Competenze

La norma dentro il software

Adempimenti e tracciabilità costruiti dentro i processi digitali, non in una cartella di procedure che nessuno apre.

La compliance viene quasi sempre affrontata come un progetto a parte: arriva la scadenza, si compra una consulenza, si produce un raccoglitore di politiche, si passa l'audit. Sei mesi dopo il raccoglitore non descrive più quello che l'azienda fa davvero, e al controllo successivo si ricomincia. È costoso e non protegge nessuno, perché una misura che vive su un documento non è una misura: è una dichiarazione di intenti.

L'alternativa è metterla dentro i sistemi. Se il registro degli accessi si produce da solo, non c'è niente da ricostruire a posteriori. Se la tracciabilità di un movimento è un effetto collaterale del modo in cui il movimento viene registrato, non serve nessuno che la rincorra. La norma smette di essere un adempimento e diventa una proprietà del software.

Di cosa mi occupo

• NIS2. Capire se e come vi riguarda, tradurre i requisiti in misure tecniche e organizzative concrete, e costruirle nei sistemi: gestione degli accessi, log e conservazione, continuità, catena di fornitura, procedura di notifica degli incidenti che qualcuno sappia davvero eseguire alle tre di notte.
• Normative di settore. Documentazione normata, tracciabilità dei movimenti, scadenze e rinnovi: il caso che conosco meglio è la gestione ambientale, dove ogni movimento produce un documento che deve poter saltare fuori anni dopo.
• Tracciabilità e archiviazione. Documenti indicizzati e recuperabili in secondi, per pratica, per soggetto, per data. La differenza fra un controllo che dura un'ora e uno che dura una settimana.
• Governo dei fornitori. Sapere chi tocca i vostri dati, con quali diritti, e cosa succede il giorno in cui uno di loro si ferma.

Cosa non faccio

Non sono un avvocato e non firmo pareri legali: sul perimetro normativo lavoro insieme al vostro consulente o al vostro legale. Quello che porto è l'altra metà, quella che di solito manca: tradurre il requisito in software che funziona, e farlo in modo che regga quando l'azienda cambia.

Da leggere: NIS2 senza panico · Centodieci documenti al giorno, senza che nessuno li tocchi

Come si parte

Con una ricognizione breve e onesta: cosa vi si applica, cosa già fate senza saperlo di averlo fatto, cosa manca davvero. Ne esce una lista corta di interventi ordinati per rischio, non per quanto sono facili da presentare. Poi si costruisce, un pezzo alla volta, dentro i processi che avete già.