La ISO 27017 cambia
dopo undici anni

Il 27 luglio 2026 ISO e IEC hanno pubblicato la seconda edizione della ISO/IEC 27017, la norma che dice come applicare i controlli di sicurezza delle informazioni ai servizi cloud. L’edizione precedente era del 2015 ed è stata ritirata. In undici anni il cloud è diventato la normalità per le aziende di ogni dimensione, la ISO/IEC 27002 è stata riscritta e la ISO/IEC 27001 è passata all’edizione 2022: la 27017 era rimasta l’ultimo pezzo del quadro ancora fermo alla struttura vecchia. Questo articolo spiega cosa è cambiato, cosa conviene chiedere al proprio fornitore cloud e cosa succede ai certificati già in essere.

Cosa è la ISO/IEC 27017, e cosa non è

La ISO/IEC 27017 non è una certificazione. È una linea guida: prende i controlli della ISO/IEC 27002 e per ciascuno spiega cosa significa nel cloud, aggiungendo pochi controlli che esistono solo lì. Si applica nell’ambito di un sistema di gestione certificato ISO/IEC 27001, e nessun ente di certificazione rilascia un certificato 27017 a sé stante. Quando un fornitore dichiara di essere «certificato 27017», in realtà ha un certificato ISO 27001 che riporta l’applicazione delle linee guida 27017, con l’edizione di riferimento. È il caso anche delle nostre certificazioni.

La norma parla a entrambe le parti del contratto. Al fornitore del servizio cloud, che deve dimostrare come protegge l’infrastruttura e i dati che ospita. Al cliente del servizio cloud, che resta responsabile di ciò che mette nel cloud e di come lo configura. L’edizione 2026 aggiunge una terza figura, il cloud service partner: chi sta nel mezzo, come i fornitori di servizi gestiti, gli integratori e i broker. È la descrizione esatta di un MSP (Managed Service Provider) come AtWorkStudio, che progetta e gestisce il cloud dei clienti su piattaforme di terzi: per la prima volta la norma dice che anche i suoi ruoli vanno scritti in un accordo.

Cosa cambia rispetto all’edizione 2015

Il cambiamento principale è di struttura. L’edizione 2015 seguiva la ISO/IEC 27002:2013, con 14 domini e 114 controlli, e aggiungeva sette controlli esclusivamente cloud identificati dal prefisso CLD. L’edizione 2026 segue la ISO/IEC 27002:2022, con 93 controlli in quattro temi (organizzativi, sulle persone, fisici, tecnologici), gli identificatori CLD spariscono e la guida cloud viene distribuita dentro i controlli esistenti, con la stessa presentazione per attributi della 27002. Dei sette controlli dedicati ne restano quattro: due ereditati dal 2015 e due nuovi.

Un allegato di corrispondenza nella norma collega ogni controllo del 2015 alla sua nuova collocazione, quindi chi ha già una mappatura non riparte da zero. La sostanza dei requisiti tecnici cambia poco: chi segregava già gli ambienti virtuali, documentava le procedure amministrative e restituiva i dati a fine contratto trova gli stessi temi in un posto diverso. Le vere novità sono tre: il partner come ruolo formale, lo shadow cloud affrontato esplicitamente per la prima volta con l’8.36, e la guida sulle richieste delle autorità nel 5.31, di cui parliamo adesso.

Il controllo 5.31 e il caso Revolut

Il controllo 5.31 della ISO/IEC 27002:2022 riguarda i requisiti legali, statutari, regolamentari e contrattuali. La guida cloud della 27017:2026 vi aggiunge un punto preciso per chi eroga servizi cloud: come gestire le richieste di accesso ai dati dei clienti che arrivano da un’autorità, che sia la polizia giudiziaria, la magistratura o un’autorità di controllo. La norma chiede tre cose.

• 1Valutare sul piano legale ogni richiesta, per verificare che la base giuridica sia valida: chi la firma, in base a quale norma, con quale provvedimento.
• 2Avvisare il cliente interessato, salvo che la legge lo vieti espressamente.
• 3Consegnare solo i dati oggetto della richiesta, non tutto ciò che si ha su quel cliente.

Sembra ovvio finché non si legge cosa è successo a Revolut. L’11 settembre 2026 la banca digitale ha iniziato ad avvisare i clienti e il 12 ha confermato pubblicamente di aver consegnato dati riservati a un terzo non autorizzato, dopo aver ricevuto richieste da un dominio di posta appartenente a un ente pubblico legittimo. Secondo le ricostruzioni della stampa italiana, le richieste partivano da una casella di posta certificata autentica di una prefettura, sono andate avanti per circa sei mesi e hanno riguardato circa 680 clienti europei: documenti d’identità, immagini di verifica, IBAN, estratti e cronologia delle transazioni. Nessuna intrusione informatica. I dati sono usciti perché qualcuno li ha inviati, in risposta a una richiesta che aveva l’aspetto giusto. Revolut se n’è accorta solo quando ha telefonato all’ente, che ha negato di aver mai chiesto nulla.

Anche gli altri due passi si vedono in negativo nel caso Revolut: i clienti sono stati avvisati a cose fatte, non al momento della richiesta, e la consegna ha riguardato l’intero fascicolo di verifica dell’identità. La norma non inventa nulla di nuovo, mette per iscritto una procedura che ogni fornitore cloud dovrebbe già avere: registrare la richiesta, verificarla su un canale indipendente, farla valutare sul piano legale prima di qualunque consegna, informare il cliente e consegnare solo ciò che è stato chiesto, lasciando traccia di tutto.

Cosa chiedere al tuo fornitore cloud

La 27017:2026 dà al cliente una lista di domande concrete. Non serve leggere la norma per farle: basta sapere cosa aspettarsi come risposta.

Una domanda in più riguarda il cliente stesso: quanti servizi cloud sono attivi in azienda fuori dai canali ufficiali, pagati con una carta aziendale e mai censiti? L’8.36 chiede di rilevare e prevenire questo uso non autorizzato, e il modo più semplice per farlo è partire dall’identità: se ogni servizio passa dal sistema di identità aziendale, quello che non ci passa diventa visibile.

Transizione: cosa succede ai certificati

Per la ISO/IEC 27001:2022 c’era stato un periodo di transizione di tre anni, uguale per tutti. Per la 27017:2026, al momento in cui scriviamo, non è stato annunciato un periodo di transizione formale: essendo una linea guida applicata dentro il certificato 27001, la data che conta è quella fissata dall’ente di certificazione, che a sua volta può auditare sulla nuova edizione solo dopo che il proprio ente di accreditamento ha esteso lo scopo. Nel frattempo i certificati che citano la 27017:2015 restano validi, e a fine agosto 2026 i grandi fornitori cloud pubblici dichiaravano ancora la conformità all’edizione 2015.

Il nostro certificato ISO/IEC 27001 applica oggi le linee guida ISO/IEC 27017:2015 e ISO/IEC 27018:2025, insieme alla ISO 9001. L’adeguamento alla 27017:2026 è in corso, partendo dall’allegato di corrispondenza e dai punti nuovi, e sarà verificato dall’ente di certificazione al prossimo riesame. La scelta di dove stanno i dati e l’elenco dei sub-responsabili sono già pubblici, perché la trasparenza verso il cliente è il punto da cui la norma parte.