Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Costruire una mappa delle responsabilità
Per ogni servizio esternalizzato occorre distinguere titolarità dell’ente, responsabilità del fornitore e attività condivise. La matrice deve includere esercizio, sicurezza, modifiche, backup, monitoraggio, incidenti, protezione dei dati, continuità e comunicazioni.
Il referente commerciale non sostituisce l’escalation operativa. Servono contatti nominativi o di ruolo, sostituti, copertura oraria e tempi coerenti con la criticità del servizio.
- Proprietario del servizio nell’amministrazione
- Responsabile tecnico e sostituto del fornitore
- Chi autorizza accessi e cambiamenti
- Chi conserva log ed evidenze
- Escalation ordinaria, urgente e direzionale
Rendere verificabili requisiti e accessi
Capitolato, offerta e contratto devono essere tradotti in controlli periodici. L’ente deve poter verificare livelli di servizio, patching, vulnerabilità, backup, ripristino, subfornitori e localizzazione dei dati secondo i requisiti applicabili.
Gli accessi remoti vanno nominativi, autorizzati, protetti con MFA, limitati nel tempo e registrati. Account condivisi permanenti e privilegi non riesaminati rendono difficile attribuire attività e revocare correttamente gli accessi.
- Registro di account, ruoli e scadenze
- MFA e canale amministrativo protetto
- Log disponibili per un periodo concordato
- Notifica e gestione delle vulnerabilità
- Evidenze di backup e test di ripristino
Preparare incidenti, continuità e uscita
La notifica contrattuale deve consentire all’ente di rispettare i propri obblighi: canale, informazioni iniziali, aggiornamenti, conservazione delle evidenze e cooperazione vanno definiti prima dell’incidente. Le prove devono coinvolgere entrambe le organizzazioni.
Il piano di uscita stabilisce formati e tempi per dati, configurazioni, documentazione, log e conoscenza operativa. Include revoca degli accessi, cancellazione verificabile delle copie quando prevista e continuità durante il passaggio al nuovo assetto.
- Canale di emergenza provato
- Tempi di notifica e aggiornamento
- Supporto all’analisi e alle comunicazioni
- Esportazione di dati e configurazioni
- Revoca, cancellazione e verbale di chiusura
Domande frequenti
Il rispetto degli SLA dimostra che il servizio è sicuro?+
No. Gli SLA misurano aspetti concordati della prestazione; sicurezza e continuità richiedono requisiti, controlli ed evidenze specifici.
Il fornitore può usare account condivisi?+
Gli accessi amministrativi dovrebbero essere personali e tracciabili. Eventuali account tecnici condivisi richiedono motivazione, custodia e controlli compensativi.
Quando si prepara il piano di uscita?+
Prima dell’affidamento e durante la progettazione del servizio, non soltanto alla scadenza. Formati, tempi, responsabilità e costi devono essere conoscibili in anticipo.