Glossario: i termini di sicurezza e compliance, con il riferimento normativo.

A

Accountability (responsabilizzazione)

Principio del GDPR (art. 5.2) per cui il titolare del trattamento è competente per il rispetto dei principi di protezione dei dati e deve essere in grado di dimostrarlo. In pratica richiede documentazione, registri e prove delle misure adottate, non solo la loro esistenza.

GDPR

ACN (Agenzia per la Cybersicurezza Nazionale)

Autorità nazionale per la cybersicurezza in Italia. Ai sensi del D.Lgs. 138/2024 è l'autorità nazionale competente per la NIS2 e il punto di contatto unico. Presso l'ACN opera il CSIRT Italia.

NIS2

Analisi dei gap (gap analysis)

Confronto tra ciò che una norma richiede e ciò che l'organizzazione ha in atto, requisito per requisito. Il risultato è l'elenco degli scostamenti con le priorità di intervento, che diventa la base del piano di adeguamento.

Annex A (ISO/IEC 27001)

Allegato della ISO/IEC 27001:2022 che elenca 93 controlli di riferimento in quattro temi: organizzativi, persone, fisici e tecnologici. L'organizzazione li confronta con il proprio trattamento del rischio e motiva inclusioni ed esclusioni nella dichiarazione di applicabilità.

ISO/IEC 27001

Asset

Elemento che ha valore per l'organizzazione e va protetto: informazioni, sistemi, applicazioni, dispositivi, servizi. L'inventario degli asset è un controllo della ISO/IEC 27001 (Annex A, 5.9) e la gestione degli asset è tra le misure della NIS2 (art. 21.2(i)).

ISO/IEC 27001NIS2

Audit interno

Verifica pianificata, svolta dall'organizzazione o per suo conto, che il sistema di gestione sia conforme ai requisiti propri e della norma e sia attuato e mantenuto efficacemente. Per la ISO/IEC 27001 è un requisito (punto 9.2) e gli auditor devono essere obiettivi e imparziali rispetto a ciò che verificano.

ISO/IEC 27001ISO/IEC 42001

Azione correttiva

Azione che elimina la causa di una non conformità per evitare che si ripeta. Nella ISO/IEC 27001 (punto 10.2) comprende l'analisi della causa, l'attuazione dell'azione e il riesame della sua efficacia, documentati come evidenza.

ISO/IEC 27001

B

Business continuity (continuità operativa)

Capacità di continuare a erogare servizi e prodotti a livelli accettabili durante e dopo un evento che li interrompe. La NIS2 la include tra le misure (art. 21.2(c)) insieme a gestione dei backup, disaster recovery e gestione delle crisi; la DORA chiede politiche di continuità operativa ICT e piani di risposta e ripristino.

NIS2DORAISO/IEC 27001

C

Controllo

Misura che mantiene o modifica un rischio: una regola, una procedura, una configurazione tecnica o una pratica organizzativa. Un controllo verificabile ha un obiettivo, un responsabile, un perimetro e una procedura per accertare che funzioni.

CSIRT Italia

Il gruppo nazionale di risposta agli incidenti di sicurezza informatica, istituito presso l'ACN. Riceve le notifiche di incidente previste dalla NIS2 per i soggetti italiani e fornisce supporto nella gestione degli incidenti.

NIS2

D

Dichiarazione di applicabilità (SoA)

Documento richiesto dalla ISO/IEC 27001 (punto 6.1.3 d) che elenca i controlli necessari, la giustificazione della loro inclusione, se sono attuati e la giustificazione dell'esclusione dei controlli dell'Annex A. È tra i documenti centrali dell'audit di certificazione.

ISO/IEC 27001

DPIA (valutazione d'impatto sulla protezione dei dati)

Valutazione richiesta dal GDPR (art. 35) prima di un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone, per esempio per l'uso di nuove tecnologie o per il monitoraggio sistematico su larga scala. Descrive il trattamento, ne valuta necessità e proporzionalità, analizza i rischi e indica le misure previste.

GDPR

DPO (responsabile della protezione dei dati)

Figura prevista dal GDPR (artt. 37-39) che informa e consiglia titolare e responsabile, sorveglia l'osservanza della normativa e coopera con l'autorità di controllo. La designazione è obbligatoria per le autorità pubbliche e per chi, come attività principale, effettua un monitoraggio regolare e sistematico su larga scala o tratta su larga scala categorie particolari di dati.

GDPR

E

Eccezione

Scostamento approvato da un controllo o da una policy, quando una misura non può essere applicata a un sistema o a un processo. Un'eccezione gestita ha una motivazione, un approvatore, le eventuali misure compensative e una data di scadenza.

Efficacia operativa

Misura di quanto un controllo ha funzionato come previsto lungo un periodo, e non solo a una data. È l'oggetto del report SOC 2 di tipo II e si dimostra con evidenze raccolte per tutto il periodo verificato.

SOC 2

Ente di certificazione

Organismo terzo che verifica un sistema di gestione e rilascia la certificazione, per esempio ISO/IEC 27001 o ISO/IEC 42001. Per i sistemi di gestione opera secondo la ISO/IEC 17021-1 ed è accreditato da un ente nazionale di accreditamento, in Italia Accredia.

ISO/IEC 27001ISO/IEC 42001

Evidenza

Informazione verificabile che dimostra che un controllo esiste o ha funzionato: una policy approvata, una configurazione, un log, un ticket, un verbale. Un'evidenza utilizzabile in audit indica fonte, data e perimetro a cui si riferisce.

F

Fornitore critico / fornitore terzo di servizi ICT

Fornitore il cui servizio, se interrotto o compromesso, incide in modo rilevante sui servizi dell'organizzazione. La NIS2 chiede di gestire la sicurezza della catena di fornitura (art. 21.2(d)); la DORA disciplina il rischio derivante dai fornitori terzi di servizi ICT (art. 28), con requisiti più stringenti per i servizi che supportano funzioni essenziali o importanti.

NIS2DORA

I

Incidente significativo (NIS2)

Incidente che ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure che ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli (art. 23.3). L'obbligo di notifica dell'art. 23 riguarda gli incidenti significativi.

NIS2

M

Misure di sicurezza (art. 21 NIS2)

Misure tecniche, operative e organizzative adeguate e proporzionate che i soggetti essenziali e importanti adottano per gestire i rischi. L'art. 21.2 ne indica dieci, dalla (a) alla (j): analisi dei rischi, gestione degli incidenti, continuità operativa, catena di fornitura, sicurezza di acquisizione e sviluppo, valutazione dell'efficacia, igiene informatica e formazione, crittografia, risorse umane e controllo degli accessi, autenticazione a più fattori e comunicazioni protette.

NIS2

N

Non conformità

Mancato soddisfacimento di un requisito della norma o di un requisito che l'organizzazione si è data. Nella ISO/IEC 27001 richiede una reazione, l'analisi della causa e, se necessario, un'azione correttiva (punto 10.2). Negli audit di certificazione le non conformità sono classificate come maggiori o minori.

ISO/IEC 27001ISO/IEC 42001

O

Organo di amministrazione

Organo che dirige l'organizzazione, per esempio il consiglio di amministrazione o l'amministratore unico. La NIS2 (art. 20) gli attribuisce l'approvazione delle misure di gestione dei rischi, la supervisione della loro attuazione e la responsabilità per le violazioni, e chiede ai suoi membri una formazione. La DORA (art. 5) assegna all'organo di gestione la responsabilità del quadro di gestione del rischio ICT.

NIS2DORA

Owner del controllo

Persona responsabile che un controllo sia attuato, mantenuto e dimostrabile: esegue o coordina le attività, raccoglie le evidenze e gestisce eccezioni e azioni correttive. Si distingue dal responsabile del rischio (risk owner), che decide sul trattamento e sull'accettazione del rischio.

P

Perimetro (scope)

Insieme di sedi, processi, sistemi, servizi e persone a cui si applica un sistema di gestione o una norma. Nella ISO/IEC 27001 va definito e documentato (punto 4.3), e il certificato riporta il perimetro coperto.

ISO/IEC 27001ISO/IEC 42001

Piano di trattamento del rischio

Documento che indica, per ogni rischio da trattare, l'opzione scelta (ridurre, evitare, trasferire o accettare), i controlli, i responsabili e i tempi. La ISO/IEC 27001 (punto 6.1.3) chiede di formularlo e di farlo approvare dai responsabili del rischio.

ISO/IEC 27001

Preallarme

Prima comunicazione prevista dalla NIS2 per un incidente significativo, da inviare entro 24 ore da quando se ne è venuti a conoscenza (art. 23.4(a)). Indica se si sospetta che l'incidente sia causato da atti illegittimi o malevoli o se può avere un impatto transfrontaliero. Seguono la notifica entro 72 ore e la relazione finale entro un mese dalla notifica.

NIS2

R

Registro dei trattamenti

Registro delle attività di trattamento richiesto dal GDPR (art. 30) a titolari e responsabili: finalità, categorie di interessati e di dati, destinatari, trasferimenti verso paesi terzi, termini di cancellazione e misure di sicurezza. L'esenzione per le organizzazioni con meno di 250 dipendenti non vale se il trattamento non è occasionale, può presentare un rischio o riguarda categorie particolari di dati o dati relativi a condanne penali e reati.

GDPR

Registro delle informazioni (DORA)

Registro che le entità finanziarie tengono su tutti gli accordi contrattuali per l'uso di servizi ICT prestati da fornitori terzi (art. 28.3), a livello di singola entità e, dove previsto, a livello consolidato. Va messo a disposizione dell'autorità competente e il suo formato è fissato da norme tecniche di attuazione.

DORA

Responsabile del trattamento

Soggetto che tratta dati personali per conto del titolare (GDPR art. 4.8). Il rapporto è regolato da un contratto o da un altro atto giuridico che ne fissa istruzioni e obblighi (art. 28). Un fornitore di software in cloud che ospita i dati dei clienti agisce di norma come responsabile del trattamento.

GDPR

Riesame della direzione

Valutazione del sistema di gestione da parte dell'alta direzione a intervalli pianificati, richiesta dalla ISO/IEC 27001 (punto 9.3). Considera tra l'altro esiti degli audit, non conformità, risultati del monitoraggio e stato del trattamento del rischio, e produce decisioni su miglioramenti e modifiche.

ISO/IEC 27001ISO/IEC 42001

Rilievo

Risultato di un audit o di un test che segnala uno scostamento da un requisito o un'opportunità di miglioramento. Un rilievo gestito ha un responsabile, un'azione correttiva e una scadenza, e resta aperto fino alla verifica della chiusura.

Rischio residuo

Rischio che resta dopo l'attuazione delle misure di trattamento. Nella ISO/IEC 27001 (punto 6.1.3) va accettato dai responsabili del rischio; l'accettazione si documenta con data e approvatore.

ISO/IEC 27001

RPO / RTO

L'RPO (Recovery Point Objective) è la perdita massima di dati accettata, espressa in tempo: con un RPO di quattro ore serve un backup almeno ogni quattro ore. L'RTO (Recovery Time Objective) è il tempo massimo entro cui un servizio deve tornare disponibile dopo un'interruzione. Entrambi si fissano nell'analisi di impatto sul business e si verificano con i test di ripristino.

NIS2DORAISO/IEC 27001

S

SGSI / ISMS

Sistema di gestione della sicurezza delle informazioni (Information Security Management System): l'insieme di politiche, processi, ruoli e controlli con cui un'organizzazione gestisce i rischi per riservatezza, integrità e disponibilità delle informazioni. La ISO/IEC 27001 ne definisce i requisiti ed è la norma su cui si basa la certificazione.

ISO/IEC 27001

Soggetto essenziale / soggetto importante

Le due categorie di soggetti della NIS2 (art. 3). In linea generale sono essenziali le grandi imprese dei settori ad alta criticità (allegato I) e alcuni soggetti indipendentemente dalla dimensione; sono importanti gli altri soggetti dei settori degli allegati I e II che rientrano nell'ambito di applicazione. Gli obblighi su misure e notifiche sono gli stessi; cambiano la vigilanza e l'importo massimo delle sanzioni.

NIS2

Sub-responsabile del trattamento

Soggetto a cui un responsabile del trattamento affida attività di trattamento per conto del titolare, per esempio un fornitore di infrastruttura cloud. Il GDPR (art. 28.2 e 28.4) richiede l'autorizzazione scritta, specifica o generale, del titolare e impone al sub-responsabile gli stessi obblighi in materia di protezione dei dati del responsabile.

GDPR

T

Test di ripristino

Prova pratica che dati e sistemi possono essere ripristinati dai backup entro l'RTO e con la perdita di dati prevista dall'RPO. Un backup che non è mai stato ripristinato in prova non dimostra la capacità di ripristino: l'evidenza è l'esito del test, con data e perimetro.

NIS2DORAISO/IEC 27001

Titolare del trattamento

Soggetto che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (GDPR art. 4.7). Risponde del rispetto del regolamento e deve essere in grado di dimostrarlo (artt. 5.2 e 24).

GDPR

Trust Services Criteria

Criteri definiti dall'AICPA su cui si basa un report SOC 2: sicurezza, disponibilità, integrità dell'elaborazione, riservatezza e privacy. La sicurezza è inclusa in ogni report; gli altri criteri si aggiungono in base ai servizi e agli impegni assunti con i clienti.

SOC 2

V

vCISO

Responsabile della sicurezza delle informazioni esterno, che svolge il ruolo di CISO con un impegno concordato invece che come dipendente a tempo pieno. Definisce programma e priorità e si confronta con l'organo di amministrazione; le decisioni sulle misure restano all'organizzazione.

Violazione dei dati personali (data breach)

Violazione di sicurezza che comporta, in modo accidentale o illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali (GDPR art. 4.12). Il titolare la notifica all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore (art. 33), salvo che sia improbabile un rischio per le persone; se il rischio è elevato informa anche gli interessati (art. 34).

GDPR