Strumento di lavoro
Matrice di conformità: controlli, norme ed evidenze
Una tabella che collega ogni misura di sicurezza all’area NIS2 e all’articolo GDPR che soddisfa, e indica la prova da conservare. È la stessa che usiamo nelle gap analysis.
La matrice di conformità di QSecurity collega 19 controlli di sicurezza alle aree delle misure NIS2 (Governo, Identificazione, Protezione, Rilevamento, Risposta, Ripristino), agli articoli del GDPR e alle evidenze documentali da conservare per le verifiche.
La matrice
19 controlli in una tabella
Le aree NIS2 seguono le funzioni del Framework nazionale per la cybersecurity su cui l’ACN organizza le misure di base. La tabella è un riferimento di lavoro e non sostituisce la verifica puntuale dei requisiti.
| Controllo | Rischio | NIS2 · area | GDPR | Evidenza da conservare |
|---|---|---|---|---|
| Inventario di dispositivi e software | Tutti | Identificazione | Art. 30 e 32 | Elenco aggiornato degli asset |
| Politiche approvate dalla direzione | Tutti | Governo | Art. 24 | Delibera e politiche firmate |
| Formazione di direzione e personale | Phishing | Governo | Art. 29 e 32.4 | Registro presenze ed esiti delle simulazioni |
| Valutazione dei fornitori e DPA | Fornitori | Governo | Art. 28 | DPA firmati e questionari di valutazione |
| Autenticazione a più fattori | Identità | Protezione | Art. 32 | Report degli account con MFA attiva |
| Gestione delle utenze e dei privilegi | Identità | Protezione | Art. 32 | Procedura e registro delle disattivazioni |
| Accesso remoto ZTNA o VPN con MFA | Identità | Protezione | Art. 32 | Policy di accesso e log delle connessioni |
| Protezione comportamentale degli endpoint | Ransomware | Protezione | Art. 32 | Report di copertura di PC e server |
| Aggiornamenti di sistemi e firmware | Ransomware | Protezione | Art. 32 | Report degli aggiornamenti |
| Cifratura dei dispositivi | Perdita di dati | Protezione | Art. 32 e 34 | Elenco dei dispositivi cifrati |
| Filtro avanzato della posta e DMARC | Phishing | Protezione | Art. 32 | Report dei messaggi bloccati, record DMARC |
| Firewall di nuova generazione | Rete | Protezione | Art. 32 | Configurazione e report delle minacce bloccate |
| Segmentazione della rete | Rete | Protezione | Art. 25 e 32 | Schema di rete e regole tra le zone |
| Raccolta e conservazione dei log | Tutti | Rilevamento | Art. 32 | Log centralizzati con periodo di conservazione |
| Monitoraggio 24/7 e risposta | Ransomware | Rilevamento e Risposta | Art. 32 e 33 | Report mensili e registro degli incidenti |
| Procedura di notifica degli incidenti | Tutti | Risposta | Art. 33 e 34 | Procedura approvata e registro delle violazioni |
| Backup non modificabili | Ransomware | Ripristino | Art. 32.1(c) | Report dei backup |
| Prove di ripristino e piano di continuità | Tutti | Ripristino | Art. 32.1(d) | Verbali delle prove e piano approvato |
| Registro dei trattamenti e DPIA | Privacy | — | Art. 30 e 35 | Registro aggiornato e valutazioni d'impatto |
Come usarla
Tre modi per usare la matrice
Per una prima verifica
Segna i controlli che hai già e quelli per cui possiedi l’evidenza. Quelli senza evidenza sono le prime mancanze.
Per preparare una verifica
Raccogli in un fascicolo le evidenze dell’ultima colonna. È ciò che un ispettore chiederà di vedere.
Per rispondere a un cliente
Se un cliente soggetto NIS2 ti invia un questionario, la matrice aiuta a collegare ogni domanda a una misura concreta.
Vuoi confrontare la matrice con la tua situazione reale?