La recente pubblicazione della UNI CEI EN ISO 19011:2026 “Linee guida per gli audit sui sistemi di gestione” richiede specificamente che vengano verificati anche gli aspetti di contesto, esigenze ed aspettative delle parti interessate che impattano sul cambiamento climatico.
Sulla scia di altri già pubblicati, relativi al medesimo tema applicato a diversi sistemi di gestione, approfondiamo l’aspetto indagando l’impatto sulle organizzazioni che adottano sistemi di gestione della sicurezza delle informazioni secondo la norma ISO/IEC 27001:2022.
Fattori di contesto come l’innalzamento delle temperature, la maggiore frequenza di eventi atmosferici estremi e l’instabilità delle reti energetiche introducono nuovi scenari di rischio che devono essere considerati nell’ambito dell’analisi e dell’implementazione dei controlli di sicurezza. Ciò al fine di soddisfare i parametri RID delle informazioni delle parti interessate.
Indice degli argomenti
ISO/IEC 27001 e cambiamento climatico: misure passive e attive
In questo contesto, è fondamentale distinguere tra due tipologie di misure che un’organizzazione può adottare:
- misure passive – interventi finalizzati a proteggere la sicurezza delle informazioni dai rischi derivanti dal cambiamento climatico, che impattano direttamente sulla disponibilità, integrità e riservatezza dei dati;
- misure attive – interventi orientati alla mitigazione ambientale, che contribuiscono a ridurre l’impatto climatico dell’organizzazione ma che non incidono direttamente sulla sicurezza delle informazioni.
Misure passive — proteggere la disponibilità dei dati
Le misure passive sono quelle azioni che l’organizzazione adotta per far fronte agli effetti del cambiamento climatico che potrebbero compromettere la sicurezza delle informazioni. Queste misure rientrano direttamente nel perimetro della ISO/IEC 27001:2022 e devono essere documentate e valutate nell’ambito del Sistema di Gestione per la Sicurezza delle Informazioni (SGSI) a cominciare dall’analisi del contesto e delle esigenze ed aspettative delle parti interessate. Di norma tali misure incidono sulla proprietà della disponibilità dei dati.
Esempio – Secondo condizionatore in sala server
Con l’innalzamento progressivo delle temperature esterne, un’organizzazione potrebbe non essere più in grado di mantenere, nella sala server, le condizioni termiche ottimali per il corretto funzionamento dei sistemi, utilizzando un unico impianto di condizionamento.
Per mitigare questo rischio, l’organizzazione decide di installare un secondo condizionatore ridondante garantendo la continuità delle condizioni operative anche in caso di guasto del primo impianto o di picchi di calore estremo.
Impatto sulla sicurezza delle informazioni: disponibilità dei dati
Questa misura incide direttamente sul parametro della disponibilità dei dati poiché un server che si surriscalda potrebbe spegnersi, causando interruzioni del servizio e potenziale perdita di accesso alle informazioni critiche.
Misure attive — ridurre l’impatto ambientale
Le misure attive sono quelle iniziative che l’organizzazione adotta per contribuire attivamente alla riduzione delle emissioni di gas serra e al contrasto del cambiamento climatico. Pur essendo importanti ed auspicabili dal punto di vista della sostenibilità aziendale, queste misure non rientrano direttamente nel perimetro della ISO/IEC 27001:2022, ma sono pertinenti al contesto della UNI EN ISO 14001:2026 (Sistema di Gestione Ambientale) la cui nuova versione è di recentissima emissione.
Esempio – Acquisto di servizi cloud con energia verde
L’organizzazione decide di migrare parte della propria infrastruttura ICT, già su cloud, verso un nuovo provider che utilizza esclusivamente energia rinnovabile (solare, eolica, idroelettrica) per alimentare i propri data center. Questa scelta riduce l’impronta di carbonio dell’organizzazione e contribuisce agli obiettivi di sostenibilità ambientale contribuendo alla riduzione delle emissioni di CO₂.
Non incide sulla sicurezza delle informazioni (ISO/IEC 27001:2022) | Pertinente ISO 14001:2026
Questa misura non ha un impatto diretto sui parametri di disponibilità, integrità o riservatezza delle informazioni. La scelta del provider cloud rimane motivata da considerazioni ambientali e non da esigenze di sicurezza delle informazioni. È pertanto più rilevante nell’ambito del Sistema di Gestione Ambientale o delle politiche ESG dell’organizzazione stessa.
Misure ibride — azione congiunta
Le misure ibride presentano entrambe le componenti sia attive che passive. Pertanto agiscono su più fronti e devono essere valorizzate nel contesto di un sistema di gestione integrato.
Esempio – Impianto fotovoltaico con alimentazione del circuito interno
L’organizzazione decide di installare un impianto fotovoltaico sul tetto della propria sede. L’impianto è configurato per alimentare direttamente il circuito elettrico interno, inclusa la sala server, in modo da garantire la continuità dell’alimentazione elettrica anche in caso di interruzione della fornitura da parte del gestore della rete elettrica.
Questo esempio presenta una caratteristica peculiare infatti, pur trattandosi di una misura attiva (contribuisce alla transizione energetica e alla riduzione delle emissioni), produce anche un effetto positivo sulla disponibilità dei dati. In caso di blackout o interruzione della fornitura energetica esterna, i sistemi informativi dell’organizzazione continuano a funzionare grazie all’energia fotovoltaica, garantendo la continuità operativa.
Impatto sulla sicurezza delle informazioni: disponibilità dei dati e sulla componente ambientale pertinente anche ISO 14001:2026/modelli ESG
Pertanto, questa misura può essere rilevante sia per la ISO 14001:2026 (riduzione dell’impatto ambientale) sia per la ISO/IEC 27001:2022 (continuità della disponibilità dei sistemi informativi).
Cambiamento climatico e sicurezza delle informazioni: conclusioni
L’analisi dei tre esempi evidenzia come il cambiamento climatico possa essere un driver rilevante per la gestione della sicurezza delle informazioni. Le organizzazioni che adottano la ISO/IEC 27001:2022 e altre norme della famiglia, devono considerare i rischi climatici nell’ambito della propria analisi del rischio, identificando le misure appropriate per salvaguardare la disponibilità dei sistemi informativi.
È importante notare che non tutte le iniziative di sostenibilità ambientale hanno un impatto diretto sulla sicurezza delle informazioni; alcune misure restano nell’alveo della ISO 14001:2026 o delle politiche ESG, mentre altre — come nel caso dell’impianto fotovoltaico con alimentazione del circuito interno — possono avere valore trasversale, contribuendo sia agli obiettivi di sostenibilità sia alla continuità operativa dei sistemi
Partecipa alla community