La direzione risponde della sicurezza
Con il D.Lgs. 138/2024 gli organi di vertice approvano le misure, ne sovrintendono l'attuazione e rispondono delle violazioni: serve qualcuno che porti loro le decisioni da prendere.
Servizi · Presìdi
Governance continua e modulare
CISO as a Service.
Una funzione CISO esterna che affianca Direzione, IT e funzioni operative, proporzionata alla maturità e al profilo di rischio dell'organizzazione.
Quando serve
Le situazioni in cui mi chiamano.
Non c'è una figura interna
La struttura non ha, o non può ancora avere, un responsabile della sicurezza a tempo pieno con le competenze necessarie.
Più obblighi si sovrappongono
NIS 2, Legge 90/2024, GDPR e certificazioni chiedono ruoli e canali che devono restare coerenti fra loro.
I fornitori gestiscono i sistemi
Accessi da remoto, utenze dei fornitori, servizi gestiti: la sicurezza passa dai contratti e dalle verifiche sui fornitori, oltre che dalla tecnologia.
CISO as a Service
Il servizio comprende.
01
Mandato, governance, ruoli e reporting alla Direzione.
02
Registro dei rischi, priorità e piano di trattamento.
03
Policy, conformità e preparazione alle verifiche.
04
Sicurezza di fornitori, incidenti e continuità operativa.
05
Awareness, indicatori e miglioramento continuo.
Output indicativi.
RACIRisk registerRoadmapPolicyCruscotto direzionale
Metodo
Cinque passi, ognuno verificabile.
Lo stesso rigore della forensics applicato alla consulenza: ogni fase lascia una traccia.
01
01
Analisi
Esame dei sistemi e dei processi; gap analysis rispetto a norme e minacce reali.
Cosa ottieni
- Assessment iniziale
- Gap analysis
- Registro dei rischi
02
Progettazione
Architettura, policy e documentazione. Ruoli e responsabilità chiari.
Cosa ottieni
- Policy
- RACI
- Roadmap di adeguamento
03
Implementazione
Hardening, applicazione sul campo, formazione e supporto operativo.
Cosa ottieni
- Hardening
- Formazione
- Supporto operativo
04
Verifica
Test, audit interni e simulazioni; preparazione alle visite di certificazione.
Cosa ottieni
- Audit interni
- Test e simulazioni
- Preparazione alla certificazione
05
Evidenza
Tracciabilità di ogni passaggio. Il risultato resta, e si dimostra.
Cosa ottieni
- Matrice requisiti
- Dossier delle evidenze
- Cruscotto direzionale
Dal campo.
Note su casi e norme che riguardano questo servizio.
Cybersicurezza e vulnerabilità
PHP2Shell: aggiornare PHP e sapere dove gira
Il 21 ottobre il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due vulnerabilità critiche nel nucleo del linguaggio: CVE-2026-109618 e…
Dal campoNIS 2 e sanità privata accreditata: chi rientra
La domanda che ricevo più spesso dalle strutture sanitarie private accreditate è sempre la stessa: la NIS 2 ci riguarda o no?
Legge 90/2024Legge 90/2024: chi è il referente per la cybersicurezza
La Legge 90/2024 ha chiesto a molte pubbliche amministrazioni di indicare un referente per la cybersicurezza. In più di un ente quel nome è servito a riempire una casella, mentre la norma…
Dal campoNIS 2 e manifattura: chi produce macchine è dentro
Chi produce macchinari, apparecchiature elettriche, elettronica o componenti per autoveicoli spesso scopre dal cliente di rientrare nella NIS 2, non dalla norma.
Dal campoNIS 2 in sanità: la responsabilità è della direzione
In molte strutture sanitarie la NIS 2 è ancora un tema per l'ufficio informatico. Il D.Lgs. 138/2024 la porta invece sul tavolo della direzione, con nome e cognome.
Domande
Domande frequenti.
Il CISO esterno toglie la responsabilità alla direzione?
No. La nomina di un referente o di un CISO esterno è utile, ma non trasferisce la responsabilità che l'articolo 23 del D.Lgs. 138/2024 attribuisce agli organi di amministrazione e direttivi.
Come si dimensiona il presidio?
Sulla maturità dell'organizzazione e sul suo profilo di rischio. Il mandato iniziale fissa ruoli, reporting e priorità; il registro dei rischi dice dove concentrare il lavoro.
Che cosa resta all'organizzazione alla fine?
Decisioni, responsabilità ed evidenze verificabili: ruoli scritti, registro dei rischi, politiche approvate e un cruscotto che la direzione legge.
Contatti
Parliamo del tuo problema.
Per una valutazione di sicurezza, un incarico forense, un presidio continuativo o una certificazione. Rispondo io, direttamente.
- info@fortibyte.it
- antonio-silvestro-amodeo
- Dove
- Crotone, incarichi su scala nazionale