Che cos'è la gestione della conformità?

Un programma di gestione della conformità forte si basa su aspettative chiare, modalità di lavoro replicabili, misure di sicurezza quotidiane e quali sono i requisiti per essere conforme alle normative.

I criteri definiscono chiaramente cosa deve fare l'organizzazione e quali sono i requisiti per essere conforme alle normative. Traducono gli obblighi in aspettative chiare che le persone possono seguire.

Le aree dei criteri comuni includono:

• Regole di accesso e gestione dei dati.
• Aspettative relative a record, conservazione ed evidenze per gli audit.
• Percorsi di segnalazione ed escalation quando si verifica un problema.

I processi sono le routine passo dopo passo seguite dai team, per soddisfare i requisiti in modo coerente: cicli di revisione, approvazioni, test e completamento dei problemi.

Esempi di processi di conformità includono:

• Revisioni regolari per verificare che i requisiti siano incorporati nei flussi di lavoro aziendali.
• Monitoraggio continuo dello stato del controllo, non solo dei controlli annuali.
• Flussi di lavoro di azioni correttive quando vengono rilevati gap.

Gli standard e i framework fungono da modelli di riferimento rispetto ai quali valutare la conformità. Possono provenire da normative, standard di settore o requisiti interni.

Un modo pratico per organizzare gli standard consiste nel trattarli come modelli di requisiti che possono essere raggruppati e monitorati. Ad esempio, una valutazione è un raggruppamento di controlli derivanti da una specifica normativa, standard o criterio.

I controlli sono le verifiche e le pratiche concrete che dimostrano il rispetto di un requisito, associandolo alla configurazione del sistema, ai processi organizzativi e alle responsabilità assegnate.

Le categorie di controllo utili includono:

• Controlli gestiti dal fornitore di servizi, di competenza del cloud provider
• Controlli gestiti dall'organizzazione, di competenza dei team
• Controlli condivisi, in cui la responsabilità è suddivisa

La gestione della conformità funziona meglio quando la proprietà è esplicita. Le due figure chiave necessarie per il successo di qualsiasi programma sono la supervisione della leadership e la responsabilità quotidiana della conformità.

Supervisione del consiglio di amministrazione e della leadership

La leadership è responsabile dell'impostazione delle aspettative, dell'adozione di dichiarazioni dei criteri, dell'assegnazione dell'autorità, della risorsa della funzione e della ricezione di report regolari sulle attività di conformità e sui risultati.

Cosa include spesso la supervisione:

• Cancella le aspettative di conformità e l'approvazione dei criteri.
• Un proprietario nominato (responsabile della conformità o comitato) con l'autorità di agire.
• Report regolari su controlli, problemi e azioni correttive.

Responsabile della conformità

Questo ruolo è responsabile dei criteri e delle procedure, della formazione, della verifica della conformità, del rilevamento dei problemi emergenti, della risposta ai reclami, della segnalazione dei risultati e della verifica dell'azione correttiva.

Una semplice suddivisione delle responsabilità che può essere ridimensionati include:

• I proprietari dei controlli mantengono controlli specifici e forniscono evidenze.
• I team di conformità impostano la struttura, eseguono valutazioni, tiene traccia dei gap, supportano gli audit.
• La leadership esamina lo stato di avanzamento, rimuove i blocchi, approva le priorità.

I fogli di calcolo possono funzionare su scala ridotta, ma la maggior parte delle organizzazioni usa gli strumenti per mantenere i requisiti, i controlli, le evidenze e la proprietà in un'unica posizione, in particolare in più cloud e business unit.

Cosa cercare nel software di gestione della conformità

Le funzionalità pratiche che consentono di ridurre la duplicazione e mantenere aggiornato il lavoro includono:

• Valutazioni, ovvero liste di controllo riutilizzabili di requisiti e controlli.
• Mapping dei controlli, con un controllo associato a più standard per ridurre il lavoro ripetuto.
• Monitoraggio che offre visibilità sullo stato del controllo nel tempo.
• Gestione delle evidenze con un'unica posizione in cui archiviare artefatti, note e stato.
• Flusso di lavoro e attività per le valutazioni, le date di scadenza e il rilevamento dello stato di avanzamento.
• Sistema di punteggio, che offre una visione basata sul rischio per orientare al meglio le attività di miglioramento.

Creare un piano

Quando si stabilisce la gestione della conformità nell'organizzazione, cercare le risposte alle domande seguenti:

• Sono stati scritti criteri che soddisfano i nostri obblighi?
• I processi chiave sono documentati?
• I controlli sono mappati agli standard in modo che i team non ripetano lo stesso lavoro?
• È possibile produrre rapidamente evidenze quando si verificano audit o indagini?
• La proprietà e i ruoli di creazione di report sono chiari?

La gestione della conformità della sicurezza si trova dove si sovrappongono le attività di sicurezza e gli obblighi di conformità. In pratica, significa proteggere i dati e i sistemi in modi che soddisfano le regole di cui si è responsabili, quindi mostrare la prova tramite baseline, monitoraggio e record.

La maggior parte delle normative e degli standard include le aspettative di sicurezza. I requisiti comuni spesso riguardano:

• Gestione dei dati: cancella le regole per la modalità di raccolta ed elaborazione dei dati sensibili.
• Archiviazione sicura e accesso: crittografia e accesso controllato per ridurre l'esposizione non autorizzata.
• Creazione di report e controlli: controlli regolari, supporto di audit e notifiche di violazione, se necessario.

Potrebbe essere necessario eseguire la mappatura dei controlli a più framework contemporaneamente.

Tre standard comuni includono:

• Regolamento generale sulla protezione dei dati (GDPR): un quadro legale dell'UE incentrato sulla privacy e sulla protezione dei dati personali. La conformità consiste nel rispettare il GDPR e nel garantire un maggiore controllo sulle informazioni personali.
• Health Insurance Portability and Accountability Act (HIPAA): queste leggi e regole del settore sanitario degli Stati Uniti che impostano i requisiti per l'uso, la divulgazione e la protezione delle informazioni sanitarie protette (PHI), incluse le misure di sicurezza per le PHI elettroniche.
• Payment Card Industry Security Standards (PCI DSS): uno standard globale per la sicurezza delle informazioni per le organizzazioni che archiviano, elaborano o trasmettono dati dei titolari di carte, progettato per ridurre le frodi attraverso un maggiore controllo dei dati delle carte di credito.

1. Iniziare con una baseline di sicurezza. Usare una baseline definita per i sistemi chiave in modo che i team sappiano cosa l'organizzazione considera una configurazione valida. Monitorare le impostazioni che si allontanano dai valori previsti e correggere i gap.

2. Attivare controlli di accesso e crittografia avanzati. Applicare l'accesso controllato e la crittografia per ridurre l'esposizione non autorizzata di dati sensibili

3. Eseguire valutazioni e audit regolari. Eseguire audit e valutazioni periodici per individuare i gap e verificare che i controlli corrispondano ancora ai requisiti.

4. Formare le persone alla gestione dei dati. La conformità alla sicurezza dipende dalle decisioni quotidiane, quindi formazione e indicazioni chiare sono fondamentali.

5. Mantenere la documentazione pronta per le revisioni. Mantenere i record che supportano le verifiche di audit e conformità normativa, in modo da poter rispondere rapidamente quando richiesto.

6. Usare il monitoraggio e il flusso di lavoro per rimanere aggiornati. Utilizzare strumenti e processi che supportino il monitoraggio, il tracciamento e le azioni correttive continue, anziché affidarti esclusivamente a verifiche puntuali.

L'automazione e la conformità continua aiutano i team a mantenere aggiornati i requisiti, i controlli e le evidenze man mano che l'ambiente cambia. Invece di considerare la conformità come un evento periodico, questo approccio la considera come un flusso costante di piccoli controlli e aggiornamenti che sono più facili da gestire e verificare.

Diversi cambiamenti rendono l'automazione più pratica e necessaria di quanto non lo fosse in passato:

• Crescita di più cloud e SaaS (Software as a Service): i dati e i carichi di lavoro si spostano tra più servizi e fornitori, aumentando così il numero di posizioni in cui i controlli devono essere applicati e monitorati.
• Normative in rapida evoluzione: i requisiti si evolvono e ciò che è stato utile l'anno scorso può non essere aggiornato quest'anno, soprattutto per le aspettative in termini di privacy e sicurezza.
• Proprietà distribuita: i proprietari del controllo spesso si trovano in team diversi (sicurezza cloud, IT, progettazione, legale, risorse umane), quindi il coordinamento e la raccolta coerente delle evidenze sono più importanti.

Quando si esaminano l'automazione e la conformità continua, concentrarsi sulle funzionalità che riducono il lavoro manuale senza perdere la responsabilità.

Iniziare con valutazioni standardizzate che usano set di controlli riproducibili. Ciò supporta la coerenza tra i team e semplifica il confronto dei risultati nel tempo.

• Valutazioni standardizzate: usare la stessa struttura di valutazione per ogni ciclo, in modo che lo stato di avanzamento (e le regressioni) siano facili da individuare.
• Set di controlli riproducibili: riutilizzare un set di controlli di base anziché riscrivere i controlli per ogni nuovo requisito.

Il mapping dei controlli comuni riduce la duplicazione tra i framework collegando un controllo a più requisiti.

Ecco come si presenta nella pratica:

1. Una singola procedura di controllo di accesso (ad esempio, "accesso limitato ai dati sensibili") può soddisfare parti di più standard.
2. Le evidenze raccolte per tale controllo possono essere riutilizzate quando si segnalano framework diversi, invece di ricreare la stessa prova in più posizioni.
3. Gli aggiornamenti al controllo (o alla relativa documentazione) passano a ogni framework che dipende da esso.

Il monitoraggio continuo è incentrato sullo stato del controllo e sul comportamento di conformità, ovvero se i controlli sono attivi, se funzionano ancora come previsto e se sono stati modificati elementi che richiedono un completamento.

Ecco i segnali di monitoraggio comuni monitorati dai team:

• Stato del controllo: può includere superato, non superato o non ancora valutato.
• Indicatori di modifica: modifiche alla configurazione, aggiornamenti dei criteri o nuovi sistemi possono generare nuovi controlli da eseguire.
• Modelli di eccezione: le eccezioni ripetute possono indicare controlli che necessitano di essere riprogettati o di una maggiore responsabilizzazione.

In assenza di una pianificazione adeguata, le evidenze tendono a disperdersi tra caselle di posta, unità condivise e thread dei ticket. La gestione centralizzata delle evidenze mantiene gli artefatti in un unico posto e li associa al controllo, al proprietario e al ciclo di revisione corretti.

Il flusso di lavoro e l'attività sono importanti perché trasformano gli elementi che devono essere risolti in operazioni tracciabili:

• Flusso di lavoro: percorso coerente per revisioni, approvazioni e approvazioni.
• Assegnazione dei compiti: compiti chiari, scadenze precise e monitoraggio dei progressi collegato al controllo o alla valutazione.
• Idoneità delle evidenze: un modo rapido per rispondere a “Che prova abbiamo?” e "Sono aggiornate?"

I modelli di punteggio e maturità basati sul rischio aiutano i team a decidere cosa correggere per primi. L'obiettivo non è quello di risolvere ogni piccolo gap contemporaneamente, ma di concentrare gli interventi correttivi sui problemi che presentano la maggiore rilevanza.

In questo modo è possibile definire le priorità per la correzione:

• Classificazione in base all'impatto: inserire in cima alla lista i gap a più alto rischio.
• Rilevamento dei miglioramenti nel tempo: un punteggio o un livello di maturità offre una visione chiara prima del prima e del dopo al termine dei lavori di correzione.
• Facilitazione delle decisioni coerenti: quando i team utilizzano lo stesso sistema di punteggio o modello di maturità, la definizione delle priorità risulta meno soggettiva e più facile da spiegare.

Una volta iniziato il processo di automatizzazione delle valutazioni, monitoraggio e raccolta delle evidenze, il passo successivo è decidere cosa monitorare e come segnalare i progressi, così i responsabili possano individuare le tendenze di rischio, dare priorità agli interventi correttivi e mostrare i risultati nel tempo.

Anche i programmi ben eseguiti possono bloccarsi quando i requisiti si moltiplicano, i sistemi si diffondono tra gli ambienti e la proprietà non risulta chiara. Di solito le correzioni si riducono a limitare il lavoro duplicato, rafforzare le abitudini di raccolta delle evidenze e definire guardrail chiari per i nuovi strumenti.

Il problema: i team di lavoro tracciano lo stesso requisito in più punti, riscrivono controlli simili per normative diverse e perdono tempo a riconciliare checklist sovrapposte.

Come evitarlo: usare il mapping dei controlli comuni tra le normative.

Un approccio pratico consiste nel eseguire il mapping di un controllo a più framework in modo da non ripetere lo stesso lavoro ogni volta che si aggiunge un nuovo standard.

• Creare una libreria di controlli condivisa. Mantenere un set di base di controlli che vengono visualizzati in molti requisiti (controllo di accesso, registrazione, crittografia, conservazione, risposta agli eventi imprevisti).
• Eseguire il mapping una sola volta, poi riutilizzare spesso. Collegare ogni controllo a ogni normativa/standard che lo prevede, quindi fare riferimento a tale mapping durante le revisioni e gli audit.
• Aggiornare il controllo, non tutti gli elenchi di controllo. Quando si modifica il controllo, l'aggiornamento singolo si riflette su tutti i requisiti associati, evitando di dover modificare più copie.

Controllo rapido: se due team mantengono controlli separati "uguali" con formulazione diversa, si determina una inutile duplicazione.

Il problema: l'evidenza viene distribuita tra chat, thread di posta elettronica, commenti dei ticket e unità condivise. Quando arriva una richiesta di audit, le persone si affrettano a trovare i documenti e a ricostruire il contesto.

Come evitarlo: centralizzare gli artefatti e assegnare la proprietà dei controlli.

La centralizzazione delle evidenze offre i migliori risultati quando a ogni controllo è associato a una proprietà designata, che conosca i requisiti di validità delle evidenze e la loro collocazione.

• Un unico punto di raccolta per tutte le evidenze. Archiviare artefatti, note e aggiornamenti dello stato in un'unica posizione associata al controllo. (Molti strumenti supportano l'associazione di evidenze e rilevamento dello stato nelle azioni di miglioramento.)
• Proprietà chiara. Assegnare un proprietario del controllo responsabile di mantenere aggiornati gli elementi e di rispondere alle richieste di evidenze.
• Definire “evidenze valide minime”. Per ogni controllo, documentare gli elementi da visualizzare:
  • Che cos'è il controllo,
  • Chi è il proprietario,
  • Come viene controllato,
  • Quale prova viene raccolta e
  • La frequenza di aggiornamento.
• Usare il flusso di lavoro e l'attività. Tenere traccia delle richieste, delle date di scadenza e dei passaggi di revisione in modo che la raccolta delle evidenze non si basi sulla memoria.

Un'unica semplice abitudini utile: se l'evidenza non è facile da trovare due mesi dopo, non è stata archiviata nel posto giusto.

Il problema: piattaforme cloud diverse hanno valori predefiniti, pattern di registrazione e impostazioni di sicurezza diversi. I controlli si spostano nel tempo, man mano che i servizi si aggiornano e i team apportano modifiche locali.

Come evitarlo: impostare linee di base standardizzate per criteri come codice e comportamento.

Un approccio stabile consiste nello standardizzare i requisiti su due livelli: la policy-as-code per garantire l'uniformità delle regole, e le baseline di postura per definire lo stato di configurazione minimo previsto ovunque.

• Policy-as‑code per la ripetibilità. Definisci i requisiti chiave (ad esempio crittografia, requisiti di identità, registrazione, conservazione) in una forma che possa essere applicata in modo coerente in tutti gli ambienti.
• Baseline dell’assetto per maggiore chiarezza. Mantenere un set di impostazioni di sicurezza di base e tenere traccia di quando i sistemi se ne discostano.
• Monitoraggio continuo dello stato dei controlli. Tenere traccia se i controlli risultano superati o non superati nel tempo, non solo durante le revisioni programmate.
• Il mapping dei controlli comuni è ancora importante. Usare i controlli condivisi laddove possibile, anche quando le piattaforme sottostanti sono diverse.

Controllare la deriva: se una baseline è documentata ma non monitorata, diventa obsoleta rapidamente.

Il problema: le persone adottano nuove app, e nuovi strumenti di IA, più velocemente di quanto i processi di governance riescano a valutarle. Questo aumenta la probabilità che dati sensibili vengano condivisi in contesti non verificati.

Come evitarlo: usare strumenti approvati, etichette, monitoraggio e modelli aggiornati.

Definire regole chiare che riflettano il modo in cui le persone lavorano davvero, soprattutto con la diffusione degli strumenti di IA.

• Definire gli strumenti approvati. Pubblicare un breve elenco di app approvate e strumenti di intelligenza artificiale, oltre a un percorso per la richiesta di nuove app.
• Etichettatura dei dati sensibili. Applicare etichette di riservatezza in modo che gli utenti sappiano cosa richiede ulteriore attenzione e in modo che i controlli possano agire sull'etichetta.
• Monitorare i rischi di comunicazione. Aggiungere il monitoraggio incentrato sui modelli di condivisione rischiosi, ad esempio la copia di contenuto sensibile in strumenti non approvati o l'invio a destinazioni non autorizzate.
• Adottare modelli allineati alle normative in continua evoluzione (inclusa l'intelligenza artificiale). Usare modelli ed elenchi di controllo che riflettano i nuovi requisiti man mano che le regole di intelligenza artificiale cambiano e aggiornarle in base a una cadenza anziché attendere la prossima revisione annuale.

Una suddivisione pratica, ideale per non perdere lo slancio, consiste nel:

• Bloccare gli strumenti ad alto rischio che non hanno alcuna esigenza aziendale.
• Consentire gli strumenti a rischio più basso solo per attività non sensibili e aggiungere regole di protezione per ridurre il rischio di perdita di dati.
• Standardizzare le opzioni di livello aziendale per il lavoro che coinvolge dati sensibili.

È stato delineato il funzionamento di un solido programma di gestione della conformità: definire criteri chiari, assegnare le responsabilità, valutare i rischi, colmare i gap, monitorare i controlli e rendicontare i progressi in modo da consentire ai responsabili di intervenire. Quando si combinano questi elementi, si dedica meno tempo alla ricerca di evidenze e più tempo per migliorare lo svolgimento del lavoro.

Per mantenere il processo facilmente gestibile, sia nella fase di implementazione iniziale sia in quella di rafforzamento di un programma esistente, si raccomanda di:

• Scegliere una valutazione che corrisponda alle esigenze a breve termine (requisiti normativi, standard o interni già rilevabili).
• Usare l'elenco delle azioni di miglioramento come backlog di lavoro, quindi assegnare i proprietari per il lavoro di implementazione e test.
• Esaminare regolarmente il punteggio e la vista “richiede attenzione” (needs attention), per mantenere il focus sul lavoro con a più alto impatto.
• Raccogliere evidenze e aggiornamenti sullo stato nel corso del lavoro così l’attività di creazione di report per l'audit non diventa una corsa all'ultimo minuto.

Microsoft Purview Compliance Manager è progettato per supportare la valutazione e la gestione della conformità in ambienti multi-cloud, accompagnando l'intero percorso: dal censimento dei rischi di protezione dei dati all'implementazione dei controlli, fino all'aggiornamento continuo su normative e certificazioni e alla rendicontazione per i verificatori esterni.

Consente di organizzare i requisiti in valutazioni, trasformare i gap in azioni di miglioramento assegnate, tracciare i progressi tramite un punteggio basato sul rischio e supportare la rendicontazione per i verificatori, tramite un'unica piattaforma centralizzata.