Che cos'è la gestione della conformità
Ogni organizzazione opera all'interno di una rete di requisiti esterni e interni: leggi sulla protezione dei dati, regolamentazione di settore, standard, impegni contrattuali e policy interne. Ogni requisito, preso da solo, può sembrare gestibile. Insieme, però, si sovrappongono, cambiano e a volte entrano in conflitto. La gestione della conformità mette ordine in questo panorama. Risponde in modo continuo a tre domande pratiche: quali obblighi ci riguardano, cosa stiamo facendo per ciascuno e se siamo in grado di dimostrarlo.
La parola chiave è continua. La gestione della conformità non è un progetto che si chiude con la pubblicazione di una policy. Gli obblighi cambiano quando le leggi vengono modificate, i regolatori emettono nuove linee guida o l'azienda entra in nuovi mercati o lancia nuovi prodotti. Un programma maturo funziona quindi come un ciclo: individua gli obblighi, valuta i rischi, implementa i controlli, ne verifica l'effetto e riporta i risultati nella revisione successiva.
Componenti essenziali di un programma di conformità
Un programma di conformità si articola in sei componenti principali:
| Componente | Cosa include |
|---|---|
| Registro degli obblighi | Leggi, regolamenti, standard e contratti applicabili, con responsabili e scadenze |
| Policy e procedure | Requisiti legali tradotti in regole che il personale segue ogni giorno |
| Valutazione del rischio di conformità | Priorità degli obblighi in base a probabilità e gravità dell'inosservanza |
| Controlli | Misure tecniche e organizzative che prevengono, rilevano o correggono le violazioni |
| Formazione e sensibilizzazione | Formazione adeguata al ruolo e un canale chiaro per domande e dubbi |
| Monitoraggio, audit e reportistica | Vigilanza continua, test periodici e report a direzione e regolatori |
Il ciclo della gestione della conformità
Nella pratica, il lavoro segue un ciclo che si ripete. Si parte dal perimetro: censire gli obblighi applicabili e collegarli ai processi, ai sistemi e ai dati interessati. La valutazione del rischio indica poi dove l'inosservanza è più probabile e più dannosa. In risposta, i controlli vengono progettati o adeguati. L'implementazione comprende non solo la messa in funzione dei controlli, ma anche la loro documentazione e la formazione delle persone che li applicano.
Il ciclo si chiude con verifica e miglioramento. Monitoraggio e audit interni verificano se i controlli che esistono sulla carta funzionano anche nella realtà. Le lacune emerse tornano sotto forma di policy aggiornate, nuovi controlli o formazione aggiuntiva. Risultanze, metriche e dati sugli incidenti salgono verso la direzione, e il registro degli obblighi viene riesaminato ogni volta che cambiano l'attività o il contesto normativo.
- 1
Perimetro
Elencate gli obblighi applicabili e collegateli ai processi, ai sistemi e ai dati che coinvolgono.
- 2
Valutazione
Stabilite dove la non conformità è più probabile e più dannosa.
- 3
Implementazione
Progettate o adeguate i controlli, documentateli e formate le persone che li applicano.
- 4
Verifica
Controllate che i controlli funzionino nella pratica e riportate le lacune nella revisione successiva.
Evidenze e traccia di audit
Regolatori e revisori accettano raramente rassicurazioni sulla parola: si aspettano registrazioni. L'evidenza assume tre forme principali, riassunte di seguito.
Una traccia di audit completa e attribuibile collega ogni evento registrato a un utente, un'azione e una marca temporale. È ciò che permette all'organizzazione di ricostruire cosa è successo durante un'indagine interna o un audit esterno.
Anche la conservazione fa parte della stessa disciplina. Le registrazioni devono essere mantenute abbastanza a lungo da soddisfare il requisito applicabile più lungo, protette dalle alterazioni e recuperabili su richiesta. Una cattiva tenuta documentale è di per sé un rilievo frequente nelle ispezioni regolatorie, anche quando i controlli sottostanti erano solidi.
| Tipo di evidenza | Cosa dimostra |
|---|---|
| Documentazione di progettoPolitiche, valutazioni del rischio e descrizioni dei controlli | Come un controllo dovrebbe funzionare |
| Evidenza di funzionamentoRegistrazioni dell'uso effettivo di un controllo | Che un controllo specifico ha funzionato davvero in una data precisa |
| Traccia di auditEventi registrati nei sistemi | Quale utente ha eseguito quale azione, e quando |
Come si presenta la conservazione in Anexet
La conservazione è una configurazione, non un'abitudine. In Anexet Reports Server l'amministratore sceglie dove vengono archiviati i dati raccolti, per quanto tempo restano disponibili e quali raccolte di dati vengono salvate. I report costruiti su questi dati sono descritti nei report di conformità della sicurezza.
La gestione della conformità nel contesto GRC
La gestione della conformità è uno dei tre pilastri del GRC: governance, gestione del rischio e conformità. GRC è il termine generico con cui si descrive come le organizzazioni si dirigono e si controllano. I pilastri si sovrappongono di proposito. Il rischio di conformità è una categoria della gestione del rischio aziendale. La governance fornisce le strutture di responsabilità, il tono dall'alto e i diritti decisionali su cui si basa ogni sforzo di conformità.
Trattare i pilastri insieme evita il lavoro duplicato. Un unico esercizio di classificazione dei dati può, per esempio, servire contemporaneamente a un regolamento sulla privacy, a uno standard di sicurezza e a una policy interna di archiviazione. Molte organizzazioni gestiscono queste attività su piattaforme GRC condivise, che mantengono collegati obblighi, rischi, controlli ed evidenze. Così un solo controllo può dimostrare la conformità a più requisiti, e i report attingono a un'unica fonte di verità.
Errori comuni
I programmi deboli tendono a fallire negli stessi pochi punti, e ogni errore si vede nelle registrazioni.
Una politica senza controllo e senza evidenze mostra un'intenzione, non la conformità.
- Trattare la conformità come un progetto una tantum, così gli obblighi cambiano senza che nessuno se ne accorga
- Pubblicare politiche senza sapere dove si trovano i dati regolamentati, a cui risponde la classificazione dei dati
- Non tenere una registrazione attribuibile di chi ha fatto cosa, e quindi non avere nulla da mostrare al revisore
- Gestire la notifica di una violazione dei dati come un compito improvvisato invece che come una procedura pianificata
Da dove iniziare
Partite dagli obblighi con il più alto rischio di conformità, poi collegateli ai sistemi e ai dati che toccano. Un registro breve con responsabili nominati vale più di un documento lungo che nessuno aggiorna.
Gli obblighi di privacy previsti dalle norme sulla protezione dei dati sono un punto di partenza pratico, perché indicano i dati e le persone coinvolte.
Per approfondire: Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.
La politica mostra ciò che l'azienda intende fare. Le registrazioni mostrano ciò che ha fatto davvero.
Anexet Team