Dal gap report al piano: responsabili, evidenze e tempi

Eseguire una gap analysis è la parte facile. La nostra guida passo passo porta a un tracker con ogni requisito non soddisfatto elencato. Ciò che succede dopo determina se il programma va a buon fine: troppi tracker restano lunghi fogli di calcolo di righe contrassegnate come "non soddisfatto" che nessuno gestisce.

Passo 1: raggruppare le righe in workstream

I requisiti sono numerati secondo la logica del framework, non la vostra. Riraggruppate le righe non soddisfatte in base a ciò che le risolverà:

• Governance e policy (perimetro, ruoli, policy, approvazione della direzione)
• Identità e accessi
• Gestione delle vulnerabilità e delle patch
• Logging e monitoraggio
• Gestione e segnalazione degli incidenti
• Gestione dei fornitori
• Business continuity e backup
• Sviluppo sicuro
• Sicurezza fisica

Un solo workstream spesso chiude dieci o venti righe. Inserire clausole di sicurezza per i fornitori nei contratti, ad esempio, può soddisfare contemporaneamente requisiti di ISO 27001, PCI DSS, GDPR e NIS2.

Passo 2: sequenziare per dipendenze e rischio

1. Prima gli sblocchi: perimetro, governance, policy e valutazione del rischio. Il lavoro tecnico svolto senza di essi dovrà essere rifatto.
2. Poi i gap ad alto rischio: sistemi esposti senza MFA, servizi esposti su internet non aggiornati, backup non testati.
3. Infine il resto, con documentazione e raccolta delle evidenze in parallelo, non alla fine.

Passo 3: stimare in modo realistico

Per ogni workstream: il lavoro, chi lo svolge, quanto tempo richiede e quanto costa (persone, strumenti, supporto esterno). I costi nascosti si trovano di solito nella gestione del controllo successiva (una revisione trimestrale sono quattro riunioni all'anno, per sempre), non nella sua implementazione.

Passo 4: assegnare responsabili che gestiranno il controllo

Il responsabile di un'attività di rimedio dovrebbe essere la persona che opererà il controllo in seguito: il responsabile IT per le patch, gli acquisti per i contratti con i fornitori, le risorse umane per le verifiche del personale. Il referente di compliance coordina, verifica le evidenze e riporta l'avanzamento, ma non può essere responsabile di tutto.

Passo 5: definire "completato" come evidenza

Un'attività è completata quando il controllo opera e produce evidenze: la prima revisione degli accessi firmata, il primo test di ripristino registrato, la policy approvata e comunicata. Inserite il riferimento alla prova nel tracker man mano che procedete; al momento dell'audit, il tracker è il vostro indice delle evidenze.

Un esempio svolto

Supponiamo che un'azienda certificata ISO 27001 debba adeguarsi a NIS2. Il report di gap ISO 27001 → NIS2 associa ogni punto NIS2 a qualcosa in ISO, ma la validazione con la realtà rileva una dozzina di punti solo parzialmente soddisfatti. Raggruppati per soluzione, si riducono a quattro workstream:

• Governance: approvazione da parte della direzione delle misure e formazione della direzione (una sessione del consiglio, un corso di formazione, registrati).
• Segnalazione: una procedura per gli incidenti significativi con scadenze di 24 e 72 ore, modelli e un'esercitazione.
• Fornitori: criteri di selezione, clausole contrattuali e una revisione dei primi venti fornitori.
• Approfondimento tecnico: divulgazione delle vulnerabilità, una policy sulla crittografia e metriche di efficacia.

Quattro responsabili, quattro piani, ciascuno con una data e un elenco di evidenze, invece di una dozzina di righe non correlate. Governance e segnalazione vengono prime perché le autorità di vigilanza le chiederanno per prime; l'approfondimento tecnico segue nel trimestre successivo.

Punti chiave

• Raggruppate i requisiti non soddisfatti in base a ciò che li risolverà, non per numero di requisito.
• Fate prima governance, perimetro e policy; sbloccano tutto il resto.
• Assegnate a ogni workstream un responsabile che gestirà il controllo in seguito.
• Definite il completamento come un controllo che opera e produce evidenze.

Passo 6: riportare l'avanzamento in modo semplice

La direzione vuole tre numeri: requisiti soddisfatti, in corso e non avviati, per workstream, più i rischi in ritardo. Ripetete periodicamente la gap analysis; quando viene calcolata su dati in tempo reale, come nel nostro caso, i dati di copertura cambiano man mano che chiudete i gap e che i framework evolvono.

Per il punto di partenza, eseguite la gap analysis tra il framework che avete e quello di cui avete bisogno, ed esportatela. I confronti mostrano le coppie più comuni in entrambe le direzioni.

Domande

Come si devono dare priorità ai gap di compliance?

In base a rischio e dipendenze: prima i gap che bloccano gli altri (governance, perimetro, policy), poi i gap tecnici ad alto rischio, infine documentazione ed evidenze. La numerazione dei requisiti è una guida scarsa per l'ordine.

Chi dovrebbe essere responsabile delle attività di rimedio della compliance?

Le persone che gestiranno il controllo in seguito, non il team di compliance. La compliance coordina e verifica le evidenze; i responsabili dei controlli realizzano.

Quanto dettagliato dovrebbe essere un piano di progetto di compliance?

Abbastanza dettagliato da indicare per ogni workstream un responsabile, un deliverable, una data e un elenco di evidenze. Il dettaglio a livello di requisito appartiene al tracker; il piano dovrebbe stare in una o due pagine.