Controllo, evidenza, test, rilievo, eccezione: cinque termini GRC e le differenze tra loro
Le definizioni operative dei termini usati in audit e verifiche, la differenza tra efficacia del disegno ed efficacia operativa e il motivo per cui una policy da sola non dimostra che un controllo funziona. Con tre esempi: MFA, ripristino dei backup, valutazione dei fornitori.
Sei oggetti diversi
Nei programmi di compliance questi termini vengono spesso usati come sinonimi. Tenerli distinti rende chiaro che cosa manca quando un auditor chiede "la prova".
| Termine | Che cos'è | Esempio |
|---|---|---|
| Requisito | Ciò che una norma o un contratto chiede | NIS2 art. 21(2)(j): autenticazione a più fattori, ove opportuno |
| Controllo | L'attività o la configurazione con cui l'organizzazione soddisfa il requisito, con un responsabile | MFA obbligatoria per tutti gli account con accesso ai sistemi aziendali, applicata dall'identity provider |
| Evidenza | Un dato o documento che mostra lo stato del controllo in un momento o in un periodo | Export degli utenti dell'identity provider con lo stato MFA, datato |
| Test | Una verifica pianificata che confronta il controllo con il suo criterio e produce un esito | Confronto tra elenco degli utenti attivi e utenti con MFA registrata |
| Rilievo | Lo scostamento accertato tra il controllo atteso e quello osservato | Tre account attivi senza MFA, non autorizzati |
| Eccezione | Termine con due usi: una deviazione emersa in un campione di test, oppure una deroga approvata e motivata a una regola | Un account di servizio senza MFA, con deroga approvata, misure compensative e data di scadenza |
Una policy non è una prova di funzionamento
Una policy dichiara una regola e chi deve applicarla. Dimostra che il controllo è stato disegnato e approvato, non che sia stato eseguito. Un auditor che verifica un periodo chiede registrazioni prodotte durante quel periodo: richieste di accesso approvate, log dei backup, verbali di riesame.
Lo stesso principio è nelle norme: ISO/IEC 27001 chiede di monitorare e misurare le prestazioni (clausola 9.1) e di condurre audit interni (clausola 9.2); NIS2 chiede politiche e procedure per valutare l'efficacia delle misure (art. 21(2)(f)).
Efficacia del disegno ed efficacia operativa
- Efficacia del disegno: il controllo, se eseguito come descritto, è in grado di trattare il rischio per cui esiste. Si verifica leggendo la procedura, osservando la configurazione e seguendo un caso dall'inizio alla fine.
- Efficacia operativa: il controllo ha funzionato con continuità per tutto il periodo considerato. Si verifica su un campione di casi distribuito nel periodo.
- Un controllo può essere ben disegnato e non operare (la revisione trimestrale degli accessi è prevista ma non eseguita) oppure operare con un disegno debole (la revisione è eseguita ma esclude gli account privilegiati).
- I report SOC 2 rendono visibile la distinzione: il Type 1 riguarda il disegno dei controlli a una data, il Type 2 anche l'efficacia operativa in un periodo.
Che cosa rende utilizzabile un'evidenza
- Pertinente: riguarda il controllo e il perimetro dichiarati, non un sistema simile.
- Completa: copre l'intera popolazione (tutti gli utenti, tutti i server in perimetro), oppure indica come è stato estratto il campione.
- Datata: mostra a quale momento o periodo si riferisce.
- Attribuibile: indica la fonte e chi l'ha prodotta.
- Integra: un export generato dal sistema è più solido di una schermata senza data o di un file modificato a mano.
Esempio 1: copertura MFA
- Controllo: MFA obbligatoria per tutti gli account interattivi, applicata da una policy dell'identity provider.
- Evidenze: configurazione della policy; export datato degli utenti con stato MFA; elenco delle deroghe approvate.
- Test: confronto tra utenti attivi ed elenco MFA; calcolo della copertura (per esempio 97%); verifica che ogni account scoperto abbia una deroga valida.
- Esito possibile: rilievo per gli account scoperti senza deroga; eccezione documentata per un account di servizio con misure compensative.
Esempio 2: test di ripristino dei backup
- Controllo: backup giornaliero dei sistemi critici e test di ripristino periodico secondo il piano.
- Evidenze: log dei job di backup; verbale del test con sistema, data, tempo di ripristino misurato e verifica dell'integrità dei dati.
- Test: verifica che il ripristino sia stato provato nel periodo per i sistemi critici e che il tempo misurato rientri nell'obiettivo di ripristino.
- Punto chiave: un log di backup completato non dimostra che i dati siano ripristinabili. Lo dimostra solo un ripristino eseguito.
Esempio 3: valutazione dei fornitori
- Controllo: i fornitori critici sono valutati prima del contratto e riesaminati con la periodicità prevista.
- Evidenze: elenco dei fornitori con criticità; questionari compilati; certificazioni o report ricevuti con data di validità; esito e approvazione della valutazione.
- Test: per un campione di fornitori critici, verifica che esista una valutazione in corso di validità e che i rilievi abbiano un'azione o un'accettazione del rischio.
- Rilievo frequente: valutazione eseguita all'ingresso del fornitore e mai ripetuta, con una certificazione nel frattempo scaduta.
Dal rilievo all'azione correttiva
ISO/IEC 27001 (clausola 10.2) chiede, per ogni non conformità, di reagire, valutare se eliminarne le cause, attuare le azioni necessarie, verificarne l'efficacia e conservare informazioni documentate. Un rilievo è chiuso quando un nuovo test ne conferma la correzione, non quando l'azione è dichiarata conclusa.
In EVIDEVO
In Controlli e conformità controlli, test ed evidenze sono oggetti distinti e collegati: ogni evidenza registra autore, data e scadenza, ogni test ha frequenza ed esito, un test fallito genera un'azione correttiva. Integrazioni e automazione raccoglie le evidenze tecniche dai sistemi collegati; Audit e verifiche raccoglie campioni e rilievi per l'auditor.
Fonti ufficiali
Sintesi a scopo informativo. Non costituisce consulenza legale: obblighi e applicabilità vanno verificati sui testi ufficiali e sul caso specifico.