Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.

Governance e perimetro

La raccolta parte da struttura organizzativa, servizi, sedi, società collegate e responsabilità. Serve una versione controllata dell’elenco, con proprietario e data.

Policy e nomine vanno confrontate con il funzionamento reale: chi autorizza accessi, chi gestisce incidenti, chi decide priorità e chi coordina i fornitori.

  • Nota di applicabilità e perimetro
  • Organigramma e responsabilità cyber
  • Elenco dei servizi essenziali
  • Registro dei rischi e criteri di valutazione
  • Verbali e piani approvati

Sistemi, dati e fornitori

Inventari tecnici, diagrammi e contratti permettono di capire dipendenze e punti singoli di guasto. L’obiettivo iniziale è l’affidabilità, non la perfezione formale.

Per i fornitori critici servono servizio erogato, accessi, dati trattati, referenti, livelli di servizio, obblighi di sicurezza e modalità di uscita.

  • Inventario hardware, software e cloud
  • Identità e account privilegiati
  • Flussi e classificazione dei dati
  • Fornitori e accessi remoti
  • Backup e dipendenze di ripristino

Operazioni e prove

Ticket, log, rapporti di scansione, esiti dei backup, test di restore e registri di formazione sono evidenze operative.

Ogni documento dovrebbe indicare proprietario, data, versione e frequenza di revisione. Le lacune diventano azioni della roadmap, non documenti ricostruiti artificialmente.

Domande frequenti

Serve avere tutto prima di iniziare?+

No. La raccolta serve anche a individuare ciò che manca e assegnarne il completamento.

Una policy è sufficiente come evidenza?+

Non sempre. È utile affiancarla con configurazioni, registri, ticket, test o altre prove di applicazione.

Come gestire documenti obsoleti?+

Vanno marcati, confrontati con lo stato reale e inseriti in un piano di aggiornamento con responsabile e scadenza.

Fonti istituzionali