Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Definire stato attuale e stato obiettivo
NIST SP 1301 propone di creare Organizational Profile Current e Target, confrontarli e trasformare le differenze in un action plan. Lo stato attuale deve derivare da persone, processi, tecnologie ed evidenze, non soltanto da dichiarazioni o checklist compilate.
Lo stato obiettivo è proporzionato a missione, rischi, obblighi e risorse. Non tutte le differenze hanno la stessa urgenza: alcune sono rischi immediati, altre dipendenze necessarie e altre ancora opportunità di maturazione.
- Perimetro e servizi inclusi
- Pratica attuale ed evidenza
- Outcome o requisito obiettivo
- Differenza, rischio e beneficio atteso
- Vincoli, dipendenze e risorse
Costruire tre orizzonti realistici
Nei primi 30 giorni si affrontano esposizioni critiche e prerequisiti: accessi non governati, backup non verificati, sistemi esposti o contatti di incidente mancanti. Entro 90 giorni si rendono ripetibili inventario, patching, logging, gestione delle identità e risposta.
L’orizzonte a 180 giorni ospita migrazioni, segmentazione, rinnovi contrattuali, architetture di continuità e formazione strutturata. Le fasce non sostituiscono date precise: servono a comunicare sequenza e capacità, lasciando a ogni azione una propria scadenza.
- 30 giorni: contenere e conoscere
- 90 giorni: standardizzare e misurare
- 180 giorni: trasformare e consolidare
- Quick win solo se riduce davvero il rischio
- Dipendenze rese visibili prima della pianificazione
Governare esecuzione e rischio residuo
L’action plan indicato da NIST include azione, priorità, owner, deadline e risorse. A questi elementi conviene aggiungere criterio di completamento, evidenza, rischio trattato, stato e motivo di eventuali variazioni.
Un riesame mensile operativo e uno direzionale periodico confrontano avanzamento, nuove informazioni e rischio residuo. Se un’azione slitta, la decisione deve chiarire controlli compensativi, nuova scadenza e livello autorizzativo; completato non significa efficace finché la misura non viene verificata.
- Owner con autorità e action owner operativo
- Budget, persone e finestra disponibili
- Criterio di accettazione e prova
- Rischio residuo e controllo compensativo
- Aggiornamento del Current Profile
Domande frequenti
Perché usare 30, 90 e 180 giorni?+
Gli orizzonti aiutano a separare contenimenti urgenti, processi da stabilizzare e trasformazioni strutturali. Ogni intervento deve comunque avere una data e dipendenze specifiche.
La priorità coincide con la gravità tecnica?+
No. Considera rischio, esposizione, impatto sul servizio, obblighi, dipendenze, fattibilità e capacità di introdurre controlli compensativi.
Quando una gap può dirsi chiusa?+
Quando il risultato è implementato e verificato rispetto al criterio stabilito, l’evidenza è conservata e il rischio residuo è aggiornato e approvato.