Gap analysis, scheletro ISMS, roadmap — cosa è pronto, cosa manca, cosa devi fare tu
Scoping — non sostituisce un auditor accreditatoISO/IEC 27001 non certifica un prodotto software — certifica un sistema di gestione (ISMS, Information Security Management System): un insieme di processi, ruoli, documenti e controlli tecnici che un'organizzazione mantiene continuativamente, non un audit una tantum del codice. Un auditor verifica che il sistema esista, sia seguito nella pratica quotidiana e produca evidenze (log, verbali, registri) — non solo che esista un documento firmato.
Questo ha un'implicazione diretta: non è qualcosa che si "finisce" scrivendo del codice. Le misure tecniche che ho implementato in questa sessione (audit log, RLS, retention, SSO, 2FA) sono i controlli — la parte tecnologica del sistema. Mancano ancora i processi organizzativi attorno (chi decide, chi rivede, chi si accorge se qualcosa va storto) e, soprattutto, il tempo: un ISMS va fatto "girare" per un periodo prima che un auditor possa verificarlo.
Per una micro-impresa (1-10 persone, che è la tua situazione attuale), i costi reali 2026 in Italia sono:
| Voce | Costo indicativo |
|---|---|
| Consulenza per l'implementazione dell'ISMS | €3.000 – €18.000 |
| Audit di certificazione (ente accreditato Accredia) | €2.500 – €12.000 |
| Strumenti tecnici aggiuntivi (SIEM, vulnerability scanner) | €1.000 – €6.000 |
| Totale primo anno | €7.000 – €17.000 circa per una micro-impresa |
| Mantenimento annuale (audit di sorveglianza, anni 2-3) | €2.000 – €8.000/anno |
Fonti: BullTech, ContinDigital, Amtivo — stime di mercato 2026 per PMI/micro-imprese italiane. Tempistica tipica: 6-18 mesi dalla decisione alla certificazione.
Non prima che esista un interesse concreto da parte di una struttura che la richieda esplicitamente come condizione di fornitura — coerentemente con quanto già scritto nella valutazione hosting: ISO 27001 (spesso con le estensioni 27017/27018 per il cloud) è tipicamente un prerequisito per la qualificazione ACN QC2, quindi i due percorsi convergono sullo stesso trigger — una trattativa PA/ospedaliera reale, non un investimento "per ogni evenienza".
Mappatura sui 4 temi dei controlli Annex A di ISO/IEC 27001:2022 (93 controlli totali). Non è un'analisi formale (la farà l'auditor), ma dà a te — e a un futuro consulente — un punto di partenza concreto invece di uno zero assoluto.
| Area | Stato | Note |
|---|---|---|
| Politiche di sicurezza delle informazioni | Parziale | Esistono policy settoriali (privacy, retention) ma non una Politica di Sicurezza delle Informazioni unica — vedi §4 |
| Ruoli e responsabilità | Manca | Nessun ruolo formalizzato (es. "responsabile ISMS"/management representative) — oggi sei l'unico decisore, va bene per un'auto-valutazione ma un auditor vuole vedere ruoli scritti |
| Gestione degli asset | Parziale | Gli asset tecnici sono impliciti nel codice (tabelle, bucket storage) ma non esiste un inventario asset formale |
| Controllo accessi | Solida | RLS per-professionista/per-studio, ruoli segreteria/dietista, 2FA opzionale, SSO — la parte tecnica è già matura |
| Relazioni con i fornitori (sub-responsabili) | Presente | Registro sub-responsabili + DPA già in bozza |
| Gestione degli incidenti di sicurezza | Manca | Il DPA menziona la notifica breach entro 72h, ma non esiste una procedura operativa scritta (chi fa cosa, in che ordine) — vedi §4 |
| Continuità operativa (ICT) | Parziale | Backup/disaster recovery affidati alle garanzie di Supabase; nessun piano di continuità documentato lato NutriPlan-Pro |
| Conformità legale/normativa | Presente | GDPR (registro trattamenti, DPA, privacy policy) già coperto, seppur "bozza da validare" |
| Area | Stato | Note |
|---|---|---|
| Screening/accordi di riservatezza collaboratori | Manca | L'architettura multiutente (studio_collaborators) esiste tecnicamente, ma non un processo/accordo scritto per collaboratori di studio |
| Formazione e consapevolezza sulla sicurezza | Manca | Nessun materiale formativo — per un solo operatore è meno critico, diventa necessario appena si aggiungono collaboratori |
| Processo disciplinare | N/A oggi | Rilevante solo con dipendenti/collaboratori strutturati |
| Area | Stato | Note |
|---|---|---|
| Sicurezza fisica dei data center | Delegata | Responsabilità di Supabase/Vercel (loro certificazioni SOC2/ISO27001 coprono questo strato) — va solo documentato nel registro sub-responsabili, già presente |
| Sicurezza fisica dei dispositivi di lavoro | Non documentata | Nessuna policy scritta su laptop/dispositivi usati per accedere ai dati clinici (cifratura disco, blocco schermo, ecc.) |
| Area | Stato | Note |
|---|---|---|
| Autenticazione (password, MFA, SSO) | Solida | 2FA opzionale + login SSO SAML/OIDC aggiunti in questa sessione |
| Crittografia | Parziale ma reale | Pilota pgcrypto+Vault su cartelle.note; da estendere ad altre colonne sensibili (chat_messages ecc.) — lavoro già pianificato in sessioni precedenti |
| Logging e monitoraggio | Solida | Audit trail centralizzato a livello di trigger DB (SEZIONE 50), copertura di 13 tabelle cliniche, retention 10 anni |
| Gestione delle vulnerabilità tecniche | Manca | Nessun processo di vulnerability scanning/patch management documentato — dipende in gran parte da Supabase/Vercel/npm per gli aggiornamenti, ma non è tracciato |
| Sicurezza di rete | Delegata | TLS, gestione DDoS/rete affidata a Vercel/Supabase |
| Sviluppo sicuro (SDLC) | Parziale | RLS-first by design, ma nessun processo scritto di code review/security testing pre-deploy |
ISO 27001 richiede un set minimo di documenti "obbligatori" (clausole 4-10 della norma). Quelli che posso ragionevolmente preparare in bozza ora, perché derivano da fatti tecnici già noti, sono elencati sotto con lo stato. Quelli che non posso preparare in modo onesto sono quelli che richiedono un giudizio di rischio/business che solo tu (o un consulente insieme a te) puoi dare — inventarli produrrebbe un documento che sembra completo ma è vuoto di sostanza, il contrario di quello che serve a un auditor.
| Documento | Stato |
|---|---|
| Politica di Sicurezza delle Informazioni | Bozza pronta — vedi documento collegato |
| Procedura di gestione degli incidenti | Da fare con te — richiede decisioni su chi viene avvisato, in che ordine, con quali soglie |
| Metodologia e registro dei rischi (Risk Assessment) | Da fare con un consulente — richiede di stimare probabilità/impatto per ogni rischio, un giudizio che non posso attribuirti al posto tuo |
| Dichiarazione di Applicabilità (SoA) | Dipende dal Risk Assessment — la SoA si scrive DOPO il risk assessment, non prima: dice quali dei 93 controlli si applicano e perché, sulla base dei rischi identificati |
| Piano di Trattamento del Rischio | Dipende dal Risk Assessment |
| Inventario degli asset | Bozza tecnica derivabile — dal codice/schema DB posso derivare un elenco tecnico (tabelle, bucket storage, servizi terzi), ma va integrato con la parte non tecnica (dispositivi, account, documenti cartacei se esistono) |
Non partire da qui finché una struttura non lo chiede esplicitamente come condizione. È il trigger, non un prerequisito da anticipare.
Cerca un consulente per l'implementazione ISMS (spesso lo stesso ente di certificazione offre anche consulenza, ma è preferibile separarli per indipendenza) e un ente di certificazione accreditato Accredia. Porta questo documento come punto di partenza: riduce il tempo (e quindi il costo) della fase di scoperta iniziale.
Con il consulente: identificazione asset completa, valutazione rischi, Dichiarazione di Applicabilità, Piano di Trattamento del Rischio. Qui entra anche la decisione di perimetro: la certificazione copre solo NutriPlan-Pro (sito dietisti) o anche Diet-Plan-Pro-app-claude (app pazienti), dato che condividono lo stesso backend Supabase?
Chiudere i gap identificati al §3: procedura incidenti, formazione, vulnerability management, inventario asset, sicurezza dispositivi.
L'ISMS deve "girare" abbastanza a lungo da produrre evidenze reali (verbali di riesame, registro incidenti anche se vuoto, log di audit) prima che l'auditor possa verificarlo. Non è comprimibile.
Stage 1: l'auditor verifica la documentazione. Stage 2: verifica sul campo che i controlli siano davvero applicati. Poi sorveglianza annuale per 2 anni, ricertificazione al terzo.
Per domande relative al presente documento, contatta il Titolare/Responsabile all'indirizzo indicato nell'Informativa Privacy.
Ultimo aggiornamento: Agosto 2026 — NutriPlan-Pro · Scoping v0.1, basato su fonti pubbliche disponibili alla data di stesura