Blog
Blog
Analisi basate sui dati di corrispondenza, guide pratiche e opinioni di Paul Gillet. Feed RSS
Analisi
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-27Cyber Essentials vs Essential Eight: confronto tra due baselineIl Cyber Essentials del Regno Unito e l'Essential Eight australiano puntano entrambi a contrastare attacchi comuni, ma coprono ambiti diversi. Cosa si sovrappone, cosa no e perché.
Analisi · 2026-10-27DORA vs NIS2: cosa copre già un programma NIS2DORA e NIS2 condividono gran parte dei controlli di sicurezza, ma DORA aggiunge registro, clausole contrattuali e test basati sulle minacce. Cosa si riporta, articolo per articolo.
Analisi · 2026-10-13Requisiti MFA confrontati tra 11 framework di sicurezzaQuali framework richiedono MFA, per chi e con quale rigore: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 e HIPAA a confronto diretto.
Analisi · 2026-09-29HIPAA Security Rule attraverso la lente del NIST CSF 2.0Un programma NIST CSF 2.0 copre quasi ogni requisito dell'HIPAA Security Rule. Cosa si riporta, i due che non corrispondono e ciò che il CSF aggiunge rispetto all'HIPAA.
Analisi · 2026-09-15Requisiti di cifratura a confronto: cosa specificano i framework e cosa lasciano a teCome ISO 27001, PCI DSS, CMMC, HIPAA, GDPR e NIS2 trattano la cifratura dei dati a riposo e in transito e la gestione delle chiavi, con gli ID dei requisiti.
Analisi · 2026-08-18Requisiti di risposta agli incidenti a confronto tra frameworkPiani di risposta agli incidenti, test e scadenze di notifica a confronto tra ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, CMMC e HIPAA.
Analisi · 2026-08-04Sicurezza fisica nei framework: il tema che le aziende cloud trascuranoRequisiti di sicurezza fisica confrontati tra ISO 27001, PCI DSS, CMMC, HIPAA e SOC 2, e come li soddisfano le aziende cloud-first.
Analisi · 2026-07-02Confronto dei requisiti su logging e conservazione dei logLogging di audit e conservazione dei log a confronto tra ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC e NIST, inclusi i pochi periodi di conservazione fissi.
Analisi · 2026-05-19Quanta parte di PCI DSS v4.0.1 copre davvero ISO 27001?ISO 27001 copre meno di un terzo dei requisiti di PCI DSS v4.0.1. Dove si sovrappongono, perché gran parte di PCI è lavoro nuovo anche per un ISMS e come pianificarlo.
Analisi · 2026-04-07Gli articoli sulla sicurezza del GDPR mappati: il lato sicurezza di una legge sulla privacyIl GDPR è una legge sulla privacy, ma gli articoli 5, 25, 28, 32 a 35 e 37 a 39 impongono obblighi di sicurezza. Come si mappano su ISO 27001 e NIST, e cosa un ISMS non copre.
Analisi · 2026-02-24Requisiti di backup e ripristino confrontati tra i frameworkFrequenza dei backup, protezione e test di ripristino confrontati tra ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight e NIST.
Analisi · 2026-01-06CMMC Level 2 ricondotto a SP 800-53: cosa indica l'Appendice D del NISTOgni pratica CMMC Level 2 risale a NIST SP 800-53 tramite l'Appendice D di SP 800-171. Come funziona la mappa, le modifiche della Rev 5 e l'unica pratica rimasta senza corrispondenza.
Analisi · 2025-11-25Gli argomenti di sicurezza meno richiesti, e perché contanoSicurezza DNS, threat intelligence, sicurezza delle API e delle applicazioni web sono gli argomenti che il minor numero di framework richiede. Perché, e perché questo non è un permesso per ignorarli.
Analisi · 2025-10-14Cosa ISO 27001 copre in NIS2, punto per puntoISO 27001 corrisponde a ogni punto del Regolamento di esecuzione NIS2, ma la sola certificazione non equivale alla conformità NIS2. Cosa si trasferisce, cosa no, e perché.
Analisi · 2025-08-27Crosswalk o giudizio? Quanta parte delle mappature tra framework si basa su evidenze pubblicateAbbiamo classificato ogni mappatura tra framework come crosswalk pubblicato o giudizio editoriale. Come varia la ripartizione per framework e perché conta per te.
Analisi · 2025-07-15Nucleo comune: requisiti di sicurezza condivisi da ogni frameworkCinque argomenti di sicurezza compaiono in tutti gli 11 framework principali, da ISO 27001 e SOC 2 a NIS2 ed Essential Eight. Cosa sono e perché conviene costruirli per primi.
Analisi · 2025-06-03Gap CIS Controls: solo 49 dei 153 safeguard hanno un crosswalkLa mappatura pubblicata da CIS verso NIST CSF 2.0 copre solo 49 dei 153 safeguard di CIS Controls v8.1. Perché, e cosa significa per le mappature CIS su cui fai affidamento.
Analisi · 2025-04-17Rischio di fornitori e supply chain: chi richiede cosaRequisiti di sicurezza per fornitori e supply chain a confronto tra ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA e NIST CSF 2.0.
Analisi · 2025-04-02Criteri SOC 2 senza equivalente in ISO 27001, e perché esistonoLa maggior parte dei criteri SOC 2 corrisponde a ISO 27001, ma Processing Integrity e la maggior parte dei criteri sulla Privacy no. Quali sono, perché e cosa fare se rientrano nello scopo.
Analisi · 2025-03-04NIST CSF 1.1 a 2.0: che fine hanno fatto le sottocategorie ritirateNIST ha ritirato 79 sottocategorie del CSF 1.1 nel CSF 2.0, spostandole o unendole ad altre. La tabella completa indica dove è finita ciascuna e come aggiornare le vecchie mappature.
Analisi · 2025-01-21La funzione Governare di NIST CSF 2.0: quali framework la coprono già?CSF 2.0 ha aggiunto la funzione Governare per strategia di rischio, ruoli, policy, supervisione e rischio della catena di fornitura. Quali framework la coprono già e quali lacune restano.
Analisi · 2024-12-05Quale framework di sicurezza è il punto di partenza migliore? Lo abbiamo misuratoAbbiamo misurato quanta parte di altri dieci framework copre ciascuno degli 11 framework di sicurezza. SP 800-53 e ISO 27001 sono in testa, ma decide chi lo chiede.
Analisi · 2024-10-22Essential Eight vs ISO 27001: perlopiù «correlazione debole»ISO 27001 copre in linea di principio ogni strategia dell'Essential Eight, ma la maggior parte dei controlli di ASD è solo debolmente correlata all'Allegato A. Ecco cosa significa per te.Guida pratica
Guida pratica · 2026-09-01Prepararsi a una valutazione CMMC Level 2 quando si gestisce già SP 800-53Come le organizzazioni che già applicano NIST SP 800-53 possono prepararsi a una valutazione CMMC Level 2: ambito CUI, SSP, riutilizzo delle evidenze e insidie.
Guida pratica · 2026-07-21Come leggere un crosswalk e quando non fidarsi di unoCosa dice e cosa non dice un crosswalk tra framework: tipi di relazione, direzione, versioni, granularità e autore, con verifiche prima di usarlo.
Guida pratica · 2026-06-03Da ISO 27001 a NIS2: un piano pratico per colmare i gapUn piano passo dopo passo per un'organizzazione certificata ISO 27001 che ora rientra nel perimetro NIS2: ambito, registrazione, doveri della direzione, notifica e misure più approfondite.
Guida pratica · 2026-04-21Due diligence sui fornitori: un processo per più frameworkUn processo unico di due diligence sui fornitori per ISO 27001, SOC 2, PCI DSS, GDPR, HIPAA e NIS2: classificazione, report, contratti e monitoraggio.
Guida pratica · 2026-03-10Dal gap report al piano: responsabili, evidenze e tempiCome trasformare una gap analysis su un framework in un piano di progetto: workstream, sequenziamento, stime, responsabili ed evidenze tracciate fino all'audit.
Guida pratica · 2026-01-21Evidenza di change management che gli auditor accettanoQuali evidenze di change management superano gli audit SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS e NIS2, dalle pull request alle modifiche di emergenza.
Guida pratica · 2025-12-09Revisioni degli accessi utente che superano ogni auditCome eseguire revisioni degli accessi utente che superano gli audit ISO 27001, SOC 2, PCI DSS, HIPAA e CMMC: perimetro, frequenza, revisori ed evidenze.
Guida pratica · 2025-10-28Come eseguire una Gap analysis tra due framework e ricavarne un trackerUn metodo pratico per la Gap analysis tra due framework di sicurezza: definire lo scope, verificare ogni corrispondenza e creare un tracker.
Guida pratica · 2025-09-11Una valutazione del rischio per ISO 27001, SOC 2 e HIPAACome condurre un'unica valutazione del rischio per la sicurezza delle informazioni che soddisfi ISO 27001, SOC 2 e lo HIPAA Security Rule, e cosa verifica ciascun audit.
Guida pratica · 2025-07-29Scegliere il livello di maturità target dell'Essential EightCome scegliere il livello di maturità target dell'Essential Eight: cosa difende ogni livello, chi ha bisogno del Livello Due o Tre e come progredire.
Guida pratica · 2025-06-17Redigere una Statement of Applicability che regge all'auditCome scrivere una Statement of Applicability ISO 27001:2022: cosa deve contenere, come giustificare le esclusioni e le più comuni criticità emerse negli audit.
Guida pratica · 2025-05-20Reporting al CdA con i profili NIST CSF 2.0Come usare i Current e Target Profile di NIST CSF 2.0 per riportare la cybersecurity al board: cosa mostrare e come collegarla ai tuoi framework.
Guida pratica · 2025-05-01Definire il perimetro di un primo report SOC 2 senza impegnarsi troppoCome delimitare il perimetro di un primo report SOC 2: sistema, Trust Services Criteria, carve-out, controlli delle entità utenti ed errori costosi.
Guida pratica · 2025-03-18Mappare una serie di policy su più framework, senza riscriverleCome strutturare un unico set di policy di sicurezza che soddisfi ISO 27001, SOC 2, NIST, PCI DSS e NIS2, e cosa richiede per iscritto ciascun framework.
Guida pratica · 2025-02-04Costruire una procedura di segnalazione degli incidenti per le scadenze NIS2 di 24 e 72 oreCome costruire una procedura di segnalazione degli incidenti significativi NIS2: valutare la significatività, il preallarme entro 24 ore, la notifica entro 72 ore e il rapporto finale entro un mese.
Guida pratica · 2024-12-24Evidenze riutilizzabili tra SOC 2, ISO 27001 e PCI DSSQuali evidenze di audit servono contemporaneamente a SOC 2, ISO 27001 e PCI DSS, cosa richiede ciascun auditor che gli altri non richiedono e come raccoglierle una sola volta.
Guida pratica · 2024-11-06Un set di controlli per SOC 2 e ISO 27001 senza lavoro doppioCome gestire SOC 2 e ISO 27001 con un singolo set di controlli: cosa si sovrappone, cosa aggiunge ciascuno, come strutturare controlli ed evidenze e come allineare gli audit.Opinione
Opinione · 2026-06-17Perché etichettiamo ogni mappatura come "crosswalk" o "redazione"ControlMapping contrassegna ogni mappatura tra framework come crosswalk pubblicato o giudizio di redazione, e spiega perché la fonte visibile conta.
Opinione · 2026-05-05Il caso per dati di conformità aperti e gratuitiLe mappature tra framework sono per lo più chiuse in strumenti a pagamento e fogli di calcolo. Perché i dati di mappatura della conformità dovrebbero essere aperti, documentati e riutilizzabili gratuitamente.
Opinione · 2026-03-24Cosa mi hanno insegnato 20 anni di cybersecurity sugli auditLezioni da due decenni di audit di sicurezza: le evidenze battono la narrazione, il perimetro decide tutto e i controlli falliscono quando nessuno ne è responsabile.
Opinione · 2026-02-05Policy di sicurezza con l'IA: scorciatoia utile o rischio di audit?L'IA generativa può redigere policy di sicurezza in pochi minuti. Vediamo dove aiuta, dove genera rilievi di audit e come usarla senza policy vuote.
Opinione · 2025-12-23La compliance non è sicurezza, ma i Crosswalk aiutano in entrambi i casiPerché superare gli audit non rende sicura un'organizzazione, dove compliance e sicurezza si allineano e come la mappatura dei framework libera tempo per la sicurezza.
Opinione · 2025-11-11Smetti di comprare strumenti di compliance prima di aver scritto le policyPerché le organizzazioni che acquistano strumenti di compliance o sicurezza prima di decidere come operare finiscono spesso con shelfware, e l'ordine di lavoro che lo evita.
Opinione · 2025-09-25Il problema dei crosswalk dei fornitori che non si possono verificareLe piattaforme di conformità associano un controllo a molti framework tramite crosswalk che nessuno può ispezionare. Perché è un rischio e cosa pretendere al suo posto.
Opinione · 2025-08-12Responsabilità dei vertici ai sensi della NIS2: cambierà il modo di agire dei consigli di amministrazione?La NIS2 obbliga gli organi di gestione ad approvare, supervisionare e formarsi in materia di cybersecurity, con responsabilità personale. Cambierà il comportamento dei consigli di amministrazione e cosa dovrebbero fare.
Opinione · 2025-07-01ISO 27001 serve a una piccola azienda?Quando ha senso ISO 27001 per una piccola azienda, quando far prima SOC 2 o una baseline tecnica e come mantenere la certificazione proporzionata.
Opinione · 2025-02-18Stanchezza da framework: scegli un hub e mappa tutto il resto su di essoChi risponde a più framework di sicurezza si esaurisce gestendo ciascuno a parte. Perché scegliere un framework hub e mappare il resto funziona meglio.
Opinione · 2025-01-07Dovrebbero le organizzazioni al di fuori dell'Australia usare l'Essential Eight?L'Essential Eight dell'ASD è una baseline australiana con indicazioni universali. Perché le organizzazioni di altri Paesi potrebbero adottarla e come si integra con ISO o NIST.
Opinione · 2024-11-20Perché «Siete certificati SOC 2?» è la domanda sbagliataNon esiste una certificazione SOC 2. Cosa chiede davvero la domanda, cosa mostra e cosa non mostra un report SOC 2, e quali domande migliori porre ai fornitori.