Controlli

L Organizzazione deve mantenere un inventario delle informazioni e degli asset collegati rilevanti per la sicurezza delle informazioni.

Verifica: È disponibile un inventario aggiornato delle informazioni e degli asset collegati?

Ogni informazione o asset collegato presente nell inventario deve avere un responsabile o owner assegnato.

Verifica: Per ogni asset inventariato è indicato un owner o responsabile?

L inventario degli asset deve essere mantenuto aggiornato rispetto alle variazioni organizzative, tecniche e operative.

Verifica: L inventario degli asset viene aggiornato quando cambiano asset, sistemi o responsabilità?

L Organizzazione deve mantenere un elenco aggiornato dei sistemi informativi e di rete rilevanti.

Verifica: È mantenuto un elenco aggiornato dei sistemi informativi e di rete rilevanti?

L Organizzazione deve mantenere un inventario aggiornato degli apparati fisici che compongono i sistemi informativi e di rete.

Verifica: È disponibile un inventario aggiornato degli apparati fisici?

L inventario hardware deve includere i dispositivi IT, IoT, OT e mobili che rientrano nei sistemi informativi e di rete.

Verifica: L inventario hardware include dispositivi IT, IoT, OT e mobili applicabili?

Gli apparati fisici inclusi nell inventario devono essere approvati da attori interni autorizzati.

Verifica: Gli apparati fisici inventariati risultano approvati da soggetti interni autorizzati?

L Organizzazione deve mantenere un inventario aggiornato di servizi, sistemi e applicazioni software.

Verifica: È disponibile un inventario aggiornato di servizi, sistemi e applicazioni software?

L inventario deve includere applicazioni commerciali, open source e custom quando presenti.

Verifica: L inventario software distingue applicazioni commerciali, open source e custom?

L inventario deve considerare anche le applicazioni accessibili tramite API quando applicabili.

Verifica: Le applicazioni o i servizi accessibili tramite API sono censiti?

I servizi, sistemi e software censiti devono essere approvati da attori interni autorizzati.

Verifica: I servizi, sistemi e software censiti risultano approvati internamente?

L Organizzazione deve mantenere un inventario aggiornato dei flussi di rete tra i propri sistemi informativi e di rete e l esterno.

Verifica: È mantenuto un inventario aggiornato dei flussi di rete interni-esterni?

I flussi di rete censiti devono essere autorizzati o approvati da attori interni competenti.

Verifica: I flussi di rete censiti risultano approvati da soggetti interni competenti?

Gli asset informativi rilevanti per la sicurezza devono essere identificati e registrati.

Verifica: Gli asset informativi rilevanti sono identificati e registrati?

Per ogni asset informativo registrato deve essere assegnato un responsabile.

Verifica: Ogni asset informativo registrato ha un responsabile assegnato?

Gli asset di supporto che trattano gli asset informativi devono essere identificati e registrati.

Verifica: Gli asset di supporto che trattano asset informativi sono identificati e registrati?

Per ogni asset di supporto registrato deve essere assegnato un responsabile.

Verifica: Ogni asset di supporto ha un responsabile assegnato?

Il catalogo degli asset informativi rilevanti deve collegare ciascun asset informativo agli asset di supporto corrispondenti.

Verifica: Il catalogo collega gli asset informativi ai relativi asset di supporto?

Il catalogo degli asset deve essere riesaminato periodicamente.

Verifica: Il catalogo degli asset viene riesaminato periodicamente?

Deve essere disponibile uno schema coerente per classificare gli asset informativi rispetto alla riservatezza.

Verifica: È disponibile uno schema di classificazione degli asset informativi per la riservatezza?

Gli asset informativi identificati devono essere valutati secondo criteri definiti e assegnati allo schema di classificazione.

Verifica: Gli asset informativi sono classificati secondo criteri definiti?

Devono essere definite e applicate regole di gestione degli asset di supporto in base alla classificazione degli asset informativi.

Verifica: Le regole di gestione degli asset di supporto dipendono dalla classificazione delle informazioni trattate?

La classificazione deve considerare anche integrità e disponibilità oltre alla riservatezza.

Verifica: La classificazione considera riservatezza, integrità e disponibilità?

Il software deve essere approvato prima dell installazione o dell uso.

Verifica: Il software viene approvato prima dell installazione o dell uso?

L approvazione software deve considerare eventuali limitazioni per casi d uso o ruoli specifici.

Verifica: Le approvazioni software indicano eventuali limiti di uso o ruolo?

L approvazione software deve considerare la conformità ai requisiti di sicurezza delle informazioni.

Verifica: La conformità ai requisiti di sicurezza è verificata prima di approvare il software?

L approvazione software deve considerare diritti d uso e licenze.

Verifica: Licenze e diritti d uso sono verificati prima dell approvazione software?

L approvazione software deve considerare origine e reputazione del software.

Verifica: Origine e reputazione del software sono valutate prima dell approvazione?

I repository del software gestito devono esistere ed essere protetti contro manipolazioni non autorizzate.

Verifica: I repository software gestiti sono protetti contro manipolazioni non autorizzate?

Le approvazioni software devono essere riesaminate regolarmente.

Verifica: Le approvazioni software vengono riesaminate regolarmente?

Versioni e patch level del software gestito devono essere conosciuti.

Verifica: Versioni e patch level del software gestito sono noti?

Deve essere definito un concetto di zone di sicurezza con misure fisiche coerenti con i requisiti degli asset informativi trattati.

Verifica: È definito un concetto di zone di sicurezza basato sui requisiti degli asset informativi?

La definizione delle zone di sicurezza deve considerare condizioni fisiche come locali, edifici e spazi.

Verifica: Le zone di sicurezza considerano locali, edifici e spazi fisici?

La definizione delle zone di sicurezza deve includere aree di consegna e spedizione quando applicabili.

Verifica: Le aree di consegna e spedizione sono considerate nelle zone di sicurezza applicabili?

Le misure protettive previste per le zone di sicurezza devono essere implementate.

Verifica: Le misure protettive delle zone di sicurezza sono implementate?

Il codice di comportamento per le zone di sicurezza deve essere conosciuto dalle persone coinvolte.

Verifica: Le persone coinvolte conoscono le regole di comportamento nelle zone di sicurezza?

Devono essere stabilite procedure per assegnazione e revoca dei diritti di accesso fisico.

Verifica: Sono definite procedure per assegnare e revocare accessi fisici alle zone?

Devono essere definite politiche di gestione visitatori, inclusi registrazione e accompagnamento.

Verifica: Sono definite politiche per registrazione e accompagnamento dei visitatori?

Componenti di rete e infrastruttura devono essere protetti da accesso non autorizzato.

Verifica: Componenti di rete e infrastruttura sono protetti da accesso fisico non autorizzato?

Devono essere determinati e rispettati i requisiti per la gestione degli asset di supporto durante il loro ciclo di vita.

Verifica: Sono definiti e rispettati requisiti per la gestione degli asset di supporto?

I requisiti di gestione degli asset di supporto devono coprire trasporto, conservazione, riparazione, perdita, restituzione e dismissione quando applicabili.

Verifica: La procedura copre trasporto, conservazione, riparazione, perdita, restituzione e dismissione degli asset di supporto?

Gli asset di supporto devono essere protetti durante uso e dismissione.

Verifica: Gli asset di supporto sono protetti durante uso e dismissione?

I record e le evidenze documentate rilevanti devono essere protetti dalla perdita e dalla distruzione non autorizzata.

Verifica: Le registrazioni sono protette da perdita o distruzione non autorizzata?

I record e le evidenze documentate rilevanti devono essere protetti da falsificazione o alterazione impropria.

Verifica: Sono presenti misure per prevenire alterazioni improprie delle registrazioni?

L accesso ai record e alle evidenze documentate deve essere limitato ai soggetti autorizzati.

Verifica: L accesso alle registrazioni è consentito solo a soggetti autorizzati?

Il rilascio o la diffusione dei record e delle evidenze documentate deve essere controllato.

Verifica: Esistono regole per il rilascio o la diffusione controllata delle registrazioni?

L Organizzazione deve pianificare come mantenere un livello adeguato di sicurezza delle informazioni durante interruzioni operative.

Verifica: È disponibile un piano per mantenere la sicurezza delle informazioni durante interruzioni operative?

Le misure di sicurezza previste per le interruzioni devono essere coerenti con il livello di sicurezza richiesto dall Organizzazione.

Verifica: Le misure di sicurezza durante le interruzioni sono coerenti con i requisiti di sicurezza dell Organizzazione?

Deve esistere una pianificazione adeguata per reagire e recuperare da situazioni di crisi.

Verifica: È disponibile una pianificazione per reagire e recuperare da crisi?

Le risorse necessarie alla gestione della crisi devono essere disponibili.

Verifica: Le risorse necessarie per gestire la crisi sono identificate e disponibili?

Responsabilità e autorità per la gestione della crisi devono essere definite, documentate e assegnate.

Verifica: Responsabilità e autorità di crisis management sono definite, documentate e assegnate?

I dipendenti responsabili della gestione crisi devono essere identificati e qualificati per il proprio compito.

Verifica: Le persone responsabili della crisi sono identificate e qualificate?

Devono essere stabiliti metodi per rilevare situazioni di crisi.

Verifica: Sono definiti metodi per rilevare situazioni di crisi?

Devono essere presenti procedure per invocare o scalare la gestione della crisi.

Verifica: Esiste una procedura di attivazione o escalation della gestione crisi?

Obiettivi strategici e priorità in crisi devono essere definiti e noti al personale pertinente.

Verifica: Obiettivi e priorità in crisi sono definiti e noti al personale pertinente?

Il team di gestione crisi deve essere definito e approvato.

Verifica: Il team di gestione crisi è definito e approvato?

Politiche e procedure di crisi devono essere definite e approvate.

Verifica: Le politiche e procedure di crisi sono definite e approvate?

Devono essere identificati scenari di crisi rilevanti.

Verifica: Sono identificati scenari di crisi rilevanti?

Deve esistere una strategia di comunicazione per le situazioni di crisi.

Verifica: È definita una strategia di comunicazione per crisi?

Devono essere svolte esercitazioni o simulazioni di crisi con le persone rilevanti.

Verifica: Sono condotte esercitazioni o simulazioni di crisi con le persone rilevanti?

La prontezza ICT per la continuità operativa deve essere pianificata sulla base degli obiettivi di continuità e dei requisiti ICT.

Verifica: La continuità ICT è pianificata in base a obiettivi e requisiti di continuità definiti?

Le misure di prontezza ICT devono essere attuate secondo quanto pianificato.

Verifica: Le misure di continuità ICT pianificate sono attuate?

La prontezza ICT deve essere mantenuta nel tempo.

Verifica: La prontezza ICT viene mantenuta e aggiornata nel tempo?

La prontezza ICT deve essere testata rispetto agli obiettivi di continuità.

Verifica: Sono eseguiti test periodici della continuità ICT?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di continuità operativa.

Verifica: È presente un piano di continuità operativa definito, attuato, aggiornato e documentato?

Il piano di continuità operativa deve indicare finalità, esigenze di continuità e ambito di applicazione.

Verifica: Il piano di continuità indica finalità, esigenze e ambito?

Il piano di continuità operativa deve definire ruoli e responsabilità.

Verifica: Il piano di continuità definisce ruoli e responsabilità?

Il piano di continuità operativa deve indicare contatti principali e canali di comunicazione interni ed esterni.

Verifica: Il piano di continuità contiene contatti e canali di comunicazione interni ed esterni?

Il piano di continuità operativa deve definire le condizioni di attivazione e disattivazione.

Verifica: Il piano di continuità definisce quando attivarlo e disattivarlo?

Il piano di continuità operativa deve indicare le risorse necessarie, inclusi backup e ridondanze.

Verifica: Il piano di continuità indica risorse, backup e ridondanze necessarie?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di disaster recovery.

Verifica: È presente un piano di disaster recovery definito, attuato, aggiornato e documentato?

Il piano di disaster recovery deve definire l ordine di ripristino delle operazioni.

Verifica: Il piano DR definisce l ordine di ripristino delle operazioni?

Il piano di disaster recovery deve includere procedure di ripristino per operazioni specifiche e relativi obiettivi di ripristino.

Verifica: Il piano DR include procedure e obiettivi di ripristino per operazioni specifiche?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di gestione delle crisi informatiche.

Verifica: È presente un piano di gestione delle crisi informatiche definito, attuato, aggiornato e documentato?

Il piano di gestione delle crisi informatiche deve definire ruoli e responsabilità del personale e, se opportuno, dei fornitori.

Verifica: Il piano crisi definisce ruoli e responsabilità di personale e fornitori applicabili?

Il piano di gestione delle crisi informatiche deve definire le modalità di comunicazione con soggetti e autorità competenti.

Verifica: Il piano crisi definisce le modalità di comunicazione con soggetti e autorità competenti?

I piani di continuità, disaster recovery e gestione crisi devono essere approvati dagli organi di amministrazione e direttivi.

Verifica: I piani BCM, DR e crisi sono approvati dagli organi competenti?

I piani di continuità, disaster recovery e gestione crisi devono essere riesaminati e aggiornati almeno ogni due anni o a seguito di eventi rilevanti.

Verifica: I piani BCM, DR e crisi sono riesaminati almeno ogni due anni o dopo eventi rilevanti?

I backup di dati e configurazioni devono essere eseguiti periodicamente in coerenza con esigenze di continuità e disaster recovery.

Verifica: I backup di dati e configurazioni sono eseguiti periodicamente secondo le esigenze BCM/DR?

Per i sistemi informativi e di rete rilevanti devono essere conservate anche copie di backup offline.

Verifica: Per i sistemi rilevanti sono conservate copie di backup offline?

Devono essere adottate e documentate procedure per l esecuzione periodica dei backup.

Verifica: Esistono procedure documentate per l esecuzione periodica dei backup?

Per i sistemi informativi e di rete rilevanti deve essere assicurata la riservatezza e integrità dei backup tramite protezione fisica o cifratura.

Verifica: I backup rilevanti sono protetti fisicamente o cifrati per riservatezza e integrità?

L utilizzabilità dei backup dei sistemi rilevanti deve essere verificata periodicamente mediante test di ripristino.

Verifica: L utilizzabilità dei backup viene verificata periodicamente con test di ripristino?

Le procedure devono documentare anche protezione dei backup e test di ripristino.

Verifica: Le procedure descrivono protezione dei backup e test di ripristino?

In base alla valutazione del rischio devono essere utilizzati sistemi di comunicazione di emergenza protetti.

Verifica: Sono disponibili sistemi di comunicazione di emergenza protetti coerenti con la valutazione del rischio?

Devono essere adottate e documentate procedure per l uso dei sistemi di comunicazione di emergenza protetti.

Verifica: Esistono procedure documentate per l uso dei sistemi di comunicazione di emergenza protetti?

Devono essere adottate e documentate procedure per comunicare alle parti interne interessate le attività di ripristino dopo un incidente.

Verifica: Sono presenti procedure documentate per comunicare internamente le attività di ripristino dopo incidente?

Nel piano di gestione incidenti devono essere adottate e documentate procedure di ripristino del normale funzionamento dei sistemi coinvolti da incidenti.

Verifica: Il piano incidenti contiene procedure documentate per ripristinare il normale funzionamento dei sistemi coinvolti?

I servizi IT critici devono essere identificati considerando il business impact.

Verifica: I servizi IT critici sono identificati considerando l impatto sul business?

Requisiti e responsabilità per continuità e recovery dei servizi IT critici devono essere noti agli stakeholder rilevanti.

Verifica: Requisiti e responsabilità di continuità/recovery sono noti agli stakeholder?

I sistemi IT critici devono essere identificati e classificati rispetto al bisogno di protezione.

Verifica: I sistemi IT critici sono identificati e classificati per bisogno di protezione?

La continuità IT deve considerare scenari come DDoS, ransomware, sabotaggio, guasto di sistema e disastro naturale.

Verifica: La continuità IT considera DDoS, ransomware, sabotaggio, guasti e disastri naturali?

La continuità IT deve considerare strategie alternative per comunicazione, storage, alimentazione e rete.

Verifica: Il piano IT prevede alternative per comunicazione, storage, alimentazione e rete?

La pianificazione della continuità IT deve essere riesaminata e aggiornata regolarmente.

Verifica: Il piano di continuità IT viene riesaminato e aggiornato regolarmente?

La continuità IT deve includere tempi predefiniti di ripresa coerenti con i requisiti.

Verifica: Sono definiti tempi di ripresa coerenti con i requisiti?

La continuità IT deve essere testata, includendo recovery completo quando applicabile e documentando lezioni apprese.

Verifica: I test di continuità IT sono svolti e documentati con lezioni apprese?

Devono esistere concetti di backup per i sistemi IT rilevanti.

Verifica: Esistono concetti di backup per i sistemi IT rilevanti?

I concetti di backup devono considerare misure per proteggere riservatezza, integrità e disponibilità dei backup.

Verifica: I backup sono protetti per riservatezza, integrità e disponibilità?

Devono esistere concetti di recovery per i servizi IT rilevanti.

Verifica: Esistono concetti di recovery per i servizi IT rilevanti?

Per ogni servizio IT rilevante deve esistere un concetto di backup e recovery.

Verifica: Ogni servizio IT rilevante ha un concetto di backup e recovery?

Dipendenze tra servizi IT e sequenza di recovery devono essere considerate.

Verifica: Le dipendenze tra servizi e la sequenza di recovery sono considerate?

I concetti di backup e recovery devono essere riesaminati regolarmente con metodo definito.

Verifica: I concetti di backup e recovery sono riesaminati regolarmente?

La capacità generale di restore deve essere considerata e testata.

Verifica: La capacità di restore viene testata?

I concetti di backup e recovery devono considerare RPO e RTO.

Verifica: RPO e RTO sono considerati nei concetti di backup e recovery?

I backup devono essere protetti da modifica o cancellazione non autorizzata tramite offline, immutabilità o isolamento equivalente quando applicabile.

Verifica: I backup sono protetti da modifica o cancellazione non autorizzata?

Le procedure di restore devono essere testate tecnicamente e metodicamente a intervalli regolari.

Verifica: Le procedure di restore sono testate tecnicamente e metodicamente a intervalli regolari?

Devono essere mantenute copie di backup delle informazioni, del software e dei sistemi rilevanti.

Verifica: Sono mantenute copie di backup di informazioni, software e sistemi rilevanti?

I backup devono essere eseguiti secondo quanto definito dalla politica o procedura di backup.

Verifica: I backup sono eseguiti secondo la politica specifica di backup?

Le copie di backup devono essere testate regolarmente.

Verifica: Le copie di backup vengono testate regolarmente?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di continuità operativa.

Verifica: È presente un piano di continuità operativa definito, attuato, aggiornato e documentato?

Il piano di continuità operativa deve indicare finalità, esigenze di continuità e ambito di applicazione.

Verifica: Il piano di continuità indica finalità, esigenze e ambito?

Il piano di continuità operativa deve definire ruoli e responsabilità.

Verifica: Il piano di continuità definisce ruoli e responsabilità?

Il piano di continuità operativa deve indicare contatti principali e canali di comunicazione interni ed esterni.

Verifica: Il piano di continuità contiene contatti e canali di comunicazione interni ed esterni?

Il piano di continuità operativa deve definire le condizioni di attivazione e disattivazione.

Verifica: Il piano di continuità definisce quando attivarlo e disattivarlo?

Il piano di continuità operativa deve indicare le risorse necessarie, inclusi backup e ridondanze.

Verifica: Il piano di continuità indica risorse, backup e ridondanze necessarie?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di disaster recovery.

Verifica: È presente un piano di disaster recovery definito, attuato, aggiornato e documentato?

Il piano di disaster recovery deve definire l ordine di ripristino delle operazioni.

Verifica: Il piano DR definisce l ordine di ripristino delle operazioni?

Il piano di disaster recovery deve includere procedure di ripristino per operazioni specifiche e relativi obiettivi di ripristino.

Verifica: Il piano DR include procedure e obiettivi di ripristino per operazioni specifiche?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di gestione delle crisi informatiche.

Verifica: È presente un piano di gestione delle crisi informatiche definito, attuato, aggiornato e documentato?

Il piano di gestione delle crisi informatiche deve definire ruoli e responsabilità del personale e, se opportuno, dei fornitori.

Verifica: Il piano crisi definisce ruoli e responsabilità di personale e fornitori applicabili?

Il piano di gestione delle crisi informatiche deve definire le modalità di comunicazione con soggetti e autorità competenti.

Verifica: Il piano crisi definisce le modalità di comunicazione con soggetti e autorità competenti?

I piani di continuità, disaster recovery e gestione crisi devono essere approvati dagli organi di amministrazione e direttivi.

Verifica: I piani BCM, DR e crisi sono approvati dagli organi competenti?

I piani di continuità, disaster recovery e gestione crisi devono essere riesaminati e aggiornati almeno ogni due anni o a seguito di eventi rilevanti.

Verifica: I piani BCM, DR e crisi sono riesaminati almeno ogni due anni o dopo eventi rilevanti?

I backup di dati e configurazioni devono essere eseguiti periodicamente in coerenza con esigenze di continuità e disaster recovery.

Verifica: I backup di dati e configurazioni sono eseguiti periodicamente secondo le esigenze BCM/DR?

Per i sistemi informativi e di rete rilevanti devono essere conservate anche copie di backup offline.

Verifica: Per i sistemi rilevanti sono conservate copie di backup offline?

Devono essere adottate e documentate procedure per l esecuzione periodica dei backup.

Verifica: Esistono procedure documentate per l esecuzione periodica dei backup?

Per i sistemi informativi e di rete rilevanti deve essere assicurata la riservatezza e integrità dei backup tramite protezione fisica o cifratura.

Verifica: I backup rilevanti sono protetti fisicamente o cifrati per riservatezza e integrità?

L utilizzabilità dei backup dei sistemi rilevanti deve essere verificata periodicamente mediante test di ripristino.

Verifica: L utilizzabilità dei backup viene verificata periodicamente con test di ripristino?

Le procedure devono documentare anche protezione dei backup e test di ripristino.

Verifica: Le procedure descrivono protezione dei backup e test di ripristino?

Nel piano di gestione incidenti devono essere adottate e documentate procedure di ripristino del normale funzionamento dei sistemi coinvolti da incidenti.

Verifica: Il piano incidenti contiene procedure documentate per ripristinare il normale funzionamento dei sistemi coinvolti?

Devono esistere concetti di backup per i sistemi IT rilevanti.

Verifica: Esistono concetti di backup per i sistemi IT rilevanti?

I concetti di backup devono considerare misure per proteggere riservatezza, integrità e disponibilità dei backup.

Verifica: I backup sono protetti per riservatezza, integrità e disponibilità?

Devono esistere concetti di recovery per i servizi IT rilevanti.

Verifica: Esistono concetti di recovery per i servizi IT rilevanti?

Per ogni servizio IT rilevante deve esistere un concetto di backup e recovery.

Verifica: Ogni servizio IT rilevante ha un concetto di backup e recovery?

Dipendenze tra servizi IT e sequenza di recovery devono essere considerate.

Verifica: Le dipendenze tra servizi e la sequenza di recovery sono considerate?

I concetti di backup e recovery devono essere riesaminati regolarmente con metodo definito.

Verifica: I concetti di backup e recovery sono riesaminati regolarmente?

La capacità generale di restore deve essere considerata e testata.

Verifica: La capacità di restore viene testata?

I concetti di backup e recovery devono considerare RPO e RTO.

Verifica: RPO e RTO sono considerati nei concetti di backup e recovery?

I backup devono essere protetti da modifica o cancellazione non autorizzata tramite offline, immutabilità o isolamento equivalente quando applicabile.

Verifica: I backup sono protetti da modifica o cancellazione non autorizzata?

Le procedure di restore devono essere testate tecnicamente e metodicamente a intervalli regolari.

Verifica: Le procedure di restore sono testate tecnicamente e metodicamente a intervalli regolari?

Le strutture di elaborazione delle informazioni devono avere ridondanza sufficiente rispetto ai requisiti di disponibilità.

Verifica: Le strutture di elaborazione dispongono di ridondanza adeguata ai requisiti di disponibilità?

I requisiti di disponibilità devono guidare la scelta del livello di ridondanza.

Verifica: Il livello di ridondanza è definito in base ai requisiti di disponibilità?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di continuità operativa.

Verifica: È presente un piano di continuità operativa definito, attuato, aggiornato e documentato?

Il piano di continuità operativa deve indicare finalità, esigenze di continuità e ambito di applicazione.

Verifica: Il piano di continuità indica finalità, esigenze e ambito?

Il piano di continuità operativa deve definire ruoli e responsabilità.

Verifica: Il piano di continuità definisce ruoli e responsabilità?

Il piano di continuità operativa deve indicare contatti principali e canali di comunicazione interni ed esterni.

Verifica: Il piano di continuità contiene contatti e canali di comunicazione interni ed esterni?

Il piano di continuità operativa deve definire le condizioni di attivazione e disattivazione.

Verifica: Il piano di continuità definisce quando attivarlo e disattivarlo?

Il piano di continuità operativa deve indicare le risorse necessarie, inclusi backup e ridondanze.

Verifica: Il piano di continuità indica risorse, backup e ridondanze necessarie?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di disaster recovery.

Verifica: È presente un piano di disaster recovery definito, attuato, aggiornato e documentato?

Il piano di disaster recovery deve definire l ordine di ripristino delle operazioni.

Verifica: Il piano DR definisce l ordine di ripristino delle operazioni?

Il piano di disaster recovery deve includere procedure di ripristino per operazioni specifiche e relativi obiettivi di ripristino.

Verifica: Il piano DR include procedure e obiettivi di ripristino per operazioni specifiche?

Per i sistemi informativi e di rete rilevanti deve essere definito, attuato, aggiornato e documentato un piano di gestione delle crisi informatiche.

Verifica: È presente un piano di gestione delle crisi informatiche definito, attuato, aggiornato e documentato?

Il piano di gestione delle crisi informatiche deve definire ruoli e responsabilità del personale e, se opportuno, dei fornitori.

Verifica: Il piano crisi definisce ruoli e responsabilità di personale e fornitori applicabili?

Il piano di gestione delle crisi informatiche deve definire le modalità di comunicazione con soggetti e autorità competenti.

Verifica: Il piano crisi definisce le modalità di comunicazione con soggetti e autorità competenti?

I piani di continuità, disaster recovery e gestione crisi devono essere approvati dagli organi di amministrazione e direttivi.

Verifica: I piani BCM, DR e crisi sono approvati dagli organi competenti?

I piani di continuità, disaster recovery e gestione crisi devono essere riesaminati e aggiornati almeno ogni due anni o a seguito di eventi rilevanti.

Verifica: I piani BCM, DR e crisi sono riesaminati almeno ogni due anni o dopo eventi rilevanti?

In base alla valutazione del rischio devono essere utilizzati sistemi di comunicazione di emergenza protetti.

Verifica: Sono disponibili sistemi di comunicazione di emergenza protetti coerenti con la valutazione del rischio?

Devono essere adottate e documentate procedure per l uso dei sistemi di comunicazione di emergenza protetti.

Verifica: Esistono procedure documentate per l uso dei sistemi di comunicazione di emergenza protetti?

Deve esistere una pianificazione adeguata per reagire e recuperare da situazioni di crisi.

Verifica: È disponibile una pianificazione per reagire e recuperare da crisi?

Le risorse necessarie alla gestione della crisi devono essere disponibili.

Verifica: Le risorse necessarie per gestire la crisi sono identificate e disponibili?

Responsabilità e autorità per la gestione della crisi devono essere definite, documentate e assegnate.

Verifica: Responsabilità e autorità di crisis management sono definite, documentate e assegnate?

I dipendenti responsabili della gestione crisi devono essere identificati e qualificati per il proprio compito.

Verifica: Le persone responsabili della crisi sono identificate e qualificate?

Devono essere stabiliti metodi per rilevare situazioni di crisi.

Verifica: Sono definiti metodi per rilevare situazioni di crisi?

Devono essere presenti procedure per invocare o scalare la gestione della crisi.

Verifica: Esiste una procedura di attivazione o escalation della gestione crisi?

Obiettivi strategici e priorità in crisi devono essere definiti e noti al personale pertinente.

Verifica: Obiettivi e priorità in crisi sono definiti e noti al personale pertinente?

Il team di gestione crisi deve essere definito e approvato.

Verifica: Il team di gestione crisi è definito e approvato?

Politiche e procedure di crisi devono essere definite e approvate.

Verifica: Le politiche e procedure di crisi sono definite e approvate?

Devono essere identificati scenari di crisi rilevanti.

Verifica: Sono identificati scenari di crisi rilevanti?

Deve esistere una strategia di comunicazione per le situazioni di crisi.

Verifica: È definita una strategia di comunicazione per crisi?

Devono essere svolte esercitazioni o simulazioni di crisi con le persone rilevanti.

Verifica: Sono condotte esercitazioni o simulazioni di crisi con le persone rilevanti?

Le procedure operative per le strutture di elaborazione delle informazioni devono essere documentate.

Verifica: Le procedure operative delle strutture di elaborazione sono documentate?

Le procedure operative documentate devono essere rese disponibili al personale che ne ha bisogno.

Verifica: Il personale interessato può accedere alle procedure operative necessarie?

L osservanza di policy e procedure di sicurezza deve essere verificata nell Organizzazione.

Verifica: L osservanza di policy e procedure viene verificata?

Policy e procedure di sicurezza devono essere riesaminate a intervalli regolari.

Verifica: Policy e procedure di sicurezza sono riesaminate regolarmente?

Le non conformità o deviazioni devono generare misure correttive tracciate.

Verifica: Le deviazioni generano misure correttive tracciate?

I risultati delle verifiche devono essere registrati e conservati.

Verifica: I risultati delle verifiche sono registrati e conservati?

I requisiti di sicurezza delle informazioni per modifiche a organizzazione, processi e sistemi IT devono essere determinati e applicati.

Verifica: I requisiti di sicurezza sono determinati e applicati per i cambiamenti?

Deve essere stabilita una procedura formale di approvazione delle modifiche.

Verifica: Esiste una procedura formale di approvazione dei cambiamenti?

Le modifiche devono essere verificate e valutate per il loro impatto potenziale sulla sicurezza delle informazioni.

Verifica: I cambiamenti vengono valutati per impatto sulla sicurezza delle informazioni?

Le modifiche che impattano la sicurezza devono essere pianificate e testate.

Verifica: I cambiamenti con impatto sicurezza sono pianificati e testati prima dell applicazione?

Devono essere considerate procedure di fallback per i casi di errore.

Verifica: Per i cambiamenti sono previste procedure di fallback o rollback?

La conformità ai requisiti di sicurezza deve essere verificata durante e dopo l applicazione delle modifiche.

Verifica: La conformità sicurezza viene verificata durante e dopo i cambiamenti?

L uso delle risorse deve essere monitorato rispetto ai requisiti di capacità attuali.

Verifica: L uso delle risorse viene monitorato rispetto alla capacità attuale?

L uso delle risorse deve essere adeguato rispetto ai requisiti di capacità previsti.

Verifica: Sono previste azioni di adeguamento capacità in base ai fabbisogni futuri?

Le configurazioni di hardware, software, servizi e reti devono essere stabilite.

Verifica: Sono definite le configurazioni attese di hardware, software, servizi e reti?

Le configurazioni, incluse quelle di sicurezza, devono essere documentate.

Verifica: Le configurazioni sono documentate in modo aggiornato?

Le configurazioni definite devono essere attuate sui sistemi interessati.

Verifica: Le configurazioni definite sono applicate sui sistemi interessati?

Le configurazioni devono essere monitorate nel tempo.

Verifica: Le configurazioni vengono monitorate per rilevare deviazioni?

Le configurazioni devono essere riesaminate periodicamente o al cambiamento.

Verifica: Le configurazioni vengono riesaminate periodicamente o dopo cambiamenti significativi?

Per i sistemi informativi e di rete rilevanti devono essere definite configurazioni di riferimento sicure.

Verifica: Sono definite configurazioni di riferimento sicure per i sistemi rilevanti?

Le configurazioni di riferimento sicure devono essere documentate in un elenco aggiornato.

Verifica: Le configurazioni sicure sono documentate in un elenco aggiornato?

Devono essere adottate e documentate procedure per la gestione delle configurazioni di riferimento sicure.

Verifica: Esistono procedure documentate per gestire le configurazioni sicure?

I requisiti di sicurezza delle informazioni per modifiche a organizzazione, processi e sistemi IT devono essere determinati e applicati.

Verifica: I requisiti di sicurezza sono determinati e applicati per i cambiamenti?

Deve essere stabilita una procedura formale di approvazione delle modifiche.

Verifica: Esiste una procedura formale di approvazione dei cambiamenti?

Le modifiche devono essere verificate e valutate per il loro impatto potenziale sulla sicurezza delle informazioni.

Verifica: I cambiamenti vengono valutati per impatto sulla sicurezza delle informazioni?

Le modifiche che impattano la sicurezza devono essere pianificate e testate.

Verifica: I cambiamenti con impatto sicurezza sono pianificati e testati prima dell applicazione?

Devono essere considerate procedure di fallback per i casi di errore.

Verifica: Per i cambiamenti sono previste procedure di fallback o rollback?

La conformità ai requisiti di sicurezza deve essere verificata durante e dopo l applicazione delle modifiche.

Verifica: La conformità sicurezza viene verificata durante e dopo i cambiamenti?

I cambiamenti alle strutture di elaborazione e ai sistemi informativi devono essere gestiti tramite procedure definite.

Verifica: I cambiamenti a sistemi e strutture ICT sono soggetti a una procedura di change management?

La procedura di change management deve essere applicata prima dell introduzione di modifiche rilevanti.

Verifica: La procedura di change management viene applicata prima delle modifiche rilevanti?

Le modifiche devono lasciare evidenza tracciabile di richiesta, valutazione, approvazione ed esecuzione.

Verifica: Ogni modifica rilevante conserva traccia di richiesta, valutazione, approvazione ed esecuzione?

È installato esclusivamente software per cui siano disponibili aggiornamenti di sicurezza, salvo motivate ragioni documentate.

Verifica: Il software installato dispone di aggiornamenti di sicurezza disponibili, salvo eccezioni motivate?

Gli aggiornamenti di sicurezza rilasciati dal produttore devono essere installati senza ingiustificato ritardo.

Verifica: Gli aggiornamenti di sicurezza vengono installati senza ingiustificato ritardo?

L installazione degli aggiornamenti deve essere coerente con il piano di gestione delle vulnerabilità.

Verifica: Gli aggiornamenti sono gestiti in coerenza con il piano di vulnerabilità?

Devono essere adottate e documentate procedure per gestione, sostituzione e rimozione del software.

Verifica: Sono adottate e documentate procedure per mantenere, sostituire e rimuovere software?

Il software critico deve essere verificato in ambiente di test prima dell impiego operativo, salvo eccezioni motivate.

Verifica: Il software critico viene verificato in test prima dell uso in produzione, salvo eccezioni motivate?

Devono essere adottate e documentate procedure per la verifica in test degli aggiornamenti del software critico.

Verifica: Esistono procedure documentate per testare gli aggiornamenti del software critico?

Il software deve essere approvato prima dell installazione o dell uso.

Verifica: Il software viene approvato prima dell installazione o dell uso?

L approvazione software deve considerare eventuali limitazioni per casi d uso o ruoli specifici.

Verifica: Le approvazioni software indicano eventuali limiti di uso o ruolo?

L approvazione software deve considerare la conformità ai requisiti di sicurezza delle informazioni.

Verifica: La conformità ai requisiti di sicurezza è verificata prima di approvare il software?

L approvazione software deve considerare diritti d uso e licenze.

Verifica: Licenze e diritti d uso sono verificati prima dell approvazione software?

L approvazione software deve considerare origine e reputazione del software.

Verifica: Origine e reputazione del software sono valutate prima dell approvazione?

I repository del software gestito devono esistere ed essere protetti contro manipolazioni non autorizzate.

Verifica: I repository software gestiti sono protetti contro manipolazioni non autorizzate?

Le approvazioni software devono essere riesaminate regolarmente.

Verifica: Le approvazioni software vengono riesaminate regolarmente?

Versioni e patch level del software gestito devono essere conosciuti.

Verifica: Versioni e patch level del software gestito sono noti?

I requisiti di sicurezza delle informazioni per modifiche a organizzazione, processi e sistemi IT devono essere determinati e applicati.

Verifica: I requisiti di sicurezza sono determinati e applicati per i cambiamenti?

Deve essere stabilita una procedura formale di approvazione delle modifiche.

Verifica: Esiste una procedura formale di approvazione dei cambiamenti?

Le modifiche devono essere verificate e valutate per il loro impatto potenziale sulla sicurezza delle informazioni.

Verifica: I cambiamenti vengono valutati per impatto sulla sicurezza delle informazioni?

Le modifiche che impattano la sicurezza devono essere pianificate e testate.

Verifica: I cambiamenti con impatto sicurezza sono pianificati e testati prima dell applicazione?

Devono essere considerate procedure di fallback per i casi di errore.

Verifica: Per i cambiamenti sono previste procedure di fallback o rollback?

La conformità ai requisiti di sicurezza deve essere verificata durante e dopo l applicazione delle modifiche.

Verifica: La conformità sicurezza viene verificata durante e dopo i cambiamenti?

L Organizzazione deve attuare procedure per proteggere i diritti di proprietà intellettuale.

Verifica: Sono definite procedure per proteggere i diritti di proprietà intellettuale?

Le procedure devono coprire l uso lecito di software, contenuti, documentazione e altri materiali soggetti a diritti.

Verifica: Le procedure coprono l uso lecito di software, contenuti, documentazione e materiali soggetti a diritti?

L Organizzazione deve identificare i requisiti applicabili in materia di privacy e protezione dei dati personali.

Verifica: Sono identificati i requisiti applicabili in materia di privacy e protezione dei dati personali?

L Organizzazione deve soddisfare i requisiti privacy derivanti da leggi e regolamenti applicabili.

Verifica: I requisiti privacy derivanti da leggi e regolamenti applicabili sono gestiti e soddisfatti?

L Organizzazione deve soddisfare i requisiti privacy e data protection previsti dai contratti applicabili.

Verifica: I requisiti privacy contrattuali applicabili sono gestiti e soddisfatti?

I requisiti legali e contrattuali relativi al trattamento di dati personali devono essere determinati.

Verifica: Sono determinati i requisiti legali e contrattuali sul trattamento dei dati personali?

Le regole per rispettare i requisiti privacy e data protection devono essere definite e note alle persone incaricate.

Verifica: Le regole privacy sono definite e note alle persone incaricate?

I processi e le procedure per proteggere i dati personali devono essere considerati nell ISMS.

Verifica: I processi privacy sono integrati o considerati nel sistema di gestione della sicurezza?

Deve esistere almeno una policy per la protezione dei dati personali.

Verifica: È disponibile almeno una policy per la protezione dei dati personali?

La policy privacy deve essere creata, mantenuta aggiornata e approvata dal management.

Verifica: La policy privacy è creata, aggiornata e approvata dal management?

Deve essere nominato un Data Protection Officer quando richiesto dalla normativa applicabile.

Verifica: È nominato un DPO quando richiesto dalla normativa applicabile?

Se il DPO non è richiesto, deve essere definita una funzione privacy o ruolo comparabile.

Verifica: Se il DPO non è richiesto, esiste una funzione privacy o ruolo equivalente?

I contatti della funzione privacy o del DPO devono essere pubblicati o resi disponibili come appropriato.

Verifica: I contatti della funzione privacy/DPO sono pubblicati o disponibili?

La funzione privacy deve essere integrata nella struttura organizzativa.

Verifica: La funzione privacy è integrata nella struttura organizzativa?

Devono essere documentate attività di controllo, stato privacy e reporting al top management.

Verifica: Sono documentati controlli privacy, stato privacy e reporting al top management?

La funzione privacy deve disporre di capacità, risorse e qualifiche adeguate.

Verifica: La funzione privacy dispone di capacità, risorse e qualifiche adeguate?

Deve esistere un registro aggiornato delle attività di trattamento quando richiesto dalla legge.

Verifica: È disponibile un registro aggiornato delle attività di trattamento quando richiesto?

Le misure tecniche e organizzative richieste devono essere adeguatamente implementate per le attività di trattamento.

Verifica: Le misure tecniche e organizzative sono implementate per le attività di trattamento?

Per le attività di trattamento deve esistere una descrizione di processo o sequenza con responsabilità definite.

Verifica: Le attività di trattamento hanno una descrizione di processo con responsabilità definite?

Le attività di trattamento che richiedono una DPIA devono essere conosciute.

Verifica: Sono note le attività di trattamento che richiedono una DPIA?

Le valutazioni di impatto sulla protezione dei dati devono essere eseguite quando richiesto.

Verifica: Le DPIA vengono eseguite quando richiesto?

Responsabilità, compiti e supporto per le DPIA devono essere definiti e noti.

Verifica: Responsabilità, compiti e supporto per le DPIA sono definiti e noti?

Devono essere implementati processi e workflow appropriati per il trasferimento dei dati.

Verifica: Sono implementati processi e workflow per il trasferimento dei dati?

I trasferimenti devono basarsi su strumenti o presupposti adeguati, come contratti, clausole, TIA o decisioni di adeguatezza quando applicabili.

Verifica: I trasferimenti dati usano basi e strumenti adeguati quando applicabili?

Il diritto di consenso o opposizione del responsabile del subappalto deve essere assicurato quando applicabile.

Verifica: È assicurata la gestione di consenso o opposizione per il subappalto quando applicabile?

Gli obblighi contrattuali verso i clienti devono essere trasferiti a subappaltatori e partner di cooperazione applicabili.

Verifica: Gli obblighi contrattuali privacy sono trasferiti a subappaltatori e partner?

La conformità agli accordi contrattuali dei subappaltatori e partner deve essere verificata.

Verifica: La conformità contrattuale dei subappaltatori e partner viene verificata?

I contatti dei referenti dei subappaltatori devono essere disponibili e aggiornati.

Verifica: I contatti dei referenti dei subappaltatori sono disponibili e aggiornati?

I trasferimenti di dati verso paesi terzi devono essere conosciuti e registrati sistematicamente.

Verifica: I trasferimenti verso paesi terzi sono conosciuti e registrati?

Per i trasferimenti verso paesi terzi devono essere disponibili garanzie sufficienti quando richiesto.

Verifica: Sono disponibili garanzie sufficienti per i trasferimenti verso paesi terzi?

Deve essere determinato se serve il consenso del responsabile per ciascun trasferimento verso paesi terzi.

Verifica: È determinato se serve il consenso del responsabile per i trasferimenti verso paesi terzi?

Le richieste degli interessati devono essere gestite tempestivamente.

Verifica: Le richieste degli interessati sono gestite tempestivamente?

Devono esistere procedure per assistere il titolare nel rispondere alle richieste degli interessati.

Verifica: Esistono procedure per assistere il titolare nella risposta alle richieste degli interessati?

I dipendenti devono sapere di coinvolgere tempestivamente il responsabile competente in caso di richiesta di un interessato.

Verifica: I dipendenti sono istruiti a coinvolgere il responsabile competente in caso di richiesta interessato?

Gli incidenti di protezione dati devono essere gestiti tempestivamente.

Verifica: Gli incidenti di protezione dati sono gestiti tempestivamente?

La gestione degli incidenti deve considerare anche gli incidenti data protection o prevedere un piano dedicato.

Verifica: Il piano incidenti include i data breach o esiste un piano dedicato?

Le procedure devono assicurare notifica immediata alla persona responsabile quando l ordine o trattamento è interessato.

Verifica: Le procedure prevedono notifica immediata al responsabile competente?

Le attività di gestione degli incidenti data protection devono essere documentate.

Verifica: Le attività di gestione degli incidenti data protection sono documentate?

I dipendenti devono essere formati sulle misure e sui processi per incidenti data protection.

Verifica: I dipendenti sono formati sui processi per incidenti data protection?

Deve essere previsto supporto al titolare del trattamento nella gestione degli incidenti data protection.

Verifica: È previsto supporto al titolare nella gestione degli incidenti data protection?

I dipendenti che trattano dati personali devono essere obbligati alla riservatezza anche oltre la durata del rapporto.

Verifica: I dipendenti che trattano dati personali sono vincolati alla riservatezza anche dopo il rapporto?

L obbligo di riservatezza e rispetto delle norme data protection deve essere documentato.

Verifica: L obbligo di riservatezza e data protection è documentato?

I dipendenti devono essere formati e sensibilizzati sulla protezione dei dati.

Verifica: I dipendenti sono formati e sensibilizzati sulla protezione dei dati?

Ambito, frequenza e contenuto della formazione privacy devono essere determinati in base al bisogno di protezione dei dati.

Verifica: Ambito, frequenza e contenuto della formazione privacy sono definiti in base al bisogno di protezione?

I dipendenti in aree critiche devono ricevere istruzioni o formazione specifica per il loro lavoro.

Verifica: I dipendenti in aree critiche ricevono formazione privacy specifica?

Le istruzioni del titolare relative al trattamento dei dati personali devono essere gestite.

Verifica: Le istruzioni del titolare sul trattamento dei dati personali sono gestite?

Le istruzioni ricevute devono essere documentate.

Verifica: Le istruzioni ricevute dal titolare sono documentate?

Devono essere presenti procedure e misure per poter attuare le istruzioni, incluse correzione e cancellazione.

Verifica: Esistono procedure e misure per attuare istruzioni di correzione o cancellazione?

I dati devono essere separati per cliente, ordine o progetto quando richiesto dal rapporto di trattamento.

Verifica: I dati sono separati per cliente, ordine o progetto quando richiesto?

Le informazioni conservate su sistemi, dispositivi o supporti devono essere cancellate quando non sono più necessarie.

Verifica: Le informazioni vengono cancellate da sistemi, dispositivi o supporti quando non sono più necessarie?

La cancellazione deve essere eseguita con modalità coerenti con il supporto e con la sensibilità delle informazioni.

Verifica: Le modalità di cancellazione sono coerenti con il supporto e con la sensibilità delle informazioni?

Per ogni servizio IT esterno deve essere definita e attuata una procedura di restituzione e rimozione sicura degli asset informativi.

Verifica: È definita e attuata una procedura di restituzione e rimozione sicura degli asset informativi dai servizi IT esterni?

Il processo di terminazione dei servizi IT esterni deve essere descritto, mantenuto aggiornato e regolato contrattualmente.

Verifica: Il processo di terminazione dei servizi IT esterni è descritto, aggiornato e contrattualizzato?

Il mascheramento dei dati deve essere utilizzato quando richiesto dalla politica di controllo accessi o da requisiti specifici.

Verifica: Il mascheramento dei dati viene usato quando richiesto da policy o requisiti specifici?

Il mascheramento deve considerare i requisiti di business e di sicurezza applicabili ai dati trattati.

Verifica: Il mascheramento considera i requisiti di business e sicurezza dei dati trattati?

Il mascheramento deve essere coerente con le norme di legge applicabili.

Verifica: Il mascheramento dei dati è coerente con le norme di legge applicabili?

Devono essere applicate misure per prevenire la fuoriuscita di informazioni sensibili dai sistemi.

Verifica: Sono applicate misure per prevenire la fuoriuscita di informazioni sensibili dai sistemi?

Le misure di prevenzione della fuoriuscita di dati devono coprire reti e dispositivi che elaborano, memorizzano o trasmettono informazioni sensibili.

Verifica: Le misure anti-leakage coprono reti e dispositivi che trattano informazioni sensibili?

Le misure anti-leakage devono essere commisurate alla sensibilità delle informazioni trattate.

Verifica: Le misure anti-leakage sono commisurate alla sensibilità delle informazioni trattate?

Devono essere definite regole per l uso efficace della crittografia.

Verifica: Sono definite regole per l uso della crittografia?