Dai requisiti ai processi verificabili
Governance della sicurezza, ISO/IEC 27001 e requisiti normativi
La conformità non si acquista come prodotto. Si costruisce collegando rischi, processi, responsabilità, misure tecniche, verifiche ed evidenze, valorizzando i controlli già presenti.
NIS2, GDPR, ISO/IEC 27001 e DORA nei soggetti a cui si applica impongono valutazioni e obblighi differenti. Non esiste un software che sostituisca la conoscenza del contesto organizzativo. Prima di selezionare strumenti occorre capire cosa prescrive il quadro applicabile, come si lavora oggi, chi decide e come si dimostra l’efficacia dei controlli.
Contesti di intervento
- Devi valutare la relazione tra rischi, processi e controlli rispetto a ISO/IEC 27001:2022 o ai requisiti NIS2 applicabili.
- I processi di protezione dei dati, sicurezza e gestione degli incidenti richiedono responsabilità e procedure più chiare.
- Operi in un contesto soggetto a DORA o ad altri requisiti settoriali e ti serve raccordare le misure ICT con i processi esistenti.
- Hai un sistema di controllo già operativo, ma documentazione, evidenze e responsabilità non risultano allineate.
Attività tecniche
- Definizione del perimetro e ricognizione di organizzazione, sistemi, servizi e fornitori.
- Analisi del rischio e confronto tra requisiti applicabili, processi attuali e controlli esistenti.
- Supporto alla definizione di responsabilità, policy, procedure, gestione degli incidenti e continuità operativa.
- Verifica tecnica dell’attuazione dei controlli, raccolta delle evidenze e definizione delle priorità di miglioramento.
Risultati e documentazione
Secondo l’incarico, il lavoro può produrre una gap analysis, una mappa rischi-controlli-responsabilità, evidenze tecniche e una roadmap di trattamento o miglioramento. I deliverable sono concordati e non equivalgono a una certificazione né garantiscono la conformità normativa.
Modalità operative
La qualifica Lead Auditor ISO/IEC 27001:2022 appartiene al fondatore di Braintec, non è una certificazione dell’azienda. Collaboriamo con responsabili di processo, DPO, consulenti legali, personale IT e auditor, distinguendo consulenza, audit e funzioni che richiedono indipendenza.
Il prossimo passo
Un primo confronto permette di definire contesto, obiettivi, vincoli e perimetro dell’eventuale intervento.
Utilizza l’autovalutazione preliminare NIS2