Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Raccogliere bisogni e vincoli verificabili
Il NIST CSF 2.0 aiuta a leggere la sicurezza attraverso Govern, Identify, Protect, Detect, Respond e Recover. Il modello evita che il budget si concentri su un solo prodotto e permette di includere governance, inventario, prevenzione, rilevazione, risposta e ripristino.
La raccolta iniziale comprende obiettivi aziendali, fine supporto, incidenti, audit, capacità del team, contratti e dipendenze. Ogni richiesta deve indicare quale servizio protegge o abilita e che cosa accade se viene rinviata.
- Servizi e obiettivi dell’anno
- Asset e contratti in scadenza
- Rischi e rilievi ancora aperti
- Capacità interna e supporto esterno
- Vincoli di fermo, acquisto e formazione
Ordinare il portafoglio degli interventi
Le iniziative si confrontano per riduzione del rischio, impatto operativo, obbligo, costo, dipendenze e tempo. Una vulnerabilità esposta o un backup non ripristinabile possono precedere un progetto migliorativo meno urgente, anche se quest’ultimo è più visibile.
È utile distinguere azioni immediate, mantenimento, trasformazione e innovazione. Il budget comprende licenze e hardware, ma anche progettazione, migrazione, test, formazione, supporto e possibile dismissione.
- Priorità motivata e rischio trattato
- Costo totale, non solo acquisto
- Dipendenze tra progetti
- Finestra e impatto sul servizio
- Criterio di accettazione e rollback
Governare il piano durante l’anno
Ogni iniziativa ha sponsor, responsabile operativo, scadenza e stato. Un riesame trimestrale confronta budget, rischi, incidenti e cambiamenti: la roadmap è uno strumento decisionale, non un calendario immutabile.
La chiusura richiede evidenze: configurazioni, verbali di test, inventari, formazione svolta o risultati di ripristino. Le attività non completate entrano nel nuovo rischio residuo e vengono riprogrammate o formalmente accettate.
- Cruscotto con poche metriche
- Riesame almeno trimestrale
- Decisioni e variazioni verbalizzate
- Evidenze collegate a ogni risultato
- Consuntivo e piano dell’anno successivo
Domande frequenti
Quante iniziative dovrebbe contenere la roadmap?+
Solo quelle governabili con risorse e dipendenze disponibili. È preferibile un portafoglio ridotto con priorità e risultati verificabili rispetto a un elenco esteso senza capacità di esecuzione.
Come si giustifica il budget cybersecurity?+
Collegando ogni investimento a servizi, scenari di rischio, impatti, obblighi e riduzione attesa, includendo anche i costi operativi e di verifica.
La roadmap può cambiare durante l’anno?+
Sì. Incidenti, vulnerabilità, cambiamenti organizzativi o fine supporto possono modificare le priorità. Le variazioni devono però essere motivate e approvate.