ISO 27017 passa alla versione 2026: l'assistente legge entrambe le lingue delle citazioni

Il 27 luglio 2026, l'ISO ha pubblicato ISO/IEC 27017:2026, la seconda edizione dello standard di controllo della sicurezza cloud, e ha ritirato la prima: la versione 2015 è passata allo stato di ritirata nello stesso giorno.

Se gestisci un ISMS con servizi cloud in ambito, ISO/IEC 27017 è lo standard alla base delle righe cloud della tua Dichiarazione di Applicabilità: responsabilità condivisa tra cliente e fornitore, segregazione negli ambienti virtuali, monitoraggio dei servizi cloud. Si tratta di un codice di condotta, non di una certificazione che si ottiene autonomamente. La conformità viene generalmente attestata tramite la SoA di una certificazione ISO 27001. E i documenti che la portano avanti durano per anni. La SoA che hai firmato nel 2024 cita la numerazione dell'Allegato A del 2015. L'audit che inizierà il prossimo trimestre potrebbe lavorare sul testo del 2026. Entrambe sono legittime e possono essere presenti contemporaneamente.

Quindi, la domanda pratica dopo un cambio di edizione non è "cosa c'è di nuovo nello standard". È se i tuoi strumenti riescono a leggere le citazioni di entrambe le edizioni. Questo è ciò che abbiamo migliorato.

Cosa è cambiato nello standard

La versione 2026 realinea il corpo con ISO/IEC 27002:2022 (pubblicato a febbraio 2022), i cui 93 controlli sono organizzati in quattro temi. Dove un controllo non richiede un'aggiunta specifica per il cloud, il testo del 2026 rimanda semplicemente al 27002:2022. I controlli specifici per il cloud sono passati da un Allegato A normativo nella versione 2015, con sette controlli con numerazione CLD.* , a quattro controlli contrassegnati CLD nel corpo:

• 5.38, ruoli e responsabilità condivisi
• 5.39, ruoli dei partner dei servizi cloud (nuovo)
• 8.35, segregazione negli ambienti di calcolo virtuali
• 8.36, rilevamento e prevenzione dell'uso non autorizzato del cloud (nuovo)

Due dei quattro sono nuovi. Gli altri due mantengono l'intento cloud del 2015 con una numerazione estesa. Due allegati informativi chiudono la versione: uno mappa i controlli del 2026 ai corrispondenti del 2015, e uno copre il monitoraggio dei servizi cloud. Lo standard stesso tratta la transizione come un problema di corrispondenza.

Cosa abbiamo rilasciato

Il 29 luglio 2026 abbiamo aggiornato il modulo di conoscenza dell'assistente su ISO 27017 dalla versione 2015 a quella del 2026. È stato incluso nel nostro changelog di luglio. Prima di questo aggiornamento, il modulo seguiva ancora la versione 2015, con una nota di verifica in attesa della pubblicazione della revisione.

Dopo l'aggiornamento:

• Le risposte relative ai controlli cloud seguono la struttura del 2026, inclusi i quattro controlli contrassegnati CLD sopra.
• L'assistente riconosce entrambe le forme di citazione del 2026, la forma con punto (CLD.5.38) e la forma della pagina dei contenuti (5.38 CLD).
• I pattern legacy del 2015 sono mantenuti. Una citazione con la vecchia numerazione dell'Allegato A viene ancora risolta, e l'assistente può indicare a quale edizione si riferisce una citazione.
• Due moduli fratelli, ISO 27002 e ISO 27018, non affermano più che il 27017 non è stato revisionato.

Questa terza linea è la parte deliberata. Sostituire il testo è stata la parte facile. Per la corrispondenza dettagliata tra vecchio e nuovo, rimane fonte l'Allegato A dello standard; l'assistente ti indirizza lì invece di fare supposizioni su una mappatura che non possiede.

Perché abbiamo mantenuto le vecchie citazioni

Una base di conoscenza può inseguire solo l'edizione corrente. È più semplice da mantenere, ma sbaglia sul campo. I documenti degli standard hanno una lunga vita. I certificati seguono cicli pluriennali. Le Dichiarazioni di Applicabilità vengono modificate piuttosto che riscritte. Ogni contratto o questionario che citava un numero CLD del 2015 rimane esattamente come scritto. Chiunque abbia spostato un ISMS dalla versione ISO 27001:2013 a quella del 2022 ha già vissuto questa situazione: per alcuni anni, il proprio archivio parla un sistema di numerazione mentre il nuovo lavoro ne parla un altro.

Le transizioni tra edizioni sono problemi di citazione tanto quanto problemi di contenuto. Un assistente di conformità che parla solo l'edizione corrente rende i tuoi documenti illeggibili per sé stesso. Uno che forza la migrazione di ogni risposta alla nuova numerazione può contraddire il documento che hai tra le mani. Quindi il modulo contiene entrambe: le nuove domande ricevono risposte del 2026, e una citazione scritta contro l'edizione ritirata viene ancora riconosciuta e identificata come tale, senza essere trattata come un errore di battitura.

Cosa non è

• Non è un cambiamento di certificazione. ISO/IEC 27017 rimane una guida per i controlli di sicurezza delle informazioni nei servizi cloud, non una certificazione che si ottiene autonomamente. Tipicamente alimenta la Dichiarazione di Applicabilità di una certificazione ISO 27001. La versione 2026 non cambia questa struttura.
• Nessuna scadenza di transizione qui. Gli organismi di certificazione stabiliranno le proprie aspettative per lo spostamento delle SoA e degli ambiti alla nuova numerazione. Non ne citiamo alcuna, e non dovresti prenderne una da questo post.
• Identificatori, non il testo dello standard. Il modulo di riferimento contiene gli identificatori dei controlli e i titoli concisi, non la guida protetta da copyright dell'ISO.

A chi è rivolto

• Consulenti e team ISMS interni con servizi cloud in ambito, le cui SoA e prove di audit ora si estendono su due edizioni.
• Fornitori di servizi cloud in possesso di una certificazione ISO 27001 con ambito cloud, dove le citazioni del 27017 appaiono in contratti, questionari dei clienti e audit.
• Auditor e revisori, che vedranno entrambe le sistemi di numerazione nei prossimi anni e avranno bisogno di risposte che non contraddicano il documento aperto.

Se non hai servizi cloud in ambito e non ci sono citazioni del 27017 da nessuna parte, nulla cambia per te. Anche questo va bene.

Provalo

Chiedi all'assistente di un controllo cloud. Citale nel modo del 2026 (CLD.8.36) o nel modo del 2015 (un numero CLD.* dell'Allegato A), e chiedi a quale edizione si riferisce la citazione. L'assistente dovrebbe riconoscere l'edizione del documento che hai tra le mani, e l'Allegato A dello standard contiene la corrispondenza completa quando hai bisogno della mappatura.

Gli standard si muovono più lentamente del software, ma si muovono. Quando lo fanno, gli strumenti intorno a loro devono colmare il divario, non sovrascriverlo.