In sintesi: La ISO 27001 non certifica un software, certifica come un’organizzazione gestisce la sicurezza delle informazioni. Quando un’azienda si certifica, però, i suoi gestionali finiscono dentro il perimetro dell’audit: l’auditor chiede al fornitore chi può fare cosa, chi ha visto quali dati e come si ripristina il sistema. Un software gestionale ISO 27001-ready è quello che sa rispondere con evidenze, non con promesse.
C’è un momento preciso in cui la sicurezza informatica smette di essere un tema da convegno e diventa un problema sul tuo tavolo: quando un cliente importante ti manda il questionario fornitori e ti chiede se sei certificato ISO 27001. Oppure quando decidi di certificarti tu, parte l’iter, e a un certo punto il consulente ti guarda e dice: “adesso servono le risposte sui vostri applicativi”. A quel punto tocca girarsi verso chi il software l’ha scritto. Ed è lì che si capisce di che pasta è fatto il tuo fornitore.
Che cos’è davvero la ISO 27001 (e perché nel 2026 te la chiedono)
La ISO/IEC 27001 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. La parola che conta è gestione: non certifica che il tuo software sia inespugnabile, certifica che la tua organizzazione ha regole scritte su come tratta le informazioni, che quelle regole sono applicate davvero e che esistono prove verificabili di questo.
Un dettaglio che vale la pena sapere: la versione in vigore è la ISO/IEC 27001:2022. Le certificazioni rilasciate secondo la vecchia edizione del 2013 hanno smesso di essere valide alla fine di ottobre 2025, quindi chiunque oggi esibisca un certificato in corso di validità è passato per la revisione più recente. Se un fornitore ti mostra un attestato, guarda l’anno.
Perché sta diventando così frequente? Non per un obbligo di legge. Succede perché la richiesta scende lungo la catena: la grande azienda certificata deve dimostrare di controllare i propri fornitori, quindi gira il questionario a te. Le compagnie assicurative fanno lo stesso con le polizze cyber. Il risultato è che una PMI si trova a doversi certificare non per virtù, ma per restare nella lista dei fornitori ammessi.
La sorpresa: il tuo gestionale entra nel perimetro dell’audit
Ecco il punto che spiazza chi affronta il percorso per la prima volta. Ti aspetti che l’audit riguardi le password aziendali, i backup e la formazione del personale. Poi scopri che l’auditor vuole sapere come funziona il gestionale con cui emetti le fatture o registri i verbali, perché lì dentro ci sono dati di clienti, di dipendenti e informazioni che se uscissero ti farebbero un danno.
Chiariamo subito un equivoco commerciale che gira parecchio: un software non è certificabile ISO 27001. La certificazione riguarda l’organizzazione. Se qualcuno ti propone un “gestionale certificato ISO 27001” sta usando una scorciatoia di marketing. Quello che un software può e deve fare è reggere i controlli previsti dallo standard e produrre le evidenze che servono all’auditor. È una distinzione noiosa in apparenza, ma è esattamente quella che ti evita una figuraccia in sede di verifica.
Le domande che l’auditor gira allo sviluppatore
Lo diciamo per esperienza diretta: per un nostro cliente in percorso di certificazione abbiamo dovuto rispondere, punto per punto, a una scheda di quindici domande tecniche poste dal sistemista incaricato. Non erano domande generiche, e nessuna ammetteva una risposta a parole. Le più significative:
- Chi può fare cosa: quali ruoli esistono, come sono conservate le password, quali policy le governano.
- Chi ha fatto cosa: esiste un registro degli accessi, delle modifiche, delle esportazioni e dei download?
- Dove vivono i dati: database, allegati, foto; e con quali protezioni in transito.
- Come sono gestiti i segreti: password di servizio e chiavi non devono stare nel codice sorgente.
- Come si torna in piedi: la procedura di ripristino dopo un guasto, provata e documentata.
- Con quali dati si fanno i test: perché testare sui dati veri dei clienti è un problema, non una comodità.
Se il tuo fornitore a queste domande risponde “certo, è tutto sicuro”, hai un problema. La risposta giusta è un documento con riferimenti puntuali al codice, verificabili da chiunque sappia leggerli.
Come le abbiamo affrontate nei nostri applicativi
Parliamo di due gestionali che abbiamo costruito per lo stesso gruppo cliente: uno per i verbali di coordinamento della sicurezza in cantiere, l’altro per il ciclo di fatturazione. Condividono le stesse fondamenta, ed è stata una scelta precisa: quando arriva l’audit, rispondi una volta sola per entrambi.
- Ruoli separati e password robuste: tre livelli di autorizzazione distinti, con policy sulle credenziali. L’utenza tecnica di servizio non si crea dall’interfaccia, esiste solo via configurazione, resta invisibile nelle liste ed è tracciata a parte.
- Registro di chi-ha-fatto-cosa: accessi, modifiche, esportazioni e download finiscono in un audit trail. Nel gestionale di fatturazione abbiamo dovuto affrontare anche il rovescio della medaglia, cioè quanto pesa quel registro nel tempo: c’è una politica di retention studiata apposta, perché un log che fa esplodere il database non è una misura di sicurezza, è un guasto rimandato.
- Dati protetti in transito: HTTPS forzato, HSTS, cookie sicuri, invio email su canale autenticato e cifrato.
- Nessun segreto nel repository: in sviluppo si usano i user-secrets, in produzione le variabili d’ambiente. Nel codice versionato non entra una password.
- Integrità dei documenti: i PDF prodotti vengono congelati e accompagnati da un’impronta crittografica, così una modifica successiva sarebbe rilevabile.
- Test su dati sintetici: la suite automatica gira su dati inventati. Nessun dato reale di un cliente finisce in un ambiente di prova.
Vogliamo essere onesti anche sul resto, perché è la parte che i fornitori tacciono: non tutto dipende dal software. La separazione formale degli ambienti di collaudo, l’automazione del rilascio, l’autenticazione a più fattori sul repository e la data di go-live sono decisioni che stanno a metà tra il sistemista e l’azienda. Nel documento che abbiamo consegnato quelle voci sono marcate “da definire”, non spacciate per fatte. Un auditor se ne accorge sempre, e un fornitore che distingue ciò che ha in mano da ciò che non gli compete è un fornitore su cui puoi contare.
Il valore aggiunto che resta anche se non ti certifichi
Qui arriva la parte che ci interessa di più, perché vale per tutti, anche per chi la ISO 27001 non la prenderà mai. Costruire un gestionale con quei criteri produce benefici che si vedono nel lavoro quotidiano, molto prima dell’audit.
Il registro degli accessi, per dire, nasce come requisito di conformità e diventa lo strumento con cui rispondi alla domanda “chi ha modificato questo documento la settimana scorsa?” senza aprire un’indagine interna. I ruoli separati non servono solo all’auditor: evitano che uno stagista cancelli per sbaglio l’anagrafica clienti. La procedura di ripristino documentata è ciò che distingue un fermo di due ore da un fermo di due giorni. E la trasparenza su dove stanno i dati è quello che ti permette di rispondere a un cliente che chiede conto del trattamento senza dover chiamare il consulente. Sono gli stessi temi che tocchiamo parlando di sicurezza informatica per le PMI e di protezione dei dati aziendali, visti però dal lato di chi il software lo progetta.
C’è poi un vantaggio commerciale concreto e spesso sottovalutato: se il tuo software è già in ordine, il giorno che un cliente grande ti manda il questionario fornitori non devi rincorrere nessuno. Rispondi e vai avanti. Chi non ha quelle fondamenta perde settimane, oppure perde la gara.
Quanto costa partire con il piede giusto
Rispondiamo con le nostre fasce reali, senza giri di parole. Un gestionale su misura si colloca indicativamente tra 5.000 e 30.000 euro, in base a quanti flussi copre e quante integrazioni richiede, con un canone annuo di manutenzione di norma pari al 15-20% del costo iniziale, che comprende correzioni, aggiornamenti di sicurezza e assistenza. Le misure di cui abbiamo parlato in questo articolo non sono un modulo aggiuntivo da vendere a parte: sono il modo in cui tendiamo a scrivere il software. Metterle dopo, su un applicativo che è nato senza, costa sempre di più che metterle subito.
Ogni progetto fa storia a sé e la cifra esatta esce solo dall’analisi del tuo processo: queste fasce servono a orientarti, non a farti un preventivo alla cieca. Puoi vedere come lavoriamo nel nostro portfolio o approfondire il nostro approccio al software su misura per le PMI.
Un software gestionale ISO 27001-ready è prima di tutto un software fatto bene
Se dovessimo riassumere in una frase: la conformità non è una vernice che si stende alla fine, è il modo in cui si posano le fondamenta. Un software gestionale ISO 27001-ready non è un prodotto con un bollino, è un applicativo in cui sai chi ha fatto cosa, sai dove stanno i dati, sai come tornare in piedi dopo un guasto e sai distinguere quello che il software risolve da quello che deve risolvere la tua organizzazione. Il giorno dell’audit quella chiarezza vale più di qualsiasi dichiarazione, e nei mesi normali ti fa semplicemente lavorare meglio.
Stai affrontando un percorso di certificazione e non sai come rispondere sui tuoi applicativi? Prenota una demo sul tuo processo oppure parliamone in una call gratuita di 20 minuti: guardiamo insieme come sono messi i tuoi gestionali e cosa serve davvero per reggere le domande dell’auditor. Scrivici e organizziamo la demo.
Domande frequenti su software gestionale e ISO 27001
È lo standard internazionale che certifica come un’organizzazione gestisce la sicurezza delle informazioni. Non certifica un prodotto o un software, ma il sistema di gestione: le regole, i ruoli, i controlli e le prove che vengono applicati davvero. La versione valida oggi è la ISO/IEC 27001:2022.
No, e diffida di chi te lo promette: la certificazione si applica all’organizzazione, non al singolo applicativo. Un software però può essere conforme ai controlli richiesti e fornire le evidenze che l’auditor chiede, dal registro degli accessi alla gestione dei ruoli. È questa la differenza che conta in fase di audit.
Chiede chi può fare cosa nel sistema, come sono protette le password, se esiste un registro di chi ha visto o modificato i dati, dove finiscono gli allegati, come vengono gestiti i segreti di configurazione e come si ripristina il sistema dopo un guasto. Sono domande a cui il fornitore deve saper rispondere con evidenze concrete.
Sempre più spesso sì, ma non per obbligo di legge: la chiedono i clienti grandi nei questionari fornitori e le assicurazioni nelle polizze cyber. Per molte PMI la certificazione arriva perché un cliente importante l’ha messa come condizione, non per scelta spontanea.
