Introduzione all’ISO 27001 per le PMI: Perché è fondamentale

Cos’è l’ISO 27001 e cosa regolamenta

I vantaggi competitivi per le PMI:ltre la semplice conformità

Mitologie comuni e ostacoli mentali nelle piccole aziende

Preparazione e Analisi dello Stato Attuale (Fase 0)

Prima di lanciarsi nell’implementazione di ISO 27001, ogni PMI deve fermarsi, guardarsi intorno e mappare la realtà attuale. Questa fase preliminare, spesso chiamata Fase 0, è il fondamento su cui si costruisce l’intero Sistema di Gestione della Sicurezza delle Informazioni (SGSI). Saltarla significa rischiare di creare un castello di carte: procedure perfette sulla carta che, però, non rispondono ai veri bisogni dell’azienda.

L’obiettivo della Preparazione e Analisi dello Stato Attuale è duplice: comprendere l’ambiente operativo e identificare i rischi reali. Per una PMI, dove le risorse sono limitate e i processi spesso flessibili, agire con precisione è cruciale. Non si tratta di diventare paranoici, ma di essere realistici su ciò che si possiede e su ciò che si protette.

Il Comitato di Progetto: chi guida il cambiamento

Il primo passo concreto è la costituzione di un Comitato di Progetto o, in alternativa, la nomina di un responsabile designato. Nelle piccole realtà, questo gruppo è solitamente composto dal titolare, dal responsabile IT e da un rappresentante delle funzioni chiave (es. amministrazione, produzione). È fondamentale che chi guida l’iniziativa abbia l’autorità per prendere decisioni e allocare risorse.

Checklist operativa per la costituzione del team:

• Individuare il Project Manager (interno o esterno) responsabile della compliance.
• Definire il ruolo e i compiti di ogni membro del team.
• Stabilire la frequency degli incontri (es. mensili o quindicinali).
• Pianificare un breve corso di sensibilizzazione sulle basi di ISO 27001 per il team.

Mappatura del contesto: cosa abbiamo oggi?

Prima di definire cosa proteggere, bisogna sapere cosa possiede l’azienda. In questa fase, il team deve censire tutti gli asset informativi (hardware, software, dati, personale) e i processi aziendali che li utilizzano. Per una PMI, un errore comune è pensare solo ai computer; bisogna includere anche la documentazione cartacea, i server in cloud e persino le chiavette USB.

Checklist operativa per il censimento asset:

• Asset Fisici: PC, laptop, stampanti, server, router e dispositivi mobili.
• Asset Logici: sistemi operativi, applicativi gestionali (ERP/CRM), pacchetto Office, software di contabilità.
• Asset Informatici “Umani”: dati dei dipendenti, dati clienti, database fornitori, proprietà intellettuale.
• Infrastruttura Cloud: servizi IaaS/PaaS (es. AWS, Azure) o SaaS (es. Google Workspace, Microsoft 365).

Gap Analysis: il confronto tra “Essere” e “Dover essere”

Una volta mappati gli asset, si passa alla Gap Analysis. Questo è il confronto diretto tra i controlli di sicurezza già presenti in azienda e i requisiti richiesti dalla norma ISO 27001 (in particolare dall’Allegato A). Non bisogna reinventare nulla: si tratta di verificare se esistono policy, procedure o misure tecniche che già soddisfano i requisiti.

Ad esempio, se la norma richiede una “Policy di Sicurezza delle Informazioni”, verificare se ne esiste una firmata e comunicata. Se richiede “controlli di ingresso”, valutare se c’è un registro degli accessi o badge.

Checklist operativa per la Gap Analysis (Esempi pratici):

• Policy: Esiste una policy di password? È chiara e conosciuta da tutti?
• Backup: I backup sono automatizzati? Vengono testati periodicamente? Sono criptati?
• Accesso fisico: I locali aziendali sono protetti da chiavi/riduzioni? Chi ha accesso al server?
• Formazione: I dipendenti hanno ricevuto istruzioni su come gestire le email sospette (phishing)?

Il risultato di questa analisi sarà una lista di “lacune” (gap) che dovranno essere colmate durante l’implementazione vera e propria.

Analisi dei Rischi (Opzionale ma consigliata)

Sebbene l’analisi formale dei rischi (Risk Assessment) sia un punto cardine della norma, nella Fase 0 è utile fare una valutazione preliminare dei rischi (qualitativa). L’obiettivo è identificare le minacce più probabili per la vostra PMI.

Per una PMI, le minacce sono spesso interne (errore umano, guasto hardware) o legate a fornitori esterni, piuttosto che ad attacchi sofisticati da hacker. Mappare questi scenari aiuta a priorizzare le azioni.

Checklist operativa per l’analisi preliminare rischi:

• Identificazione Minacce: Guasto disco fisico, furto laptop, perdita dati per ransomware, disastro naturale (allagamento/incendio), errore di cancellazione involontaria.
• Valutazione Impatto: Quanto sarebbe grave perdere i dati dei clienti? Quanto tempo di fermo lavoro tollera l’azienda?
• Valutazione Probabilità: Quali eventi sono più probabili? (Es. un guasto hardware è più probabile di un furto organizzato).

Definizione del Campo di Applicazione (Scope)

L’ultimo passaggio cruciale della Fase 0 è definire lo Scope. Non è necessario certificare l’intera azienda se solo una parte è a rischio. Lo Scope deve essere realistico e gestibile.

Ad esempio, una PMI potrebbe decidere di includere nello Scope solo il reparto amministrazione e i server, escludendo temporaneamente l’area produzione o i dipendenti remoti (se l’azienda non ha ancora strumenti per gestirli). Definire lo Scope in modo chiaro evita di disperdere le risorse su troppi fronti.

Conclusioni e Piano di Azione

La Fase 0 si conclude con un Rapporto di Stato Attuale che riassume: l’organigramma del progetto, l’inventario degli asset, la mappa dei gap e lo Scope definitivo. Basandosi su questi dati, il Comitato di Progetto stilerà un piano d’azione dettagliato per le fasi successive (Documentazione, Implementazione Controllo, Audit Interno).

Per una PMI, questa fase è spesso il 50% del lavoro necessario per una corretta implementazione. Investire tempo qui significa risparmiare risorse e stress in futuro.

Definizione dello scope: Cosa coprire e cosa escludere

La definizione dello scope (ambito di applicazione) è il primo passo concreto per l’implementazione ISO 27001 in PMI: stabilisce confini chiari, evita dispersione di energie e garantisce la certificazione.

Cosa coprire

• Tecnologie: reti interne, server, workstation, cloud e SaaS utilizzati per l’operatività core.
• Dati: informazioni aziendali, dati personali (GDPR), IP, contratti, report finanziari.
• Processi: gestione IT, HR, procurement, vendite, sviluppo (se presente).
• Ubicazioni: sede legale, eventuali sedi operative, smart working e dispositivi mobili gestiti.
• Esterni: fornitori critici (es. hosting, consulenti) e controlli di terze parti che impattano la sicurezza.

Cosa escludere

• Reti e dispositivi non aziendali (BYOD non gestito, reti domestiche dei dipendenti).
• Sistemi offline non connessi all’infrastruttura aziendale.
• Progetti abbandonati o sistemi dismessi (documentare la dismissione).
• Procedimenti legali in corso (solo audit interni senza modifiche allo scope).

Checklist operativa

1. Mappa asset e sistemi informativi (hardware, software, dati).
2. Identifica processi business impattati dalla sicurezza.
3. Definisci confini fisici e logici (uffici, cloud, dispositivi mobili).
4. Stabilisci esclusioni motivate e documentale (es. sistemi legacy dismessi).
5. Valida scope con management (linea guida ISO: “rilevante per l’organizzazione”).
6. Comunica scope a tutto il personale e fornitori coinvolti.

Per evitare rischi “a metà”, definisci subito lo scope con una consulenza esperta: è il primo passo per una certificazione ISO 27001 rapida e conforme.

Contattaci oggi per una valutazione dello scope senza impegno.

Analisi del Contesto dell’Organizzazione (Clause 4 ISO 27001)

Analisi del Contesto dell’Organizzazione (Clause 4 ISO 27001)

Per ogni PMI, la sicurezza informatica inizia dalla consapevolezza del proprio contesto. Secondo la norma ISO 27001, è fondamentale comprendere l’organizzazione, i bisogni delle parti interessate e il quadro normativo in cui si opera. Verifica se la tua azienda:

• Definisce il perimetro: Il sistema di gestione copre azienda, fornitori o solo un reparto?
• Identifica le parti interessate: Clienti, dipendenti, partner e autorità hanno esigenze specifiche in tema di sicurezza?
• Analizza i rischi esterni e interni: Quali sono le minacce più probabili (es. ransomware, fuga dati)?
• Considera i requisiti normativi: Sono applicabili GDPR, NIS2 o altre norme di settore?

Se la tua risposta è “no” a una o più domande, l’implementazione rischia di partire su basi fragili.

Checklist: Prerequisiti per avviare il progetto ISO 27001

Per avviare un progetto di certificazione ISO 27001 in modo strutturato e sostenibile, le PMI devono prima verificare il possesso di alcuni prerequisiti fondamentali. Ecco una checklist operativa per valutare la preparazione dell’organizzazione.

• Leadership e impegno del top management: Nomina esplicita di un management representative (MR) e approvazione formale del progetto, con allocazione di budget e risorse dedicate.
• Definizione dello scopo e del perimetro: Identificazione chiara dei processi, servizi, località e sistemi informativi da includere (o escludere) nello SIS (Sistema di Gestione della Sicurezza).
• Formazione di base: Partecipazione del MR e del team di progetto a un corso di awareness su ISO 27001 per comprendere requisiti, ruoli e responsabilità.
• Valutazione dello stato attuale: Svolgimento di un’analisi gap preliminare (self-assessment) per mappare le pratiche di sicurezza esistenti rispetto agli Annex A di riferimento.
• Disponibilità documentale: Accesso agli attuali policy, procedure e registri esistenti (es. piano di business continuity, procedure di gestione accessi) da cui partire per l’adeguamento.
• Canali di comunicazione: Definizione di un piano di comunicazione interno per informare i dipendenti sull’iniziativa e coinvolgerli nelle fasi di analisi dei rischi.

Se manca anche uno solo di questi elementi, il rischio è di bloccare il progetto dopo poche settimane o di generare documentazione teorica inefficace. Per una valutazione mirata e senza costi nascosti, richiedi subito una consulenza preliminare con un esperto di Culture Digitali Srl.

Rischio e Compliance: Il Cuore del Sistema

Rischio e Compliance: Il Cuore del Sistema

Il concetto di sicurezza informatica non si esaurisce nell’installazione di un antivirus o in un firewall ben configurato. Per le Piccole e Medie Imprese (PMI) che intraprendono il percorso di certificazione ISO 27001, il vero motore del sistema di gestione (SGSI) risiede nel duo dinamico tra valutazione del rischio e conformità normativa (compliance).

In questa sezione esploreremo come trasformare la gestione dei rischi da un semplice adempimento burocratico a uno strumento strategico, capace di proteggere il vostro business e di dimostrare solidità ai vostri partner. Per Culture Digitali Srl, la sicurezza non è un “prodotto finito”, ma un processo continuo di analisi e adattamento.

1. La distinzione fondamentale: Rischio vs. Vulnerabilità

Spesso si fa confusione tra questi due termini. Per orientarsi correttamente, è essenziale chiarirne il significato nel contesto ISO 27001:

• Vulnerabilità: È una debolezza intrinseca di un asset (es. un software non aggiornato, una porta di rete aperta, mancanza di formazione del personale).
• Minaccia: È il fattore esterno o interno che potrebbe sfruttare una vulnerabilità (es. un hacker, un malware, un disastro naturale, un errore umano).
• Rischio: È il prodotto della probabilità che una minaccia si verifichi moltiplicata per l’impatto (danno) che causerebbe alla vostra attività.

La ISO 27001 non richiede di eliminare ogni singola vulnerabilità (sarebbe impossibile e costosissimo), ma di identificare i rischi accettabili e quelli che invece necessitano di interventi immediati.

2. Il processo di Risk Assessment (Valutazione del Rischio)

Per le PMI, il processo deve essere snello ma rigoroso. Ecco i passaggi chiave per implementare una corretta valutazione del rischio ISO 27001:

A. Identificazione degli Asset

Non potete proteggere ciò che non sapete di avere. Create un inventario dei vostri asset informativi più critici. Non dovete elencare ogni singolo mouse, ma concentrarvi sui beni che generano valore o che, se compromessi, causano danni:

• Asset fisici: Server, laptop, smartphone, uffici.
• Asset informatici: Database, software gestionali, sistemi operativi, codice sorgente.
• Asset organizzativi: Contratti con fornitori, dati dei dipendenti, documentazione proprietaria.
• Asset umani: Il Know-how dei vostri collaboratori.

B. Analisi e Valutazione

Una volta identificati gli asset e le relative minacce (cyberattacchi, guasti hardware, furto, incendio), è necessario stimare il livello di rischio. Le PMI possono utilizzare una matrice di rischio semplice basata su tre scale:

1. Probabilità: Bassa, Media, Alta.
2. Impatto (Danno): Bassa (inconveniente), Media (interruzione temporanea), Alta (perdita grave o fallimento).
3. Livello di Rischio: Il calcolo incrocia probabilità e impatto per dare un punteggio al rischio (es. da 1 a 5 o tramite codici colori Rosso/Arancio/Verde).

Consiglio pratico: Utilizzate un foglio di calcolo Excel o software specifici per PMI. L’importante è che il metodo sia ripetibile e documentato.

3. Il trattamento dei rischi: Le 4 strategie di difesa

Dopo aver valutato i rischi, la ISO 27001 richiede di decidere cosa farne. Non tutti i rischi possono o devono essere eliminati. Esistono quattro strategie standard di trattamento:

1. Modifica (Mitigazione): Implementare controlli di sicurezza per ridurre la probabilità o l’impatto. Es. Installare un sistema di backup automatico per mitigare il rischio di perdita di dati.
2. Accettazione: Riconoscere che il rischio è basso o che il costo per mitigarlo supera il danno potenziale. Es. Accettare il rischio di guasto di una stampante non critica senza garanzia estesa.
3. Evitazione: Eliminare la causa del rischio rinunciando all’attività correlata. Es. Smettere di utilizzare un servizio cloud non sicuro e passare a una soluzione locale.
4. Trasferimento (Condivisione): Spostare il rischio su un terzo, solitamente tramite assicurazioni o contratti. Es. Sottoscrivere una polizza cyber o delegare la sicurezza dei dati a un provider certificato.

Queste decisioni devono essere formalizzate nel Statement of Applicability (SoA), il documento che elenca quali controlli dell’Allegato A della norma ISO 27001 si applicano alla vostra azienda e perché.

4. Compliance: Rispettare le regole per evitare sanzioni

Mentre il rischio si concentra sulla sicurezza degli asset, la Compliance si concentra sull’aderenza a leggi, regolamenti e contratti. Per una PMI, la conformità non è un livello superiore della sicurezza, ma un sottoinsieme obbligatorio.

Le PMI devono verificare la propria situazione rispetto a:

• GDPR (Regolamento UE 679/2016): La sicurezza dei dati personali è un requisito legale. L’ISO 27001 supporta il GDPR ma non lo sostituisce. Se tratti dati di clienti o dipendenti, devi garantirne la riservatezza.
• Contratti commerciali: Molti clienti, specialmente nel B2B, richiedono ora certificazioni o dichiarazioni di sicurezza (es. “Il fornitore deve garantire misure adeguate di sicurezza informatica”).
• Settori specifici: Se operi in finanza, sanità o gestisci infrastrutture critiche, ci sono normative aggiuntive (es. NIS2, DORA, PDND) che si sommano alla ISO 27001.

Come integrare Rischio e Compliance nel Daily Business

Il sistema deve vivere nell’azienda, non restare chiuso in un cassetto. Ecco le azioni operative per integrare la compliance:

1. Revisione annuale dei rischi: Il mercato cambia, nascono nuove minacce. È obbligatorio rivedere la valutazione almeno una volta l’anno.
2. Aggiornamento della SoA: Se aggiungi un nuovo software o cambi fornitore, devi aggiornare la lista dei controlli.
3. Checklist di ingresso/fornitori: Prima di firmare un contratto con un nuovo fornitore IT, verifica la sua conformità (es. chiedi la sua certificazione ISO 27001 o un report di audit).

5. Errori comuni nelle PMI (e come evitarli)

Nella mia esperienza con Culture Digitali Srl, abbiamo visto molte PMI inciampare negli stessi errori durante l’implementazione. Ecco cosa non fare:

• Il rischio “Copia-Incolla”: Usare i template di rischio di un’altra azienda. Ogni azienda ha un profilo di rischio unico. Quello che è critico per un’azienda software (codice sorgente) potrebbe non esserlo per un’azienda di logistica (flotta veicoli).
• Ignorare il fattore umano: Spesso si spendono migliaia di euro in firewall, ma non si fa un corso base di sicurezza per i dipendenti. L’errore umano è la prima causa di incidenti di sicurezza.
• Confondere Compliance con Certificazione: Avere il “libretto dei controlli” pronto per l’audit non significa essere al sicuro. La compliance è un’attitudine quotidiana, non un pezzo di carta.
• Sottovalutare i fornitori (Terze Parti): Un’azienda sicura può essere violata tramite un suo fornitore mal protetto. La valutazione dei rischi deve estendersi alla supply chain digitale.

6. Il Ruolo della Direzione: Leadership e Risorse

La ISO 27001 richiede un coinvolgimento attivo della Direzione (Top Management). Non è un compito lasciato solo al “ragazzo dell’IT”. La Direzione deve:

• Definire la politica della sicurezza: Stabilire gli obiettivi di sicurezza allineati agli obiettivi di business.
• Allocare risorse: Tempo, budget e personale dedicato alla sicurezza.
• Nominare il responsabile: Designare un soggetto (interno o esterno) con l’autorità per gestire il SGSI.

Solo con il supporto incondizionato della proprietà, il sistema di gestione del rischio può diventare una cultura aziendale e non una mera formalità.

Checklist Operativa: Rischio & Compliance

Verifica di aver coperto questi punti fondamentali:

1. [ ] Hai stilato l’inventario completo degli asset informativi?
2. [ ] Hai identificato le minacce principali (cyber, fisiche, umane) per ogni asset?
3. [ ] Hai calcolato il livello di rischio (probabilità x impatto)?
4. [ ] Hai definito il tuo piano di trattamento del rischio (accetta/mitiga/trasferisci/evita)?
5. [ ] Il tuo Statement of Applicability (SoA) è aggiornato?
6. [ ] Hai verificato la conformità con il GDPR e le normative di settore?
7. [ ] I tuoi fornitori critici sono stati valutati per rischio sicurezza?
8. [ ] La Direzione ha approvato la politica della sicurezza?

Valutazione dei Rischi (A.5.2 e A.5.3): Metodologia semplificata

La valutazione dei rischi (A.5.2 e A.5.3) è il cuore dell’ISO 27001. Per le PMI, il processo deve essere concreto e sostenibile. Ecco una metodologia semplificata in 4 passi per identificare e analizzare le minacce alle vostre informazioni critiche.

1. Mappatura delle Risorse Informative

Prima di tutto, elencate le informazioni chiave del vostro business. Non dovete inventare nulla di complesso: concentratevi sui dati che, se persi o esposti, causerebbero danno reale. Chiedetevi: quali dati gestite?

• Dati dei clienti (anagrafiche, contratti, pagamenti)
• Proprietà intellettuale (brevetti, progetti, codice sorgente)
• Dati finanziari interni
• Documentazione legale e contrattuale

Classificate queste risorse come Alta, Media o Bassa criticità in base all’impatto che avrebbe la loro compromissione.

2. Identificazione delle Minacce e Vulnerabilità

Per ogni risorsa critica, individuate le minacce comuni. Non cercate la perfezione, ma la realtà operativa.

• Minacce esterne: ransomware, phishing, furti fisici.
• Minacce interne: errori umani, accessi non autorizzati, dipendenti disattenti.
• Vulnerabilità: password debole, software non aggiornato, mancanza di backup testati.

3. Analisi Semplificata del Rischio (Matrice 3×3)

Utilizzate una matrice di rischio semplice (Probabilità x Impatto) su una scala da 1 a 3 per evitare calcoli complessi.

• Probabilità (1-3): Quanto è probabile che accada? (Es. Phishing è molto probabile = 3).
• Impatto (1-3): Quanto danno farebbe? (Es. Perdita dati clienti è impatto alto = 3).
• Rischio Totale: Moltiplica Prob. x Imp. Un punteggio ≥ 4 indica un rischio “accettabile” o “basso”. Un punteggio ≥ 6 indica rischio “elevato” che richiede azione immediata.

4. Pianificazione dei Controlli

Non devi eliminare tutti i rischi: devi renderli gestibili. Per ogni rischio “elevato”, definisci un’azione.

• Mitigazione: Installare antivirus, fare backup automatici, formare il personale.
• Accettazione: Se il costo del controllo supera il danno potenziale, documenta perché accetti quel rischio.

Il risultato finale deve essere un Report dei Rischi (spesso un semplice file Excel o PDF) che elenca le risorse, le minacce, il punteggio e le azioni scelte. Questo documento è fondamentale per l’audit ISO 27001.

Nota bene: A.5.2 richiede di definire i criteri di rischio (cosa accettate o rifiutate), mentre A.5.3 è l’analisi concreta che generate con questi passaggi.

Definizione dei criteri di rischio per le PMI

Statement of Applicability (SoA): Come redigerlo senza impazzire

Checklist: Gestione del rischio passo dopo passo

Il SOC 1 e il SOC 2: Controllo degli Attributi

Il ruolo del SOC 1 (Service Organization Control) nelle PMI

Il SOC 2: Focus su Sicurezza, Disponibilità e Riservatezza

Checklist: Differenze chiave e applicazioni pratiche

Implementazione dei Controlli di Sicurezza (Annesso A)

Organizzazione della sicurezza (A.5 e A.6): Policy e ruoli

Sicurezza delle risorse umane (A.7): Onboarding e licenziamento

Gestione degli attivi e accesso logico (A.8 e A.9)

Crittografia, Fisica e Sicurezza delle Reti (A.10, A.11, A.12)

Acquisizione, sviluppo e manutenzione (A.13 e A.14)

Verifica, Monitoraggio e Audit Interno

Definire i controlli e le metriche di prestazione (KPI)

Audit interno: Come organizzare la verifica interna

Checklist: Preparazione all’audit di certificazione

Certificazione e Manutenzione del Sistema

Scegliere l’Organismo di Certificazione (CB) per PMI

Il ciclo di audit: Stadio 1 e Stadio 2

Manutenzione continua: Audit di surveillance e rinnovo

Conclusione: Strategie di crescita e miglioramento continuo

Domande Frequenti (FAQ)

Quanto costa implementare ISO 27001 in una PMI?

Il costo varia ampiamente in base alle dimensioni e alla complessità. Per una PMI, i costi principali includono la formazione del personale, l’eventuale software di gestione dei rischi, le ore lavoro interne dedicate al progetto e le spese dell’organismo di certificazione. Indicativamente, per una piccola azienda (20-50 dipendenti), si può partire da poche migliaia di euro per l’auto-implementazione fino a 10.000-20.000 euro se si acquistano servizi di consulenza esterna e audit di certificazione.

È obbligatorio per una PMI avere ISO 27001?

No, l’ISO 27001 non è obbligatorio per legge nella maggior parte dei casi. Tuttavia, è spesso richiesto contrattualmente da grandi clienti, fornitori o settori regolamentati (come sanità o finanza). Inoltre, con l’introduzione del GDPR, l’adozione di uno standard come ISO 27001 è considerata una ‘best practice’ per dimostrare il rispetto dei requisiti di sicurezza dei dati.

Quanto tempo serve per ottenere la certificazione?

Generalmente, per una PMI che parte da zero, il processo richiede tra i 6 e i 12 mesi. Questo dipende dalla complessità dei processi aziendali, dalla disponibilità delle risorse interne e dal livello di maturità della sicurezza informatica già presente. Se si utilizza una consulenza specializzata, i tempi possono accorciarsi.

Qual è la differenza tra ISO 27001 e ISO 27002?

L’ISO 27001 è lo standard che definisce i requisiti per il Sistema di Gestione della Sicurezza delle Informazioni (ISMS) e supporta la certificazione. L’ISO 27002 invece è una guida pratiche che fornisce i controlli di sicurezza dettagliati (come scrivere una policy o configurare un firewall). L’ISO 27001 rimanda all’Annex A, che è basato sui principi dell’ISO 27002.

Una PMI può implementare ISO 27001 senza consulenti esterni?

Sì, è possibile farlo internamente se si ha un dipendente (solitamente il titolare o l’amministratore di sistema) con competenze specifiche in sicurezza informatica e gestione di progetti. Tuttavia, è difficile per una PMI senza esperienza affrontare l’audit di certificazione iniziale senza qualche forma di supporto esterno (ad esempio, corsi di formazione avanzati o un’analisi gap esterna).

Contattaci

contattaci per saperne di più