Compliance e continuità

Dal requisito al controllo tecnico

Ogni misura richiesta da una norma va tradotta in qualcosa che esiste nel sistema: chi ha accesso a cosa, cosa viene registrato, dove sono i backup e come si dimostra che funzionano. La mappatura fra la clausola e il pezzo di infrastruttura che la soddisfa va scritta e mantenuta, altrimenti al secondo audit non se la ricorda più nessuno.

Nella pratica una parte importante dei controlli è infrastrutturale: se il livello sotto è già coperto, l’azienda si concentra sui controlli organizzativi — politiche, formazione, processi — che restano suoi.

Le prove si raccolgono da sole

Registro eventi in sola aggiunta, storico degli incidenti con cosa è stato fatto e quando, punteggio di sicurezza e report periodico generato dal sistema. Se per produrre una prova serve una persona che esporta a mano, quella prova arriverà tardi e discutibile.

Quanto ci mettiamo a tornare in piedi

Obiettivi di ripristino dichiarati per servizio (quanto tempo, quanti dati) e prove periodiche che li misurano davvero. Un numero scritto in un piano e mai verificato è un desiderio; un numero uscito da un’esercitazione è un impegno.

Le decisioni importanti lasciano un documento breve: contesto, alternative, scelta, conseguenze. È quello che permette di cambiare idea in modo informato tre anni dopo.