ISO 27001
Il sistema di gestione della sicurezza delle informazioni: policy, dichiarazione di applicabilità, controlli, indicatori e miglioramento continuo, dalla regola alla prova.
Vedi nel cockpit →Framework · professionisti
Framework supportati in Galyct Pro
ISO 27001, NIS 2, DORA, il GDPR e la sua notifica in 72 h, EBIOS RM, BIA / PCA / PRA: coperti, spiegati, e soprattutto collegati a una decisione. Perché una decisione cyber deve poter essere spiegata a posteriori, davanti a un cliente, a un assicuratore, a un’autorità o al vostro stesso comitato.
Capire il rischio. Riprendere il controllo. Durare nel tempo.
Ospitato in Francia presso Scaleway · IA di Mistral (UE) · per preparare e documentare GDPR, NIS 2 e DORA.
01 · I FRAMEWORK
Sei basi, la stessa esigenza: decidere, dimostrare, durare
Non li copriamo per spuntare caselle. Li traduciamo in responsabilità, prove e decisioni, l’unica forma di conformità che resiste a un audit, a un incidente o a una domanda dell’autorità di vigilanza.
NIS 2
La direttiva europea che amplia notevolmente il perimetro: soggetti essenziali o importanti, obblighi di igiene informatica e responsabilità rafforzata del dirigente.
Chi è interessato →DORA
La resilienza operativa digitale del settore finanziario: cinque pilastri, gestione del rischio TIC e controllo dei fornitori, applicabile dal 17 gennaio 2025.
I cinque pilastri →GDPR · 72 h CNIL
Registro dei trattamenti, valutazioni d’impatto, notifica di violazione entro 72 ore: il dato personale trattato come prova, senza conformità di facciata.
L’obbligo delle 72 h →EBIOS Risk Manager
Il metodo di analisi del rischio dell’ANSSI, in cinque workshop: dalla base di sicurezza agli scenari, fino al trattamento e al rischio residuo deciso dalla direzione.
I 5 workshop →BIA, PCA e PRA
La continuità operativa: si distinguono chiaramente l’analisi d’impatto, il mantenimento in modalità degradata e il ripristino tecnico, RTO e RPO compresi.
La cronologia →
02 · DOTTRINA
Conformarsi non significa accumulare documenti. Significa prendere decisioni proporzionate, documentate e difendibili.
Un framework ha valore solo una volta tradotto in responsabilità, prove e decisioni realmente monitorate. Galyct Pro collega ogni requisito (ISO, NIS 2, DORA, GDPR) a una decisione tracciabile, non a un raccoglitore che rassicura. La documentazione rispecchia pratiche reali; mai il contrario.
03 · EBIOS RISK MANAGER
Il metodo dell’ANSSI in 5 workshop, fino alla decisione
Un’analisi dei rischi seria non produce una matrice astratta. Collega gli scenari credibili agli impatti sul business, alle misure esistenti e alle decisioni della direzione: ridurre, accettare, trasferire o trattare con priorità.
01Base di sicurezzaPerimetro, valori di business, beni di supporto, eventi temuti e base di misure già in atto.
02Fonti di rischioCoppie fonte di rischio / obiettivo perseguito: chi potrebbe prendervi di mira, con quali motivazioni e quali risorse.
03Scenari strategiciPercorsi di attacco di alto livello attraverso l’ecosistema e gli stakeholder, fornitori compresi.
04Scenari operativiModalità operative tecniche, vulnerabilità sfruttate e verosimiglianza dei percorsi considerati.
05Trattamento del rischioMisure con priorità, responsabili, budget, tempi, poi valutazione del rischio residuo e monitoraggio.
→DecisioneIl risultato non è una tabella: è una traiettoria su cui decidere, difendibile davanti al comitato.
04 · CONTINUITÀ OPERATIVA
BIA → PCA → PRA: la cronologia di un’interruzione
La BIA individua ciò che è vitale. Il PCA organizza la continuità in modalità degradata. Il PRA prepara il ripristino tecnico. Collocati sulla linea del tempo di un incidente, questi piani non si confondono più.
01Prima · BIAAttività critiche, impatti dell’interruzione, dipendenze e obiettivi RTO / RPO. La base.
02T0 · InterruzioneL’incidente si verifica: il funzionamento nominale si ferma, la crisi inizia.
03Durante · PCAMantenere le funzioni essenziali in modalità degradata, l’intera organizzazione, non solo il sistema informativo.
04Ripristino · PRARipristinare sistemi e dati nel rispetto degli RTO / RPO. La parte tecnica.
05Dopo · Test & ritorno d’esperienzaUn piano mai testato è un’ipotesi, non una garanzia. Scostamenti, azioni, aggiornamento.
06Risultato · Continuità mantenutaRitorno alla normalità controllato, prove conservate, decisioni documentate.
05 · SMETTERE DI CONFONDERE
Quattro distinzioni che cambiano la decisione
Usare questi termini indifferentemente significa già perdere precisione. Chiarirli significa sapere da dove cominciare, e cosa ci si aspetta davvero da ogni dispositivo e da ogni ruolo.
BIA, PCA e PRA
BIA: individua ciò che è vitale e le tolleranze all’interruzione. La base, senza la quale un piano è costruito alla cieca.
PCA: organizza il mantenimento delle attività essenziali in modalità degradata. Va oltre l’informatica: riguarda l’intera organizzazione.
PRA: ripristina i sistemi e i dati dopo un disastro. La parte strettamente tecnica.
RTO · RPO
RTO: durata massima accettabile dell’interruzione: entro quanto tempo un servizio deve essere ripristinato.
RPO: perdita massima di dati tollerabile: fino a che punto è accettabile risalire nel tempo.
Due obiettivi misurabili, fissati nella BIA, che dimensionano poi i backup, la ridondanza e il PRA.
Audit · Analisi dei rischi
Audit: osserva lo stato di controllo e gli scostamenti: a che punto siete, in un dato momento.
Analisi dei rischi: collega questi scostamenti a scenari credibili, impatti sul business, decisioni e rischi residui. L’uno constata, l’altra impegna una decisione.
CISO · DPO
CISO: governa la sicurezza del sistema informativo: proteggere l’attività, gli accessi, la disponibilità.
DPO: vigila sulla conformità dei trattamenti di dati personali (GDPR); funzione indipendente. Due responsabilità che si coordinano, senza confondersi.
06 · NIS 2
Un perimetro ampliato, una responsabilità che risale al dirigente
NIS 2 estende il quadro europeo di cybersicurezza a diverse migliaia di organizzazioni in Francia, in circa diciotto settori. La legge di recepimento si precisa: aspettare «la data» è un cattivo calcolo, l’adeguamento richiede mesi.
Soggetti essenziali
I settori più critici: energia, sanità, trasporti, acqua, digitale, pubblica amministrazione… Vigilanza rafforzata e obblighi completi, con possibile controllo ex ante.
Soggetti importanti
Un perimetro ampliato: agroalimentare, fabbricazione, gestione dei rifiuti… Obblighi proporzionati e un controllo esercitato piuttosto ex post.
Gli obblighi, in sintesi
Gestione dei rischi & igiene informaticaAnalisi del rischio, backup, MFA, gestione degli accessi, registrazione dei log.
Catena di approvvigionamentoSicurezza dei fornitori e dei prestatori critici da cui dipendete.
Incidenti & notificaRilevamento, gestione e notifica degli incidenti significativi alle autorità.
Continuità operativaBackup, gestione delle crisi e piani di continuità / ripristino (BIA, PCA, PRA).
Responsabilità del dirigente
Novità principale: gli organi di direzione devono approvare e supervisionare le misure di gestione dei rischi. La cybersicurezza smette di essere un tema puramente tecnico.
Da dove cominciare
Determinare se siete interessati (settore, dimensione, ruolo), mappare i vostri rischi prioritari con un’analisi EBIOS RM, misurare lo scostamento con un audit, poi strutturare la governance e il reporting.
07 · DORA
La resilienza operativa digitale del settore finanziario
Applicabile dal 17 gennaio 2025, il regolamento DORA impone al settore finanziario (e ai suoi fornitori di servizi informatici) un quadro esigente di resilienza. In Francia, la vigilanza spetta in particolare all’ACPR e all’AMF (le autorità francesi di vigilanza bancaria e dei mercati finanziari).
Direttamente soggette
Le entità finanziarie
Rientra nel perimetro una gamma molto ampia di attori:
- Banche, assicurazioni, società di gestione
- Istituti di pagamento e di moneta elettronica
- Prestatori di servizi per le cripto-attività (PSAN nel diritto francese)
Nel perimetro di riflesso
I loro fornitori di servizi TIC
Punto cruciale: DORA riguarda anche i fornitori di servizi informatici.
- Provider di hosting, editori di software, fornitori cloud
- Tramite i requisiti contrattuali imposti ai loro clienti finanziari
- Registro dei contratti, clausole conformi, strategia di reversibilità
I cinque pilastri
Gestione del rischio TIC
Governance, mappatura, misure di protezione e di continuità, governate a livello della direzione.
Gestione degli incidenti
Rilevamento, classificazione e notifica degli incidenti gravi connessi alle TIC.
Test di resilienza
Test regolari, fino ai test avanzati (TLPT) per gli attori più significativi.
Rischio dei fornitori di servizi TIC
Registro dei contratti, clausole contrattuali, valutazione della concentrazione, piano di reversibilità.
Condivisione delle informazioni
Scambio volontario di informazioni sulle minacce informatiche tra entità finanziarie.
Il punto più sottovalutato: le terze parti
Molte organizzazioni scoprono di non governare la propria dipendenza da alcuni fornitori critici. DORA ne fa un tema di primo piano: registro, clausole conformi, concentrazione e reversibilità.
08 · GDPR · 72 H CNIL
Dal dato alla prova, notifica in 72 h compresa
La conformità al GDPR ha valore operativo solo se tradotta in un registro aggiornato, in valutazioni d’impatto reali e nella capacità di notificare una violazione nei termini, senza dichiarazioni vuote né conformità di facciata.
Registro dei trattamenti
Trattamenti, finalità, dati sensibili, accessi e responsabili del trattamento, mappati e tenuti aggiornati.
Valutazioni d’impatto
DPIA sui trattamenti a rischio elevato: misurare prima di trattare, documentare le decisioni.
Notifica in 72 h
Una violazione di dati deve essere notificata alla CNIL entro 72 ore. Un conto alla rovescia che si prepara prima dell’incidente, non durante.
DPO & sicurezza
Coordinamento tra il DPO e la funzione sicurezza: prove delle decisioni, gestione degli incidenti, diritti degli interessati.
09 · CIÒ CHE NON PROMETTIAMO
Un framework guida, non garantisce nulla al vostro posto
Un framework ben tenuto riduce l’improvvisazione e facilita le decisioni. Non sostituisce né i test, né le decisioni, né i fatti sul campo. Ecco ciò che non promettiamo.
Una conformità legata alle pratiche reali
Nessun marchio sostituisce misure realmente applicate. Un documento inutile, mai messo in pratica, a volte aumenta il rischio invece di ridurlo.
Niente rischio zero
Un’analisi dei rischi non garantisce né l’assenza di vulnerabilità, né l’assenza di compromissione. È una lettura strutturata in un dato momento, da rivedere dopo ogni incidente, cambiamento del sistema informativo o nuova dipendenza.
Nessun piano non testato
Un piano mai testato dà un’illusione di controllo. E la decisione resta alla direzione: Galyct Pro chiarisce le scelte; l’accettazione del rischio e le risorse spettano all’organizzazione.
Vedete i vostri framework applicati al vostro contesto.
Una demo dal vivo di 30 minuti su ISO 27001, NIS 2, DORA, GDPR, EBIOS RM o PCA / PRA, oppure iniziate da soli con la diagnosi per la direzione, gratuita. Senza impegno.