Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Governance e perimetro
La raccolta parte da struttura organizzativa, servizi, sedi, società collegate e responsabilità. Serve una versione controllata dell’elenco, con proprietario e data.
Policy e nomine vanno confrontate con il funzionamento reale: chi autorizza accessi, chi gestisce incidenti, chi decide priorità e chi coordina i fornitori.
- Nota di applicabilità e perimetro
- Organigramma e responsabilità cyber
- Elenco dei servizi essenziali
- Registro dei rischi e criteri di valutazione
- Verbali e piani approvati
Sistemi, dati e fornitori
Inventari tecnici, diagrammi e contratti permettono di capire dipendenze e punti singoli di guasto. L’obiettivo iniziale è l’affidabilità, non la perfezione formale.
Per i fornitori critici servono servizio erogato, accessi, dati trattati, referenti, livelli di servizio, obblighi di sicurezza e modalità di uscita.
- Inventario hardware, software e cloud
- Identità e account privilegiati
- Flussi e classificazione dei dati
- Fornitori e accessi remoti
- Backup e dipendenze di ripristino
Operazioni e prove
Ticket, log, rapporti di scansione, esiti dei backup, test di restore e registri di formazione sono evidenze operative.
Ogni documento dovrebbe indicare proprietario, data, versione e frequenza di revisione. Le lacune diventano azioni della roadmap, non documenti ricostruiti artificialmente.
Domande frequenti
Serve avere tutto prima di iniziare?+
No. La raccolta serve anche a individuare ciò che manca e assegnarne il completamento.
Una policy è sufficiente come evidenza?+
Non sempre. È utile affiancarla con configurazioni, registri, ticket, test o altre prove di applicazione.
Come gestire documenti obsoleti?+
Vanno marcati, confrontati con lo stato reale e inseriti in un piano di aggiornamento con responsabile e scadenza.