ISO/IEC 27001: differenze tra le versioni

La Normanorma è stata redatta e pubblicata nell'ottobre [[2005]] (la versione italiana UNI è del 2006) a fini [[certificato|certificativi]], in modo da costituire un sistema completo per garantire la gestione della sicurezza nella tecnologia dell'informazione.

Con la sua pubblicazione ha sostituito la norma inglese BS 7799:2 (che conteneva la linea guida e lo standard vero e proprio), che fino ad allora rappresentava la principale norma di riferimento per l'applicazione di un Sistemasistema di Gestionegestione per la Sicurezzasicurezza delle Informazioniinformazioni (SGSI). Il nuovo standard ha assorbito entrambe le parti: la linea guida è stata recepita dall'ISO come ISO 17799 (Information Technology - Security Techniques - Code of practice for information security management), mentre la seconda parte, lo standard vero e proprio, è stato emesso nell'ottobre 2005 come ISO 27001.

La versione più recente della norma è la UNI CEI EN ISO/IEC 27001:2017 (pubblicata il 30 marzo 2017), che non è altro che la versione 2013 con due Corrigendumcorrigendum (emessi dall’ISOdall'ISO nel 2014 e 2015):

La conformità alla ISO 27001, pur certificata da un organismo di certificazione, magari accreditato, non solleva l'organizzazione dal rispetto delle misure minime di sicurezza e dalla produzione della documentazione richiesta dalla legge sulla [[Privacyprivacy]]; il controllo A.18.1.4 richiede infatti che "La protezione dei dati e della privacy deve essere garantita come richiesto nella legislazione, nelle norme e, se applicabile, nelle clausole contrattuali".

La differenza sostanziale tra legge sulla [[Privacyprivacy]] e la norma ISO 27001 è che la legge sulla privacy tutela [[dati personali]], sensibili e non, mentre la ISO 27001 pur richiedendo che ciò sia fatto, s'interessa anche dei dati di ''business'' dell'organizzazione che devono essere salvaguardati per l'interesse stesso dell'organizzazione.