Cybersecurity, resilienza e governance digitale

Il sistema di gestione della sicurezza delle informazioni protegge dati e sistemi con un impianto di analisi del rischio e controlli verificabile e certificabile. È la piattaforma su cui si innestano gli altri percorsi dell’area e può essere esteso ai servizi cloud con le ISO/IEC 27017 e 27018. La certificazione può essere richiesta nei bandi ICT e nei processi di qualificazione dei fornitori.

Analizziamo il contesto e definiamo il campo di applicazione, classifichiamo gli asset, valutiamo e trattiamo i rischi, predisponiamo politiche e procedure, conduciamo l’audit interno e assistiamo l’impresa fino alla certificazione e nel successivo mantenimento.

Lo standard per la gestione delle informazioni personali: dà evidenza certificabile di come l’organizzazione governa la protezione dei dati personali e rafforza la fiducia da parte di clienti, partner e autorità. Serve ad aiutare le organizzazioni a gestire i dati personali in modo sicuro e trasparente, facilitando la conformità al GDPR e alle altre normative sulla privacy.

Definiamo il campo di applicazione e i ruoli dell’organizzazione nel trattamento dei dati, progettiamo le politiche e i controlli richiesti dallo standard, li integriamo con i sistemi eventualmente già presenti e assistiamo l’impresa fino alla certificazione e nel successivo mantenimento.

Il sistema di gestione dei servizi IT struttura la pianificazione, l’erogazione e il miglioramento dei servizi informatici: catalogo dei servizi, livelli di servizio, gestione degli incidenti, delle modifiche e dei fornitori. Si rivolge a chi eroga servizi IT, gestiti o in cloud, e alle funzioni IT interne; nei bandi e nelle qualificazioni dei fornitori IT la certificazione può essere richiesta o valorizzata.

Conduciamo l’assessment dei processi di erogazione, progettiamo il sistema e i livelli di servizio, predisponiamo la documentazione e assistiamo l’impresa fino alla certificazione e nel successivo mantenimento, anche in coordinamento con la ISO/IEC 27001.

Il sistema di gestione della continuità operativa struttura la capacità dell’impresa di continuare a operare durante un evento avverso e di ripristinare i processi critici: analisi di impatto, valutazione dei rischi di interruzione, piani di continuità e di ripristino, esercitazioni periodiche.

Conduciamo l’analisi di impatto e la valutazione dei rischi, progettiamo le strategie e i piani, organizziamo test ed esercitazioni e assistiamo l’impresa fino alla certificazione e nel successivo mantenimento.

Lo standard certificabile per la governance dell’intelligenza artificiale: definisce i requisiti per la gestione dei sistemi di IA sviluppati, forniti o utilizzati dall’organizzazione, la valutazione d’impatto, la gestione del rischio e i controlli lungo il ciclo di vita. Dà evidenza strutturata verso clienti e partner di un uso responsabile dell’intelligenza artificiale, fondato su principi etici, trasparenza e supervisione umana.

Censiamo i sistemi di IA, valutiamo impatti e rischi, definiamo politiche e controlli e assistiamo l’impresa fino alla certificazione e nel successivo mantenimento.

La Direttiva NIS2, recepita con il D.Lgs. 138/2024, richiede alle organizzazioni dei settori essenziali e importanti misure organizzative, tecniche e procedurali per la gestione del rischio cyber e della continuità. Riguarda anche i fornitori, chiamati a dare garanzie di sicurezza lungo la catena di approvvigionamento.

Verifichiamo il perimetro e gli obblighi applicabili, supportiamo la governance e gli organi di amministrazione, strutturiamo la gestione degli incidenti e gli obblighi di notifica, la sicurezza della filiera, la continuità e la formazione. In questo percorso l’adozione della ISO/IEC 27001 è fortemente consigliata: offre un framework certificabile con cui dare evidenza della governance della sicurezza e supportare la dimostrazione di conformità, pur non esaurendo gli obblighi specifici della disciplina.

Il Regolamento europeo sull’intelligenza artificiale introduce obblighi differenziati in base al rischio dei sistemi, con scadenze progressive: anche chi utilizza sistemi di IA di terze parti deve valutare gli obblighi connessi al proprio ruolo, assicurare l’alfabetizzazione del personale e adottare regole interne proporzionate.

Mappiamo i sistemi di IA in uso, li classifichiamo e valutiamo gli obblighi applicabili, definiamo la policy aziendale sull’uso dell’IA, presidiamo la supervisione umana e formiamo il personale.

Il Regolamento DORA impone alle entità finanziarie un quadro rigoroso di gestione del rischio informatico: governance dedicata, gestione e segnalazione degli incidenti, test di resilienza operativa e controllo delle terze parti ICT. Gli obblighi si riflettono sui fornitori di servizi ICT del settore, chiamati a rispondere a requisiti contrattuali e verifiche stringenti.

Conduciamo la gap analysis, impostiamo il framework di gestione del rischio ICT, strutturiamo le procedure di gestione e segnalazione degli incidenti, il programma dei test e il registro delle informazioni sui fornitori ICT e supportiamo la governance e la formazione dell’organo di amministrazione.