Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Preparare un pacchetto informativo stabile
NIST SP 800-137 descrive il monitoraggio continuo come capacità di mantenere visibilità su asset, minacce, vulnerabilità ed efficacia dei controlli. Il riesame utilizza queste informazioni in forma sintetica e coerente con la tolleranza al rischio.
Prima dell’incontro il responsabile raccoglie cambiamenti, incidenti, indicatori, test, audit, rischi e azioni. Dati mancanti o non affidabili vanno dichiarati: anche l’assenza di copertura è un’informazione decisionale.
- Cambiamenti a servizi, sistemi, dati e persone
- Incidenti, near miss e lezioni apprese
- KPI, KRI, eccezioni e qualità dei dati
- Vulnerabilità e azioni oltre scadenza
- Test di backup, recovery e risposta
Usare un’agenda orientata al rischio
L’ordine parte dalle variazioni più rilevanti e dai rischi fuori tolleranza, non dal dettaglio cronologico dei ticket. Per ciascun punto si confrontano stato, evidenze, impatto, alternative e decisione richiesta.
Fornitori critici, accessi privilegiati, sistemi fuori supporto e dipendenze di continuità meritano una voce esplicita. Il riesame non sostituisce attività tecniche o audit: ne interpreta gli esiti e assegna priorità e risorse.
- Perimetro e rischio cambiati
- Rischi sopra soglia e nuovi scenari
- Efficacia dei controlli e copertura
- Prestazioni e rischi dei fornitori
- Decisioni su budget, trattamento ed eccezioni
Produrre un verbale che guida il ciclo successivo
Il verbale riporta partecipanti, periodo, materiali esaminati, decisioni, dissensi o assunzioni, responsabili e scadenze. Allegare un cruscotto non basta se non è chiaro che cosa sia stato approvato o rinviato.
La frequenza dipende da rischio e ritmo dei cambiamenti. Una cadenza trimestrale può essere adeguata per molte organizzazioni, con attivazione straordinaria dopo incidenti, acquisizioni, nuove minacce o cambiamenti sostanziali. Il ciclo successivo verifica le azioni, non riparte da zero.
- Decisione e motivazione
- Responsabile dell’azione e del rischio
- Scadenza e criterio di completamento
- Rischio residuo accettato o da ridurre
- Data del riesame successivo ed eventi trigger
Domande frequenti
Ogni quanto svolgere il riesame?+
La frequenza va proporzionata al rischio e ai cambiamenti. Molte organizzazioni adottano una cadenza trimestrale, integrata da riesami straordinari dopo eventi rilevanti.
Chi deve partecipare?+
Responsabili dei servizi e dei rischi, direzione, IT e sicurezza; acquisti, privacy, legale o fornitori vengono coinvolti quando l’agenda lo richiede.
Qual è l’evidenza minima del riesame?+
Un verbale datato con perimetro, informazioni esaminate, decisioni, responsabili, scadenze e approvazioni, collegato ai registri e alle prove pertinenti.