{"id":43096,"date":"2026-07-01T11:35:17","date_gmt":"2026-07-01T09:35:17","guid":{"rendered":"https:\/\/smartfense.com\/?p=43096"},"modified":"2026-07-01T11:35:28","modified_gmt":"2026-07-01T09:35:28","slug":"iso-27001-2022-controllo-6-3-cybersecurity-awareness","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/iso-27001-2022-controllo-6-3-cybersecurity-awareness\/","title":{"rendered":"Cosa richiede il controllo 6.3 della ISO 27001:2022 sulla Cybersecurity awareness e come dimostrarlo"},"content":{"rendered":"

La revisione dell\u2019ottobre 2022 della ISO\/IEC 27001 ha riorganizzato completamente l\u2019Allegato A, e la finestra per consentire alle organizzazioni certificate di migrare dalla versione 2013 si \u00e8 chiusa il 31 ottobre 2025. Chi oggi si certifica o rinnova lo fa gi\u00e0 sulla versione nuova. In quella riorganizzazione, il controllo sulla Cybersecurity awareness ha cambiato numero, raggruppamento e, soprattutto, soglia probatoria.<\/p>\n

Questo articolo non spiega cos\u2019\u00e8 la ISO 27001 n\u00e9 come ottenere la certificazione. D\u00e0 per scontato che quel terreno tu lo abbia gi\u00e0 coperto. Sviluppa un aspetto pi\u00f9 circoscritto. Spiega cosa dice il controllo 6.3 sulla awareness del personale, cosa \u00e8 cambiato rispetto al 2013 e cosa deve poter mostrare un\u2019organizzazione quando l\u2019auditor inizia a chiedere evidenze.<\/p>\n

Cosa richiede il controllo 6.3 della ISO 27001:2022 sulla Cybersecurity awareness?<\/h2>\n

Il controllo 6.3 dell\u2019Allegato A, \u00abInformation security awareness, education and training\u00bb, richiede che tutto il personale dell\u2019organizzazione (e, quando pertinente, le terze parti coinvolte) riceva una formazione adeguata e aggiornata sulle politiche di sicurezza e sul proprio ruolo in esse. Si trova all\u2019interno del tema Persone, uno dei quattro raggruppamenti della norma nuova.<\/p>\n

Il peso lo portano tre parole dell\u2019enunciato. \u00abAdeguata\u00bb significa che il contenuto deve corrispondere alla funzione di ciascuna persona e ai rischi reali della mansione, non a un programma generico. \u00abAggiornata\u00bb implica che la formazione segue il ritmo dei cambiamenti nelle politiche e nel panorama delle minacce. E \u00abtutto il personale\u00bb chiude la porta ai programmi che raggiungono solo una parte dell\u2019organico. Il controllo descrive un processo vivo, sostenuto nel tempo e rivisto ogni volta che il contesto cambia.<\/p>\n

Il 6.3 non vive nemmeno isolato. Si appoggia al controllo 6.2, che disciplina i termini e le condizioni del rapporto di lavoro, e alle politiche di sicurezza che la direzione approva ai sensi del controllo 5.1. La formazione \u00e8 il meccanismo con cui quelle politiche smettono di essere un documento e diventano comportamento. Un auditor che esamina il 6.3 quasi sempre verifica, in parallelo, che esista una politica a cui la formazione rimanda e che quella politica sia in vigore.<\/p>\n

Chi rientra nella formazione del controllo 6.3?<\/h2>\n

Tutto il personale dell\u2019organizzazione, a prescindere dalla funzione o dall\u2019anzianit\u00e0, e le terze parti con accesso alle informazioni o ai sistemi quando tale accesso lo giustifica. Il controllo non ammette la logica di formare solo i team tecnici o chi tratta dati sensibili. La awareness si intende come uno strato di protezione che copre l\u2019intera organizzazione.<\/p>\n

Ci sono tre gruppi che conviene trattare in modo differenziato, perch\u00e9 sono quelli che l\u2019auditor esamina con pi\u00f9 dettaglio. Il personale generale ha bisogno di una base comune su politiche, minacce abituali e modalit\u00e0 di segnalazione di un incidente. I profili pi\u00f9 esposti, come l\u2019amministrazione dei sistemi, la finanza o l\u2019assistenza clienti, richiedono contenuti specifici per i rischi della loro funzione. E la direzione rientra in una categoria a s\u00e9, perch\u00e9 approva le politiche e ne risponde, per cui la sua formazione deve andare oltre il messaggio generale. Lasciare lo strato dirigenziale fuori dal programma \u00e8 una delle lacune che un audit individua pi\u00f9 rapidamente.<\/p>\n

Cosa \u00e8 cambiato tra la ISO 27001:2013 e la versione 2022 sulla awareness?<\/h2>\n

Il requisito di fondo non si \u00e8 trasformato, ma la sua collocazione e la sua lettura s\u00ec. Nel 2013 la awareness viveva nel controllo A.7.2.2, all\u2019interno di un dominio dedicato alle risorse umane. Nel 2022 \u00e8 diventata il controllo 6.3 del tema Persone, una riorganizzazione che la avvicina ad altri controlli sul comportamento e sulla responsabilit\u00e0 individuale.<\/p>\n\n\n\n\n\n\n\n\n
Aspetto<\/th>\nISO 27001:2013<\/th>\nISO 27001:2022<\/th>\n<\/tr>\n<\/thead>\n
Controllo sulla awareness<\/td>\nA.7.2.2<\/td>\n6.3<\/td>\n<\/tr>\n
Raggruppamento<\/td>\nDominio 7, sicurezza legata alle risorse umane<\/td>\nTema Persone<\/td>\n<\/tr>\n
Totale controlli dell\u2019Allegato A<\/td>\n114<\/td>\n93 (di cui 11 nuovi)<\/td>\n<\/tr>\n
Struttura dell\u2019Allegato A<\/td>\n14 domini<\/td>\n4 temi<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Il cambiamento che conta di pi\u00f9 per un programma di awareness non \u00e8 nel testo del 6.3, ma nel contesto. La versione 2022 ha introdotto controlli nuovi orientati alla condotta e all\u2019uso della tecnologia, e questo alza l\u2019aspettativa dell\u2019auditor su cosa significhi \u00absensibilizzare\u00bb. Dimostrare che le persone sanno non basta pi\u00f9 quando la norma, nel suo insieme, vira verso il poter dimostrare che le persone agiscono in modo diverso.<\/p>\n

Come si dimostra la conformit\u00e0 al controllo 6.3 in un audit?<\/h2>\n

Un auditor non si accontenta di vedere che esiste un corso. Chiede una traccia. Le evidenze che sostengono il controllo 6.3 di solito poggiano su questi elementi:<\/p>\n