ISO 27017 – Controlli di sicurezza servizi cloud
Le infrastrutture digitali hanno subito una rapida evoluzione e, contestualmente, l’adozione diffusa di modelli ibridi e multi-cloud hanno reso la sicurezza degli ambienti cloud un pilastro centrale nella governance dei rischi informatici. In questo contesto, l’Organizzazione Internazionale per la Standardizzazione (ISO) e la Commissione Elettrotecnica Internazionale (IEC) hanno recentemente pubblicato l’aggiornamento ISO/IEC 27017:2026, ovvero il codice di condotta dedicato ai controlli di sicurezza delle informazioni nei servizi cloud, che sostituisce l’edizione precedente del 2015.
Che cos’è la norma ISO/IEC 27017:2026
La ISO/IEC 27017 (titolo completo: Information technology – Security techniques – Code of practice for information security controls based on ISO/IEC 27002 for cloud services) è una linea guida internazionale e, in particolare, un’estensione specialistica dei framework dello standard ISO/IEC 27001 (Sistema di Gestione della Sicurezza delle Informazioni) e ISO/IEC 27002 (Catalogo dei controlli di sicurezza).
L’obiettivo principale è fornire indicazioni operative e specifiche per il cloud, integrando i controlli generali di sicurezza con linee guide orientate alla mitigazione delle vulnerabilità e dei rischi tipici degli ambienti virtualizzati, condivisi e distribuiti. Per questo la norma si focalizza attentamente sul modello di responsabilità condivisa (Shared Responsability Model), formalizzando confini operativi e garanzie necessarie nell’intero ciclo di vita del servizio.
In altre parole, lo scopo è proteggere i dati e i sistemi quando si usano i servizi cloud. Invece di adottare regole generiche sulla sicurezza computerizzata, la norma si concentra sui pericoli specifici dei sistemi cloud (dove i dati sono salvati su Internet e gli spazi digitali sono divisi tra più utenti). In particolare, vuole mettere nero su bianco:
- Cosa deve proteggere il fornitore del servizio cloud (la sicurezza dei server fisici e dell’infrastruttura);
- Cosa deve proteggere il cliente che acquista il servizio (le password, autorizzazioni utenti, ecc..)
A chi si rivolge ISO/IEC 27017:2026
La norma si applica principalmente a due categorie fondamentali dell’ecosistema cloud:
- Cloud Service Provider (CSP): fornitori di servizi cloud (IaaS, PaaS, SaaS) che devono dimostrare l’efficacia dei controlli di sicurezza implementati e garantire trasparenza, tracciabilità e isolamento dei dati dei clienti.
- Cloud Service Customer (CSC): organizzazioni clienti che utilizzano i servizi cloud e devono garantire una corretta configurazione, gestione identità, accessi, tracciamento dei log, ecc…
Trattandosi, come detto, di un’estensione, la ISO/IEC 27017:2026 si integra direttamente nei programmi di conformità di organizzazioni che hanno già adottato o intendono adottare lo standard ISO/IEC 27001:2022 – ISMS: Information Security Management System.
Le principali novità dell’edizione 2026
1. Riallineamento strutturale alla ISO/IEC 27002:2022
La versione 2026 recepisce la ristrutturazione dei controlli introdotti dalla ISO/IEC 27002:2022, organizzando i controlli di base in quattro temi principali:
- Organizzativo (37 controlli);
- Persone (8 controlli);
- Fisico (14 controlli);
- Tecnologico (34 controlli).
A questi 93 controlli di base si affiancano i controlli specifici per il cloud (CLD), portando il totale a 100 controlli rispetto ai 121 precedenti. Tale decremento deriva dall’accorpamento e dalla razionalizzazione di 58 controlli preesistenti, mentre 11 controlli del tutto nuovi sono stati introdotti.
2. Estensione della copertura architetturale e nuovi controlli
Se nell’edizione 2015 le linee guida sul cloud ISO/IEC 27017 erano limitate ad annotazioni applicabili a un sottoinsieme di controlli, la versione 2026 estende la guida cloud all’insieme completo dei controlli di base.
Tra le novità rilevanti spicca il controllo 5.23, che stabilisce la governance dell’intero ciclo di vita del servizio cloud (acquisizione – utilizzo – gestione operativa ed eventuale recesso/exit strategy) come un dovere formale dell’organizzazione.
La maggior parte dei nuovi controlli riguarda l’ambito tecnologico e richiede interventi tecnici-ingegneristici, tra cui attività di monitoraggio avanzato, la gestione della configurazione e la sicurezza del codice (secure coding), la cancellazione sicura delle informazioni e il mascheramento dei dati (data masking) e la prevenzione della perdita dei dati (DLP – Data Loss Prevention).
3. Tassonomia basata sugli attributi
Ciascun controllo dell’edizione 2026 include una matrice di attributi che ne descrive il tipo di controllo, le proprietà della triade CIA (Riservatezza, Integrità, Disponibilità), nonché i concetti del NIST Cybersecurity Framework (CSF), le capacità operative e i domini di sicurezza.
Ciò rappresenta un elemento a vantaggio della conformità globale delle organizzazioni certificate, consentendo infatti di utilizzare un unico set di evidenze per soddisfare contemporaneamente diversi quadri normativi e di controllo (ISO, NIST CSF, CSA CCM).
4. Passaggio dalle policy all’evidenza operativa
L’attenzione degli audit e delle verifiche ispettive si sposta dalla predisposizione di documenti o dichiarazioni d’intenti (policy) alla presenza di evidenze oggettive di attuazione.
L’attenzione viene posta sulla tracciabilità delle responsabilità condivise, sui registri di audit dell’amministrazione cloud e sulla verifica puntuale del confine di controllo lungo tutto il ciclo di vita delle informazioni.
Perchè conformarsi alle linee guida ISO/IEC 27017:2026
Ottenere l’attestazione di conformità rappresenta per le organizzazioni una scelta strategica per dimostrare un livello elevato di maturità nella gestione della sicurezza dei dati in ambiente cloud, riducendo i rischi di data breach e garantendo controlli rigorosi.
La conformità viene richiesta principalmente dai clienti aziendali (B2B), dalle grandi imprese e dalla Pubblica Amministrazione verso i Cloud Service Provider (CSP) e i fornitori di software SaaS/PaaS/IaaS come requisito vincolante nei contratti di fornitura, nelle analisi del rischio della supply chain e nei bandi di gara d’appalto.
La verifica viene effettuata da Organismi di Certificazione terzi, indipendenti e accreditati come AS&C, che valutano l’efficacia operativa dei controlli specifici per il cloud nell’ambito dell’audit sul Sistema di Gestione per la Sicurezza delle Informazioni (ISMS) basato sulla ISO/IEC 27001.
La conformità alla ISO/IEC 27017 agevola direttamente il rispetto dei requisiti di sicurezza e governance previsti da normative stringenti come il GDPR europeo, la Direttiva NIS2 e il regolamento DORA per il settore finanziario, fornendo un quadro di garanzia solido, trasparente e riconosciuto a livello internazionale.