Le quattro misure richieste
L’Allegato II del Real Decreto 311/2022 raggruppa nel quadro organizzativo quattro misure: politica di sicurezza (org.1), normativa di sicurezza (org.2), procedure di sicurezza (org.3) e processo di autorizzazione (org.4).
A differenza di buona parte delle misure dell’ENS, queste quattro non dipendono dal livello: sono richieste allo stesso modo nelle categorie base, media e alta. Per questo sono il primo blocco da chiudere, e quello che un auditor dà per scontato prima di entrare negli aspetti tecnici.
Politica di sicurezza
È il documento da cui dipende tutto il resto, e l’unico il cui contenuto minimo è fissato dal regio decreto stesso: l’articolo 12, «Política de seguridad y requisitos mínimos de seguridad» (politica di sicurezza e requisiti minimi di sicurezza), elenca ciò che non può mancare.
Questi minimi sono gli obiettivi o la missione dell’organizzazione, il quadro normativo in cui si svolgono le sue attività, i ruoli o le funzioni di sicurezza con i doveri e le responsabilità di ciascuno, la struttura e la composizione del comitato o dei comitati che gestiscono e coordinano la sicurezza, le linee guida per strutturare la documentazione di sicurezza del sistema e i rischi derivanti dal trattamento dei dati personali.
Due punti concentrano quasi tutti i rilievi di audit. Il primo, l’approvazione: una politica senza traccia di chi l’ha approvata e quando non dimostra il sostegno della direzione che l’ENS presuppone. Il secondo, i ruoli: il regio decreto dedica un articolo specifico alla differenziazione delle responsabilità, quindi nominare una sola persona per tutto è proprio ciò che si vuole evitare.
Normativa di sicurezza
La normativa porta la politica sulle questioni concrete su cui le persone fanno domande: uso delle apparecchiature e della posta elettronica, accesso remoto, dispositivi mobili e personali, supporti rimovibili, password, lavoro da remoto.
La differenza rispetto a una procedura è quella che separa una regola da un’istruzione: la normativa dice cosa è consentito, cosa no e cosa succede se la si viola; la procedura dice come si fa e chi lo fa. Confonderle produce documenti lunghi che nessuno applica, ed è un motivo frequente di rilievo.
Procedure di sicurezza
Le procedure descrivono le attività di sicurezza passo per passo: chi interviene, in quale ordine, con quale registrazione resta traccia e a chi si fa escalation se qualcosa esce dal previsto.
Il criterio per sapere quali servono è pratico: se un’attività di sicurezza si ripete e il suo risultato deve poter essere dimostrato —creazione e disattivazione degli utenti, gestione degli incidenti, backup e ripristino, dismissione dei supporti—, serve una procedura scritta e non basta l’abitudine del team.
Processo di autorizzazione
L’ultima misura del blocco chiude la porta d’ingresso: nulla entra nel sistema senza un’autorizzazione preventiva e tracciabile. Si applica alle strutture, alle apparecchiature e alle applicazioni che vanno in produzione, ai supporti di informazione, ai mezzi di comunicazione e all’acquisto di servizi da terzi.
Ciò che trasforma questa misura in qualcosa di più di un adempimento è mettere per iscritto chi autorizza cosa e con quali criteri. Se l’autorizzazione è un’e-mail isolata, l’evidenza si perde; se è un flusso con responsabile, criterio e registrazione, l’autorizzazione si può verificare anche anni dopo.
Cosa chiede di solito l’auditor
- Politica di sicurezza approvata dalla direzione, con data e traccia dell’approvazione
- I sei contenuti minimi dell’articolo 12 coperti nella politica
- Comitato di sicurezza costituito, con composizione e funzioni scritte
- Ruoli di sicurezza assegnati a persone diverse, con doveri e responsabilità
- Normativa di sicurezza documentata, diffusa e con evidenza della sua comunicazione
- Procedure di sicurezza scritte per le attività da dimostrare
- Processo di autorizzazione attivo per strutture, apparecchiature, applicazioni, supporti e servizi di terzi
Come coprire questo blocco in Kimobox
- 1Documenta la politica e la normativa di sicurezza come documenti controllati.
- 2Registra il processo di autorizzazione dei componenti come flusso di approvazione in Kimobox.
- 3Comunica la normativa a tutto il personale interessato dal portale del dipendente.
La politica e la normativa di sicurezza restano versionate e con l’evidenza della loro comunicazione al team.
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 maggio 2022
- Guide CCN-STIC dell’ENS Centro Criptológico Nacional · Serie in vigore