DottPrivacy
DottPrivacy
Metodo
Cinque fasi, sempre le stesse, indipendentemente dalla norma che le richiede. Cambiano i riferimenti giuridici, non il modo di guardare l'azienda.
Le fasi
Si comincia dall'azienda come funziona davvero, in sede o in collegamento remoto. Reti, server, gestionali, macchine collegate, fornitori con accesso remoto, banche dati di terzi. Il censimento è la parte meno raccontabile del lavoro e quella che determina la qualità di tutto il resto.
Quali processi fermano la produzione, in quanto tempo e con quale perdita. La business impact analysis traduce la sicurezza in un linguaggio che la direzione usa già: ore di fermo, ordini a rischio, penali contrattuali.
Confronto puntuale tra lo stato di fatto e i requisiti applicabili — NIS2, ISO/IEC 27001, GDPR, richieste contrattuali della committenza. L'esito è un piano di rientro con priorità, responsabili e date, non un elenco di adempimenti.
Le policy arrivano alla fine e descrivono l'azienda che esiste. Una procedura che nessuno riesce a rispettare è peggio dell'assenza di procedura: in sede di controllo dimostra che l'organizzazione conosceva la regola e non l'ha applicata.
Prove di ripristino, simulazioni, audit interni, formazione, riesame periodico. La conformità non è uno stato raggiunto una volta: è una manutenzione, e come ogni manutenzione ha un calendario.
Principi
I documenti nascono dai rilievi svolti in quella azienda. Un fascicolo con il nome sostituito si riconosce alla seconda pagina, e chi verifica lo riconosce prima di chiunque altro.
Chi svolge l'analisi tecnica è chi redige i documenti ed è chi si presenta davanti all'auditor. Non c'è passaggio di consegne tra un tecnico e un giurista che non si sono mai parlati.
Nessuna azienda può fare tutto subito. Ogni intervento viene ordinato per rischio evitato e costo, e ciò che si rinvia viene messo per iscritto insieme alla motivazione.
Chi assiste l'azienda non certifica l'azienda. La certificazione resta agli organismi accreditati, e il mandato di DPO non si cumula con ruoli che generano conflitto di interessi.
Ingaggio
Il primo confronto avviene al telefono o in videoconferenza e serve a raccogliere le informazioni: che cosa fa l'azienda e come è organizzata — visura camerale e organigramma di funzioni sono il punto di partenza — e a che punto è lo stato di conformità rispetto al tema richiesto. Le domande cambiano con il servizio. Su quella base viene formulata una proposta con una roadmap; in caso di accettazione l'attività si pianifica e le scadenze si rispettano.
Fissa il confrontoIl metodo applicato