Dai requisiti ai processi verificabili
Governance della sicurezza, ISO/IEC 27001 e requisiti normativi
La conformità non si acquista come prodotto. Si costruisce collegando rischi, processi, responsabilità, misure tecniche, verifiche ed evidenze, valorizzando i controlli già presenti.
NIS2, GDPR, ISO/IEC 27001 e DORA nei soggetti a cui si applica impongono valutazioni e obblighi differenti. Non esiste un software che sostituisca la conoscenza del contesto organizzativo. Prima di selezionare strumenti occorre capire cosa prescrive il quadro applicabile, come si lavora oggi, chi decide e come si dimostra l’efficacia dei controlli.
Quando coinvolgerci
- Devi valutare la relazione tra rischi, processi e controlli rispetto a ISO/IEC 27001:2022 o ai requisiti NIS2 applicabili.
- I processi di protezione dei dati, sicurezza e gestione degli incidenti richiedono responsabilità e procedure più chiare.
- Operi in un contesto soggetto a DORA o ad altri requisiti settoriali e ti serve raccordare le misure ICT con i processi esistenti.
- Hai un sistema di controllo già operativo, ma documentazione, evidenze e responsabilità non risultano allineate.
Cosa possiamo fare
- Definizione del perimetro e ricognizione di organizzazione, sistemi, servizi e fornitori.
- Analisi del rischio e confronto tra requisiti applicabili, processi attuali e controlli esistenti.
- Supporto alla definizione di responsabilità, policy, procedure, gestione degli incidenti e continuità operativa.
- Verifica tecnica dell’attuazione dei controlli, raccolta delle evidenze e definizione delle priorità di miglioramento.
Cosa ottieni dall’incarico
Secondo l’incarico, il lavoro può produrre una gap analysis, una mappa rischi-controlli-responsabilità, evidenze tecniche e una roadmap di trattamento o miglioramento. I deliverable sono concordati e non equivalgono a una certificazione né garantiscono la conformità normativa.
Come collaboriamo
La qualifica Lead Auditor ISO/IEC 27001:2022 appartiene al fondatore di Braintec, non è una certificazione dell’azienda. Collaboriamo con responsabili di processo, DPO, consulenti legali, personale IT e auditor, distinguendo consulenza, audit e funzioni che richiedono indipendenza.
Il prossimo passo
Partiamo dalla situazione reale, dagli obiettivi e dai vincoli. Il primo confronto serve a capire se e dove un contributo specialistico può essere utile.
Valutiamo processi, rischi e controlli Utilizza l’autovalutazione preliminare NIS2