funzionamento dei controlli.

Zenith Controls è utile in questo contesto perché aiuta i team di conformità a vedere come lo stesso elemento di evidenza supporti più framework. Non è un insieme separato di controlli. È una guida alla conformità trasversale per mappare la logica dei controlli ISO/IEC 27001:2022 e ISO/IEC 27002:2022 rispetto ad aspettative di audit, assurance e regolatorie.

Per questo tema, diversi controlli ISO/IEC 27002:2022 sono centrali. A.5.31 Requisiti legali, statutari, regolamentari e contrattuali supporta l’obbligo di identificare e mantenere i requisiti applicabili. A.5.4 Responsabilità della direzione supporta la responsabilità della leadership. A.5.36 Conformità a politiche, regole e standard per la sicurezza delle informazioni supporta l’assurance sul rispetto delle regole. A.5.29 e A.5.30 supportano la sicurezza delle informazioni durante l’interruzione e la prontezza ICT per la continuità operativa. A.5.19, A.5.21 e A.5.22 supportano la resilienza dei fornitori e della catena di fornitura ICT.

Zenith Controls afferma:

Il controllo 5.36 funge da meccanismo di applicazione per le regole definite nel 5.1.

Nel contesto dell’emendamento climatico, ciò significa che l’organizzazione non si limita ad aggiornare una policy. Monitora che riesami del contesto, aggiornamenti dei rischi, riesami della SoA, test di continuità, riesami dei fornitori e azioni del riesame della direzione avvengano effettivamente.

Il riesame della direzione è il momento decisivo a livello di consiglio di amministrazione

La Clausola 9.3 di ISO/IEC 27001:2022 richiede all’alta direzione di riesaminare il SGSI a intervalli pianificati per garantirne l’idoneità, l’adeguatezza e l’efficacia continue. Per l’emendamento climatico, il riesame della direzione è il punto in cui le evidenze di contesto diventano responsabilità della leadership.

Zenith Blueprint, fase Audit, riesame e miglioramento, passaggio 28, indica ai team di raccogliere input per il riesame della direzione, inclusi:

✓ Cambiamenti nelle questioni esterne e interne: riepilogare eventuali cambiamenti significativi nel contesto (Clausola 4.1) o nei requisiti delle parti interessate (Clausola 4.2) dall’avvio del progetto SGSI.

Sarah ha utilizzato questa struttura per informare il proprio gruppo dirigente. La sua slide per il riesame della direzione era concisa:

1. ISO ha imposto di considerare il cambiamento climatico nel contesto dei sistemi di gestione.
2. Il team SGSI ha determinato la rilevanza per disponibilità del data center, concentrazione cloud, dipendenza dai fornitori e aspettative regolatorie.
3. Due rischi sono stati aggiunti al Registro dei rischi con probabilità medio-bassa e impatto elevato.
4. Il trattamento utilizza controlli esistenti per prontezza ICT, gestione dei fornitori, backup, servizi cloud e requisiti legali.
5. Si richiede l’approvazione della direzione per un test potenziato di Disaster Recovery che simuli instabilità energetica regionale.

I verbali hanno registrato la decisione, i responsabili delle azioni, le date di scadenza e l’approvazione delle risorse. Si tratta di evidenze di audit di alta qualità perché dimostrano che l’alta direzione ha riesaminato la questione e preso una decisione basata sul rischio.

La Politica per la sicurezza delle informazioni Enterprise di Clarysec richiede che il riesame della direzione includa:

Decisioni sugli aggiornamenti dell’ambito di applicazione, dei controlli e dell’allocazione delle risorse

Un solido pacchetto di riesame della direzione per l’emendamento climatico deve includere:

• Estratto del registro del contesto che mostra la determinazione della rilevanza climatica.
• Estratto del registro delle parti interessate che mostra requisiti o motivazione dell’assenza di requisiti.
• Riesame dell’ambito di applicazione che copre sedi, servizi cloud, fornitori, team di supporto e interfacce.
• Voci del Registro dei rischi e stato del trattamento.
• Modifiche alla SoA o conferma che le giustificazioni esistenti restano sufficienti.
• Risultati dei test di continuità operativa e Disaster Recovery.
• Aggiornamenti di assurance dei fornitori per dipendenze da cloud, data center, MSP, MSSP, telecomunicazioni, strutture e supporto esternalizzato.
• Implicazioni per la risposta agli incidenti, incluse dipendenze di escalation e comunicazione.
• Aggiornamenti del registro legale e normativo.
• Richieste di risorse, decisioni e accettazione del rischio residuo.
• Azioni di miglioramento con responsabili e date di scadenza.

Se la questione non arriva mai al riesame della direzione, può apparire puramente formale. Se arriva al riesame della direzione attraverso contesto, rischio, controlli ed evidenze, appare come un SGSI funzionante.

Risultanze comuni di audit e come prevenirle

La maggior parte delle risultanze sull’emendamento climatico riguarda carenze di tracciabilità, non carenze tecniche.

Il tuo pacchetto di evidenze idoneo all’audit

Prima del prossimo audit di sorveglianza o ricertificazione, prepara un pacchetto di evidenze conciso. Non deve essere enorme. Deve essere collegato.

Questo pacchetto fornisce all’auditor una traccia chiara: dal contesto al rischio, dal rischio al controllo, dal controllo alle evidenze, dalle evidenze al riesame della direzione e dal riesame della direzione al miglioramento.

Trasforma l’emendamento in evidenze, non in ansia

L’emendamento ISO 27001 sul cambiamento climatico non è una trappola documentale se il tuo SGSI funziona già come sistema di gestione. È uno stimolo a dimostrare che la tua organizzazione sa riconoscere una questione esterna in evoluzione, decidere se è rilevante, valutarne l’effetto sui risultati della sicurezza delle informazioni, aggiornare rischi e controlli dove necessario e coinvolgere l’alta direzione nella decisione.

Inizia con un riesame delle evidenze di 60 minuti. Porta registro del contesto, registro delle parti interessate, ambito di applicazione del SGSI, Registro dei rischi, SoA, rapporto di test BCP, Registro dei fornitori, Registro di conformità e ultimi verbali del riesame della direzione. Poni una domanda: riusciamo a tracciare l’emendamento climatico dal contesto alla decisione della leadership?

Se la catena è interrotta, riparala prima che l’auditor trovi la lacuna.

Clarysec può aiutarti a costruire rapidamente questa tracciabilità. Usa Zenith Blueprint: roadmap in 30 passaggi per auditor per collocare il lavoro nelle corrette fasi di implementazione, usa Zenith Controls: la guida alla conformità trasversale per mappare le evidenze tra ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF e assurance orientata a COBIT, e usa i modelli di policy Clarysec per rendere le registrazioni ripetibili, riesaminabili e idonee all’audit.

Pianifica una valutazione Clarysec delle evidenze per l’emendamento climatico e trasforma una domanda di audit scomoda in una risposta sicura e presentabile al consiglio di amministrazione.