Un attacco non è una colpa.
Non essere preparati è una responsabilità.
Una sola piattaforma che tiene insieme GRC — Governance, Risk & Compliance, cybersecurity e protezione dei dati. I framework non si valutano soltanto: si attuano, ognuno con il proprio registro dei requisiti, la gap analysis, gli audit interni, il riesame di direzione e le non conformità — e con i ponti che li tengono insieme, perché un rischio censito nella ISO 9001 finisce nel Registro Rischi dell'ente e non in un secondo registro parallelo.
On-premise Cloud La stessa applicazione, installata dove decide l'ente.
Premessa
Un progetto senza finalità commerciali, pensato per tutte le Pubbliche Amministrazioni e installabile sia on-premise sia in cloud.
La trasformazione digitale della Pubblica Amministrazione ha reso sempre più centrale la necessità di garantire un'efficace tutela dei dati personali e un adeguato livello di cybersicurezza. In questo contesto, la diffusione di una cultura della privacy, della sicurezza delle informazioni e della gestione del rischio rappresenta un fattore essenziale per assicurare la qualità dei servizi pubblici e la protezione del patrimonio informativo delle amministrazioni.
Questa esigenza riguarda tutte le Pubbliche Amministrazioni, di ogni livello e di qualunque dimensione, chiamate ad affrontare adempimenti normativi e organizzativi sempre più numerosi e tra loro intrecciati, che richiedono metodo, continuità e strumenti adeguati. Da questa consapevolezza nasce AuditManagement, un'applicazione sviluppata per offrire un concreto supporto a ogni amministrazione nel percorso di miglioramento della propria organizzazione in materia di privacy e cybersicurezza.
L'iniziativa non persegue finalità commerciali, ma nasce esclusivamente con l'intento di contribuire alla diffusione della cultura della conformità normativa, della responsabilizzazione organizzativa e della gestione del rischio informatico, mettendo a disposizione uno strumento semplice, intuitivo e facilmente accessibile.
AuditManagement supporta la gestione strutturata delle attività di audit e di controllo, consentendo di pianificare e documentare le verifiche, monitorare gli adempimenti previsti dalla normativa, gestire le azioni correttive e disporre di una reportistica utile a supportare i processi decisionali e il miglioramento continuo. L'applicazione favorisce un approccio sistematico alla governance della privacy e della cybersicurezza, contribuendo a trasformare gli obblighi normativi in un'opportunità di crescita organizzativa.
Si installa on-premise o in cloud: la scelta è dell'amministrazione
Sui server dell'ente, nella propria sala macchine o nella rete locale: il database resta fisicamente in sede.
In un data center sotto il controllo dell'amministrazione, raggiungibile via browser da ogni sede; una sola installazione può servire più enti, con i dati isolati per ciascuno.
In entrambi i casi è la stessa applicazione, con le stesse funzioni, nel pieno rispetto della normativa vigente in materia di protezione dei dati personali e, in particolare, del Regolamento (UE) 2016/679 (GDPR).
L'auspicio è che questo progetto possa rappresentare un punto di riferimento per ogni amministrazione pubblica, aiutandola a sviluppare una maggiore consapevolezza dei rischi, a rafforzare i propri processi organizzativi e a promuovere una gestione sempre più efficace della protezione dei dati personali e della sicurezza delle informazioni, a beneficio dei cittadini e dell'intera collettività.
Costruito sugli standard che la PA deve rispettare
GRC · Governance, Risk & Compliance
GRC non è la somma di tre uffici che lavorano su tre fogli di calcolo. È il modello che assiste l'organizzazione in tre movimenti che si reggono a vicenda: allineare gli obiettivi con le decisioni e le responsabilità che li realizzano, gestire i rischi che possono impedirli, assicurare il rispetto delle norme esterne e delle regole che l'ente si è dato. Audit Management è quel modello reso operativo: un solo modello dati, un solo registro dei rischi, un solo insieme di controlli.
Chi decide, chi risponde, con quale mandato e con quali risorse. La scelta del framework fra venti a catalogo, la matrice RACI sui controlli, il ciclo di vita delle policy — dalla bozza alla presa visione nominale — e i cruscotti componibili con cui la direzione guarda ciò che deve decidere.
Il rischio su tre livelli distinti e un registro solo: dell'ente con la ISO 31000, di progetto con PRINCE2 7ª ed., tecnico con le vulnerabilità e il CVSS. Tredici moduli vi confluiscono con ponti espliciti — il rischio nato in una gap analysis è lo stesso che la direzione vede nel Registro Rischi.
Ciò che si subisce — NIS 2, Legge 90/2024, AI Act, CAD, GDPR — e ciò che si adotta — le norme ISO certificabili. Ogni obbligo diventa un requisito verificabile con evidenza, titolare e scadenza; e la conformità si misura sullo stato netto, distinguendo «non conforme» da «mai valutato».
L'integrazione, in concreto
Una sola piattaforma
Governance & Risk, Cybersecurity, Privacy e Compliance non sono più silos separati su fogli Excel. Audit Management li unifica in un unico modello dati, con tracciabilità totale e multi-tenant nativo per gestire più enti dalla stessa console.
Il rischio su tre livelli distinti: dell'ente con la ISO 31000, di progetto con PRINCE2 7ª ed., tecnico con le vulnerabilità. Più i framework di governance — COBIT 2019, TOGAF 10, NIST CSF 2.0 — con capability 0-5, gap analysis e matrice RACI.
Un vero Security Operations Center, e sopra di esso il livello che dice che cosa insegna l'incidente: quale controllo non ha retto, quale rischio si è materializzato, quale vulnerabilità era già nota e non sanata. Con NIS 2 e Legge 90/2024 gestite per intero.
Registro dei Trattamenti ex Art. 30, DPIA e FRIA per i sistemi di IA ad alto rischio, ruoli privacy (responsabili, autorizzati, designati) e informative. E accanto l'AI Act gestito per intero, con la classificazione motivata di ogni sistema e i tre termini di notifica dell'art. 73. Lo strumento operativo del DPO.
Campagne di audit su 5 librerie di controlli, evidenze, KPI, rilievi e remediation — e ogni framework installabile come vero gruppo di controlli, che eredita valutazioni, maturità, RACI ed evidenze già esistenti. 18 documenti Word in un click.
Copertura normativa
«Gestito per intero» ha un significato preciso e verificabile: il modulo ha il catalogo della norma, un registro dei requisiti dell'ente con titolare ed evidenza, la gap analysis con rollup a stato netto, gli audit, il riesame, le non conformità e la possibilità di installarlo come vero gruppo di controlli di audit. Non una scheda da compilare: un sistema di gestione che si attua.
Stessa ossatura — clausole 4-10 nella Struttura Armonizzata — quindi confrontabili clausola per clausola: chi ha già una di queste norme ne ha già soddisfatta gran parte per le altre, e il modulo dice quale.
SGSI, Dichiarazione di Applicabilità sui 93 controlli dell'Annex A, audit interni, riesame, formazione, continuità e documentale.
Si certifica il sistema di gestione dentro il suo perimetro, non l'ente in quanto tale né i singoli controlli: la Dichiarazione di Applicabilità dice quali controlli dell'Annex A ne fanno parte e perché.
Legge il Registro Rischi, le risorse, gli incidenti, i fornitori e il personale dell'ente invece di duplicarli; fonte per ISO 22301, ISO/IEC 27035, CCF e corrispondenze.
SGQ con l'approccio per processi, requisiti dei servizi, progettazione, rischi e opportunità, reclami e non conformità — 8.7 e 10.2 distinte.
Si certifica il sistema con cui l'ente governa i processi nel perimetro, non la qualità di ogni singolo servizio erogato.
Satelliti sui registri di processi e fornitori; ponte verso Registro Rischi e obiettivi.
CMS con il registro degli obblighi, i rischi di non conformità, i controlli con test di efficacia e le segnalazioni ex D.Lgs. 24/2023.
È una norma di requisiti e per questo si certifica: la ISO 19600, che ha sostituito, era una guida e non lo consentiva.
Ponti espliciti: segnalazione fondata → non conformità, rilievo → non conformità, rischio → Registro Rischi.
AIMS con la SoA che pretende la motivazione di ogni scelta e la valutazione d'impatto che guarda anche le conseguenze sulla società.
La certificazione NON dà presunzione di conformità all'AI Act: non è una norma armonizzata ai sensi dell'art. 40 del Regolamento, e governa il rischio per l'organizzazione mentre l'AI Act guarda quello per le persone.
Condivide l'inventario con AI Act e ISO/IEC 23894; clausole 4-10 equivalenti a ISO/IEC 27001, ISO 9001 e ISO 37301.
BCMS con le attività prioritarie, le strategie della clausola 8.3 e il programma di esercitazione. Il vincolo RTO < MTPD lo verifica il motore.
Si certifica il sistema di gestione, non la tenuta dei piani: quella la dicono soltanto le prove, misurate contro i tempi di ripresa dichiarati.
Legge BIA, piani e prove del SGSI senza duplicarli; 10.1 (non conformità) e 10.2 (miglioramento) mappate correttamente sulle altre norme.
Qui il testo normativo è verbatim, ed è lecito: gli atti ufficiali dello Stato e dell'Unione non sono protetti dal diritto d'autore. I termini non si scrivono a mano — si calcolano, in ora locale, dal fatto da cui la norma li fa decorrere.
Ambito soggettivo con le tre porte, perimetro dei servizi, notifica a 24 e 72 ore dal medesimo istante, piano di adeguamento e organi dell'art. 23.
Non si certifica: si adempie. Nessuna certificazione volontaria sostituisce gli obblighi del decreto, e la verifica la fa l'autorità con ispezioni e sanzioni.
Satellite dei registri incidenti, servizi, risorse e fornitori; ponte verso i data breach.
Registro per sistema × ruolo: il denominatore si deriva dall'inventario. Classificazione motivata, sorveglianza umana, tre termini dell'art. 73.
L'ente non si certifica. Per i sistemi ad alto rischio è il FORNITORE a svolgere la valutazione di conformità (art. 43) e ad apporre la marcatura CE; l'amministrazione che li utilizza ha obblighi propri, dalla sorveglianza umana alla valutazione d'impatto sui diritti fondamentali.
Usa l'inventario condiviso con ISO/IEC 42001; incidenti come satellite del registro dell'ente.
Si applica a tutte le PA senza soglie, quindi il perno è il perimetro dei servizi. Le Linee guida AgID sono vincolanti ex art. 71.
Non si certifica e non ha soglie: si applica a ogni pubblica amministrazione, e le Linee guida AgID adottate ai sensi dell'art. 71 sono vincolanti, non raccomandazioni.
Satellite del registro dei processi e servizi; mappato su ISO/IEC 27001, ISO 9001, ISO 22301, NIS 2 e legge 4/2004.
Ambito determinato e conservato anche quando l'esito è negativo. Segnalazione entro 24 ore, notifica entro 72, esimente a forma vincolata.
Non si certifica: si adempie. Solo pochi articoli generano adempimenti per le amministrazioni; gli altri modificano il codice penale o disciplinano l'Agenzia.
Incidenti, risorse, fornitori e contratti sono quelli dell'ente; audit e rilievi propri.
Il verbo è «should» e «siamo conformi alla ISO 31000» è una frase che non si può dire: per questo il registro non misura una conformità ma l'adozione, e la differenza è strutturale, non lessicale. Sono l'impianto che le norme certificabili danno per scontato senza definirlo.
L'impianto che la 27001, la 42001, la NIS 2, l'art. 9 dell'AI Act e il PNA dell'ANAC pretendono e nessuno definisce. L'evidenza si ricava dai registri che l'ente ha già.
Lo dice la norma stessa al § 1: non è destinata alla certificazione. Per un Comune è comunque di fatto obbligatoria, perché l'ANAC la adotta come metodo per il rischio corruttivo.
È il metodo del Registro Rischi in cui confluiscono tredici moduli, con la metodologia dell'ente e non una scala per modulo.
La clausola 9.2 di tutte le norme impone audit interni e nessuna spiega come. Qui l'imparzialità si calcola sulle responsabilità effettive, non si dichiara.
È la guida per condurre gli audit, non una norma di requisiti. Gli audit con cui un organismo rilascia un certificato seguono la ISO/IEC 17021-1, che è un'altra norma.
Legge gli audit di ISO/IEC 27001, 9001, 37301, 42001, NIS 2 e Legge 90; gli auditor sono le persone dell'organigramma.
La ISO 31000 applicata all'intelligenza artificiale, con la stessa numerazione: ciò che si dichiara è il delta, cioè che cosa l'IA cambia in quel punto.
È una guida: il verbo è «should» e gli Allegati A, B e C sono informativi. «Conformi alla ISO/IEC 23894» non si può dire; si può dire di averla adottata.
Lavora sull'inventario dei sistemi di IA e sul registro dei rischi IA della ISO/IEC 42001.
Il come dei controlli A.5.24-A.5.28. Punto di contatto unico, squadra con la concentrazione calcolata, recapiti verificati, MTTD e MTTR mai fusi.
È una famiglia di guide in più parti. Ciò che si certifica è il SGSI, di cui spiega come attuare i controlli A.5.24-A.5.28 della ISO/IEC 27001.
Legge il registro incidenti e l'Incident Management; i ruoli della squadra alimentano le Linee guida ACN.
Non è più il ciclo in quattro fasi: è un profilo di comunità del CSF 2.0, con la priorità di ogni outcome nel contesto della risposta. Gli outcome si leggono dal Profilo Cyber, si valutano le raccomandazioni.
Raccomandazioni del NIST («should»): nessun organismo certifica un'organizzazione «SP 800-61». Per le agenzie federali USA la vincolatività viene da FISMA; per un Comune italiano è volontaria, ma è la base dichiarata delle Linee guida ACN sulla gestione degli incidenti (art. 14-bis CAD).
Base dichiarata delle Linee guida ACN; 430 corrispondenze verso nove fonti.
Il modello di processo dell'ACN per i soggetti del CAD: cinque fasi, procedure e playbook. Le procedure sono documenti del documentale, i ruoli si leggono dalla squadra di risposta.
Linee guida dell'ACN per i soggetti dell'art. 2, comma 2, del CAD: un modello di processo con procedure e playbook, non un requisito certificabile. Non sono le Linee guida AgID dell'art. 71: il testo non si dichiara vincolante, e gli obblighi di notifica restano quelli di NIS 2 e Legge 90/2024.
Documenti, playbook e squadra sono quelli dell'ente; gli obblighi di notifica restano quelli di NIS 2 e Legge 90.
Non sistemi di gestione permanenti ma i modelli con cui si governa l'ICT, si progetta l'architettura, si conduce un progetto e si misura la postura di sicurezza.
Catalogo generato dall'OSCAL ufficiale del NIST. Due livelli — organizzazione e sistema —, FIPS 199 con l'high water mark, FIPS 200, baseline, tailoring, ODP, POA&M, ATO e ConMon.
È un catalogo di controlli, non uno standard certificabile: nel contesto federale statunitense un sistema riceve un'autorizzazione all'esercizio (ATO) secondo la SP 800-37, rilasciata dall'organizzazione stessa.
Crosswalk verso CSF, ISO/IEC 27001 e le altre norme; dossier del controllo con tutto ciò che lo riguarda.
Design del sistema di governance dagli 11 fattori, con i contributi che spiegano il punteggio. Capability 0-5 con la regola ISO/IEC 33020: i livelli non si saltano.
L'ente non si certifica «COBIT»: si valuta la capability dei processi, qui con la regola ISO/IEC 33020.
Installabile come gruppo di controlli di audit; mappato su 800-53, ISO/IEC 27001 e le altre norme.
L'unico il cui perno è la campagna: l'EA si esercita per iterazioni dell'ADM. Il tailoring pretende la motivazione e non abbassa il punteggio.
TOGAF non si applica, si adatta: si verifica la conformità architetturale delle iterazioni, non si certifica l'ente.
Allineato ai riferimenti della PA: Piano Triennale AgID e Modello di Interoperabilità.
Il profilo è una versione con il suo snapshot: le valutazioni reggono anche se il catalogo cambia. Sette funzioni, tier e divario per funzione.
È un quadro volontario per descrivere e migliorare la postura di cybersicurezza: il NIST non certifica nessuno, al più si fa valutare il profilo da terzi.
Riceve le priorità della risposta agli incidenti dalla SP 800-61r3; fonte delle misure ACN della NIS 2.
L'unico che governa un'organizzazione temporanea: nessun rischio senza progetto. Rischio manifestato → questione; oltre tolleranza → eccezione.
Si certificano le persone, non l'ente: nell'ente si verifica progetto per progetto l'aderenza ai sette principi, che non sono adattabili.
Alla chiusura, i rischi che vanno oltre il progetto passano al Registro Rischi dell'ente.
Cinque librerie di controlli pronte all'uso
Ogni controllo valutato su una scala di maturità
Le scale sono configurabili: oltre ai modelli NIST CSF, COBIT e ISO già pronti, l'ente costruisce le proprie con etichette, descrizioni e colori.
CCF · Common Control Framework
È il livello che rende sostenibile l'adozione di più norme insieme, e senza il quale ogni standard aggiunto moltiplica il lavoro invece di riusarlo.
Senza controlli comuni
«Le copie di sicurezza sono provate in ripristino»
Una misura sola, quattro verifiche, quattro fascicoli di evidenze e quattro date di scadenza che divergono.
Con il CCF
BCM-04 «Le copie di sicurezza sono provate in ripristino»
Un solo controllo nel registro dell'ente, con il suo titolare, la sua domanda di audit, il suo criterio di conformità e la sua data di verifica. I quattro requisiti gli sono mappati: si esegue il test una volta e l'esito li soddisfa tutti.
test once, satisfy many — in media 10 requisiti per ogni controllo comune
Quanto di ciascuna norma il registro comune presidia
| Standard | Mappature | Requisiti raggiunti | Copertura |
|---|---|---|---|
| NIST SP 800-53 Rev. 5 | 260 | 157 | |
| COBIT 2019 | 213 | 149 | |
| ISO/IEC 27001:2022 | 187 | 109 | |
| NIS 2 — D.Lgs. 138/2024 | 163 | 135 | |
| AI Act — Reg. (UE) 2024/1689 | 143 | 92 | |
| EN ISO/IEC 42001:2026 | 130 | 65 | |
| NIST CSF 2.0 | 114 | 67 | |
| ISO 22301:2019 | 76 | 45 | |
| ISO/IEC 27035 | 74 | 35 | |
| ISO 9001:2015 | 73 | 47 | |
| CAD — D.Lgs. 82/2005 | 67 | 41 | |
| TOGAF 10 | 59 | 48 | |
| NIST SP 800-61r3 — risposta agli incidenti | 56 | 54 | |
| Linee guida ACN — gestione degli incidenti | 52 | 46 | |
| EN ISO/IEC 23894:2024 | 49 | 25 | |
| ISO 31000:2018 | 34 | 22 | |
| ISO 37301:2021 | 34 | 29 | |
| Legge 90/2024 | 33 | 18 | |
| ISO 19011:2018 | 28 | 25 |
⚠️ PRINCE2 non è mappabile, e non è una dimenticanza: vive dentro un progetto — organizzazione temporanea che nasce e muore con esso — e un controllo comune permanente non può soddisfare in modo stabile un requisito che alla chiusura scompare. L'aderenza al metodo si verifica per progetto.
Una mappatura vale piena, parziale o di supporto. Due parziali chiudono un requisito; un controllo di supporto non lo chiude mai, per quanti ce ne siano. Senza il peso, «coperto» non distinguerebbe una copertura reale da una nominale.
Sono due colonne distinte. Una procedura di backup attiva da tre anni può non essere mai stata provata in ripristino: il controllo è attuato, la sua efficacia è ignota. L'efficacia non si dichiara a mano: la scrive solo l'esito di un test.
La concentrazione è ciò che fa risparmiare, ed è anche ciò che fa cadere insieme dodici requisiti quando il test di un controllo scade. Il cruscotto apre dichiarando quanti requisiti restano scoperti per i test in ritardo, non quanti test sono scaduti.
Lo stato calcolato dal CCF si riporta nelle gap analysis delle norme, ma sempre in anteprima, senza declassare ciò che è già più alto e senza toccare i valori deliberati. Chi valuta la conformità resta il responsabile di quel sistema di gestione.
I 23 domini del registro comune
Il livello sopra i moduli
È la domanda che manca proprio nel momento in cui si sceglie uno standard, e a cui nessun modulo può rispondere da solo. La matrice incrocia le diciannove norme due a due; ogni riga dice quanto e perché, e il confronto scende fino al singolo requisito.
Funzionalità · Versione 13.5.0
I framework non si valutano soltanto: si attuano, ognuno con il proprio registro dei requisiti, la gap analysis, gli audit, il riesame di direzione e le non conformità — e con i ponti che li tengono insieme, perché un rischio censito nella ISO 9001 finisce nel Registro Rischi dell'ente, non in un secondo registro parallelo. Sopra tutti sta il livello che dice quanto un'adozione ne copre altre: 12.685 corrispondenze su 192 coppie di norme.
Con oltre 270 destinazioni, il problema non è mostrarle: è raggiungerle. La Home offre preferiti e recenti per chi sa già dove andare, la ricerca da tastiera della barra in alto per chi non sa dov'è, e una colonna di navigazione con un gruppo per volta per chi sta esplorando. E si apre senza nulla di selezionato: al centro c'è il riepilogo dell'ente — che cosa richiede attenzione ora, e come sta ciascun modulo.
Il rischio dell'ente con la ISO 31000 (principi, struttura di riferimento, processo in otto attività), il rischio di progetto con PRINCE2 7ª ed. e il rischio tecnico con le vulnerabilità. Il Registro non si compila da zero: si istanzia dal Playbook dei rischi ICT, 175 rischi tipici della PA in 18 domini, e tredici moduli vi confluiscono con la metodologia dell'ente, non con una scala propria.
NIST SP 800-53 Rev. 5 con il ciclo RMF, COBIT 2019 con la capability ISO/IEC 33020, TOGAF 10 per iterazioni dell'ADM, NIS 2 (D.Lgs. 138/2024), Legge 90/2024 e CAD (D.Lgs. 82/2005): moduli che determinano l'ambito soggettivo, calcolano i termini in ora locale e producono il piano di adeguamento — non schede da compilare.
La stessa ossatura, confrontabile clausola per clausola: ISO/IEC 27001:2022 (SGSI e SoA), ISO 9001:2015 (65 requisiti su quattro livelli), ISO 37301:2021 (compliance e segnalazioni), EN ISO/IEC 42001:2026 (sistema di gestione per l'IA) e ISO 22301:2019 (continuità operativa, con il vincolo RTO < MTPD verificato dal motore). Chi ha già una di queste norme ne ha soddisfatta gran parte per le altre — e il modulo dice quale.
Non sono certificabili, e il registro non dice «conforme» ma adottata. ISO 31000:2018 è l'impianto del rischio che le altre pretendono e nessuna definisce; ISO 19011:2018 è il metodo degli audit interni, con l'imparzialità calcolata; EN ISO/IEC 23894:2024 è la ISO 31000 applicata all'IA; ISO/IEC 27035 è il come della gestione degli incidenti, con squadra, recapiti verificati e MTTD e MTTR mai fusi; la NIST SP 800-61r3 e le Linee guida ACN portano la risposta agli incidenti nel profilo CSF e nel modello di processo della PA.
L'inventario dei sistemi di IA è uno solo e lo pretende l'AI Act a prescindere da ogni certificazione. Su di esso lavorano tre moduli: EN ISO/IEC 42001:2026 (il sistema di gestione, con la SoA che pretende la motivazione di ogni scelta e la valutazione d'impatto che guarda anche le conseguenze sulla società), EN ISO/IEC 23894:2024 (il metodo, con la valutazione sui suoi undici obiettivi) e l'AI Act — Reg. (UE) 2024/1689, che non è una norma volontaria: il suo registro non è per ente ma per sistema × ruolo, e il denominatore degli adempimenti si deriva dall'inventario invece di essere dichiarato. «Non abbiamo sistemi ad alto rischio» non è una risposta: il divieto dell'art. 5 e l'alfabetizzazione dell'art. 4 valgono dal 2 febbraio 2025 per chiunque usi l'IA. E per le autorità pubbliche non c'è grandfathering: l'adeguamento è dovuto entro il 2 agosto 2030.
Un ente che adotta quattro standard finirebbe per presidiare e verificare tre volte la stessa cosa: «le copie di sicurezza sono provate in ripristino» è A.8.13 per la ISO 27001, PR.DS-11 per la NIS 2, CP-9 per l'800-53. Il Common Control Framework è un unico registro di controlli interni — 23 domini, 173 controlli, 1.845 mappature verso 19 standard — su cui i requisiti convergono: si verifica il controllo una volta e l'esito soddisfa tutti i requisiti mappati, in media dieci per controllo. Si parte da dieci profili già composti (cybersecurity, NIS 2, AI Act, privacy, qualità, progetti…) e li si adatta.
Ogni norma ha la propria sezione Corrispondenze, e sopra tutte c'è la matrice N×N delle diciannove: quanto la ISO/IEC 27001 copre della NIS 2, che cosa la 42001 chiude dell'AI Act, dove il COBIT e l'800-53 dicono la stessa cosa. Sono 3.410 corrispondenze dichiarate — ragionate, con il grado di copertura e la nota che spiega perché le due norme si toccano — più 10.319 derivate dai controlli comuni: due requisiti agganciati allo stesso presidio sono corrispondenti di fatto. Ogni arco dichiara da dove viene, e l'ente può aggiungerne, riqualificarne o escluderne con motivazione — senza che il catalogo venga mai sovrascritto.
Scrivere la regola non basta: va approvata, pubblicata, portata a chi deve applicarla — e in audit bisogna dimostrare chi l'ha letta e su quale versione. Il ciclo di vita è una macchina a stati, dove approvato non vuol dire in vigore. La presa visione è nominale e congelata sulla versione distribuita; i solleciti restano tracciati anche senza posta configurata.
Accanto al registro degli incidenti, il livello delle conseguenze dice che cosa ci insegnano: quale controllo non ha retto, quale rischio si è materializzato, quale regola è stata violata e quale vulnerabilità era già nota e non sanata. Correzione e azione correttiva restano distinte; e sette phishing in tre mesi diventano un gruppo: sette incidenti chiusi correttamente e una formazione che non funziona.
Le azioni delle norme restano dove la norma le vuole, e accanto vive la loro faccia operativa: chi lo fa, entro quando, a che punto è. 83 generatori su 27 moduli trasformano in task il lavoro già aperto; il task si consegna (affidato → preso in carico → evaso → verificato), si rifiuta con motivo, si affida a un ufficio — e non si chiude con una spunta muta: servono un esito e la descrizione di che cosa è stato fatto.
Un catalogo di 174 metriche e 22 serie, ognuna con la propria area di permesso: si compone il proprio cruscotto scegliendo le caselle, non scrivendo SQL. Sei cruscotti predefiniti — Direzionale, Conformità dei Framework, Adempimenti, Terze parti, Operativo, Persone — che si duplicano e si adattano. Ogni modulo apre con il proprio cruscotto, e lo stesso catalogo costruisce il riepilogo della Home.
Chi ha in mente il fornitore o la delibera non deve indovinare il modulo giusto. La casella in alto (Ctrl/⌘+K) cerca insieme le sezioni del menu e i contenuti di 21 registri, ordinati per pertinenza. Ogni sorgente dichiara la propria area di permesso e non viene nemmeno interrogata se non la si ha: ciò che non si è potuto cercare viene dichiarato.
La Mappa dell'Applicazione mostra le 274 sezioni in cinque fasce e i ponti fra i moduli — e su ogni nodo il numero vero dell'ente: quali registri sono popolati e quali framework sono avviati. La Mappa dei Flussi scende al singolo blocco e dice dove finisce ciò che vi si scrive, con la catena dell'impatto su più salti.
Prima di scegliere: che cosa è (certificabile, obbligo di legge, guida, metodo), che cosa si certifica davvero — l'ente, le persone o il sistema —, a chi si applica e che cosa comporta l'inadempienza. L'adozione si registra con cinque stati espliciti e con l'edizione su cui l'ente lavora, compresa la migrazione fra due edizioni con il suo termine.
Ogni framework può diventare un vero gruppo di controlli di audit, con la propria campagna: eredita valutazioni, maturità, RACI, KPI, evidenze e report. La scheda di ogni controllo dice dove si trova — framework, gruppo, area, sezione e campagne — e la rimozione non cancella in silenzio il lavoro di audit: elenca le valutazioni che si perderebbero e chiede conferma.
I 1196 controlli dell'800-53 sono generati dall'OSCAL del NIST; le 43 misure e i 116 requisiti NIS 2 dagli allegati tecnici dell'ACN, con validazione automatica sulla guida alla lettura. Quando la fonte cambia, il catalogo si rigenera invece di divergere.
Composti dai registri dell'ente al momento in cui si preme il tasto: Report Ente, Programma GRC, Manuale del SGSI, Dichiarazione di Applicabilità, Rapporto di audit, Riesame della direzione, Politiche, DPIA, FRIA, Registro dei Trattamenti e Registro Data Breach. Pronti per firma e protocollo.
Chi si collega e chi lavora nel Comune sono due registri diversi: l'account è m.rossi con la posta personale, la persona in organigramma porta la casella del settore. L'associazione è un dato dichiarato — l'accostamento per email resta un suggerimento da confermare —, così «I miei task» sa sempre a chi arriva il lavoro.
Il tasto «Guida», F1 e i «?» accanto ai numeri aprono la spiegazione della schermata che si ha davanti, sezione per sezione; le Domande Frequenti rispondono a ciò che attraversa i moduli. Guida e FAQ si scrivono dall'interfaccia con un editor visuale, e l'ente vi aggiunge le proprie note.
La NIST SP 800-61r3 dà a ogni outcome del CSF la sua priorità nella risposta, e l'applicazione la porta nel Profilo Cyber senza mai abbassarla. Le Linee guida ACN ne fanno un processo in cinque fasi: le procedure sono documenti del documentale, i ruoli vengono dalla squadra ISO/IEC 27035, ogni attività ha la sua RACI con un solo responsabile ultimo, e i playbook coprono le cinque categorie dell'Appendice C.
Le schede dicono a che cosa un oggetto punta; «Richiamato da» dice chi lo richiama: il fornitore citato da contratti, incidenti, rischi, trattamenti e valutazioni; la persona che ne risponde in mezza applicazione. È ricavato dallo schema, raggruppato per modulo e per ruolo del legame, e ogni riga porta alla schermata che la mostra. Ciò che non si può leggere si dichiara, senza conteggi.
Ogni norma installata fra i controlli di audit ha la sua provenienza — chi e quando — e si può nascondere senza perdere nulla, ripristinare o rimuovere. La rimozione dichiara prima le valutazioni che si perderebbero e chiede conferma; la NIST SP 800-53 ammette più installazioni e il cambio di baseline per differenza, con anteprima.
Dentro la piattaforma
Dieci funzioni che reggono il lavoro di ogni giorno, con la schermata reale del prodotto — la stessa che esplori nella Demo Live. La descrizione completa di tutte le altre è più sotto, sezione per sezione.
Siamo in regola, che rischi corriamo, che cosa è successo, chi ci sta lavorando. Un cruscotto che non si programma: si compone scegliendo le caselle da un catalogo di metriche, e ogni casella dichiara la propria area di permesso.
Incidenti, data breach e notifiche normative monitorati in un'unica sala di controllo, con soglia delle 72 ore GDPR, coda dei breach in scadenza e indicatori MTTR/MTTD. E sopra, il livello che collega l'incidente a ciò che ha chiamato in causa.
Ogni norma chiama in modo diverso la stessa cosa: «conforme», «attuato», «adempiuto», «presidiato», «efficace». Il confronto le normalizza in un punto solo — e distingue «mai valutato» da «non conforme», perché sono due decisioni diverse.
Non un filtro dell'elenco, ma la risposta divisa per gesto richiesto: accettare, proseguire, rivendicare dall'ufficio, verificare ciò che hai affidato, riaffidare ciò che è tornato indietro. La consegna è un secondo asse e non tocca lo stato del lavoro.
Ogni trattamento con titolare, responsabile, finalità, basi giuridiche, livello di rischio e collegamento ad asset, processi e DPIA. Import da Excel e governance completa per il DPO.
Il rischio inerente e residuo sulla matrice che l'ente ha scelto, con titolare, trattamento e riesame a scadenza. Tredici moduli vi scrivono con ponti espliciti — dalla gap analysis, dall'incidente, dal progetto — e il Registro si istanzia dal Playbook dei rischi ICT invece di partire da zero.
Il codice CVE si importa dalle fonti pubbliche — NVD, catalogo KEV della CISA, EPSS — con la proposta campo per campo che l'ente accetta o scarta. La scheda segue un ciclo di vita in cinque fasi con guardie: non si chiude senza verifica, non si accetta il rischio senza motivazione e approvatore, e lo SLA corre fino alla risoluzione.
Bozza, approvazione, pubblicazione, distribuzione: una macchina a stati in cui approvato non vuol dire in vigore. La distribuzione congela la versione, il pubblico si risolve in anteprima per unità e ruoli, e ogni destinatario lascia la propria presa visione — con solleciti tracciati anche senza posta configurata.
Certificabile, obbligo di legge, guida o metodo: per ogni framework la natura, che cosa si certifica davvero — l'ente, le persone, il sistema —, a chi si applica e che cosa comporta l'inadempienza. Accanto, la situazione dell'ente: adozione, edizione, postura e installazioni.
I 93 controlli dell'Annex A con inclusione, esclusione e motivazione, lo stato di attuazione e il collegamento al controllo di audit installato. Il testo di ogni controllo è uno snapshot: una revisione del catalogo non riscrive ciò che l'ente ha già dichiarato.
Tutto incluso · ogni funzione, una per una
Qui sotto c'è il menu completo del prodotto — gli stessi gruppi, le stesse sottosezioni e le stesse voci che si trovano nella Demo Live, nello stesso ordine —, con la descrizione di ciò che ciascuna schermata fa. Apri un gruppo per leggerne le funzioni; i cruscotti, che aprono ogni modulo, sono evidenziati. Ogni voce ha un permesso proprio, assegnabile per ruolo.
16 gruppi · 287 funzioni, con la descrizione che l'applicazione stessa mostra nel menu.
Le aree di controllo sono quelle che l'ente configura o installa: ciascuna con il proprio colore, i propri controlli e le proprie valutazioni.
Il processo dell'ente: principi e struttura, contesto e criteri, valutazione, trattamento e monitoraggio
Il rischio dentro il progetto: business case, tolleranze, escalation per eccezione e questioni
Ciclo ADM, repository architetturale e governance dell'architettura
Ciclo ADM, repository architetturale e governance dell'architettura
Catalogo dei controlli e ciclo di vita RMF (SP 800-37) dei sistemi
Catalogo dei controlli e ciclo di vita RMF (SP 800-37) dei sistemi
Catalogo dei controlli e ciclo di vita RMF (SP 800-37) dei sistemi
40 obiettivi di governance e gestione, design su misura e capability 0-5
40 obiettivi di governance e gestione, design su misura e capability 0-5
40 obiettivi di governance e gestione, design su misura e capability 0-5
Le 6 funzioni e i loro outcome: profilo attuale, profilo obiettivo e tier di implementazione
Profilo di comunità del CSF 2.0: la priorità di ogni outcome per la risposta e le raccomandazioni del NIST. Sostituisce la Rev. 2 e il suo ciclo in quattro fasi, ed è la base delle Linee guida ACN sulla gestione degli incidenti
Le cinque fasi del processo, le procedure dell'Appendice B nel documentale, la matrice RACI sui ruoli della squadra di risposta e i playbook nel formato standard
Perimetro NIS, misure di sicurezza di base dell'ACN, notifica in 24 e 72 ore, responsabilità degli organi
Perimetro NIS, misure di sicurezza di base dell'ACN, notifica in 24 e 72 ore, responsabilità degli organi
Perimetro NIS, misure di sicurezza di base dell'ACN, notifica in 24 e 72 ore, responsabilità degli organi
Obblighi di legge: notifica in 24 e 72 ore, quindici giorni per le segnalazioni ACN, struttura e referente
Obblighi di legge: notifica in 24 e 72 ore, quindici giorni per le segnalazioni ACN, struttura e referente
Obblighi di legge: notifica in 24 e 72 ore, quindici giorni per le segnalazioni ACN, struttura e referente
Il responsabile della transizione, i servizi digitali, il documento informatico e le Linee guida AgID — vincolanti ex art. 71
Il responsabile della transizione, i servizi digitali, il documento informatico e le Linee guida AgID — vincolanti ex art. 71
Classificazione dei sistemi, obblighi dell'utilizzatore, valutazione d'impatto sui diritti fondamentali, registrazione UE e incidenti gravi
Classificazione dei sistemi, obblighi dell'utilizzatore, valutazione d'impatto sui diritti fondamentali, registrazione UE e incidenti gravi
Classificazione dei sistemi, obblighi dell'utilizzatore, valutazione d'impatto sui diritti fondamentali, registrazione UE e incidenti gravi
SGSI — clausole 4-10 e 93 controlli dell'Annex A
SGSI — clausole 4-10 e 93 controlli dell'Annex A
SGSI — clausole 4-10 e 93 controlli dell'Annex A
SGSI — clausole 4-10 e 93 controlli dell'Annex A
SGQ — clausole 4-10 nel ciclo PDCA, dai processi alla soddisfazione di chi riceve il servizio
SGQ — clausole 4-10 nel ciclo PDCA, dai processi alla soddisfazione di chi riceve il servizio
SGQ — clausole 4-10 nel ciclo PDCA, dai processi alla soddisfazione di chi riceve il servizio
SGQ — clausole 4-10 nel ciclo PDCA, dai processi alla soddisfazione di chi riceve il servizio
CMS — clausole 4-10 nel ciclo PDCA, dagli obblighi alle azioni correttive
CMS — clausole 4-10 nel ciclo PDCA, dagli obblighi alle azioni correttive
CMS — clausole 4-10 nel ciclo PDCA, dagli obblighi alle azioni correttive
CMS — clausole 4-10 nel ciclo PDCA, dagli obblighi alle azioni correttive
AIMS — clausole 4-10 e i 38 controlli dell'Annex A, dall'inventario dei sistemi di IA agli impatti sulle persone
AIMS — clausole 4-10 e i 38 controlli dell'Annex A, dall'inventario dei sistemi di IA agli impatti sulle persone
AIMS — clausole 4-10 e i 38 controlli dell'Annex A, dall'inventario dei sistemi di IA agli impatti sulle persone
AIMS — clausole 4-10 e i 38 controlli dell'Annex A, dall'inventario dei sistemi di IA agli impatti sulle persone
Linea guida, non norma certificabile: principi, struttura di riferimento e processo. È l'impianto che ISO 27001, 42001, 23894, NIS 2, COBIT e il PNA presuppongono ciascuno per conto proprio — qui si verifica, e il processo si esercita in «Gestione del Rischio»
Guida, non norma certificabile: la ISO 31000 applicata all'IA — principi, quadro di riferimento e processo, con gli 11 obiettivi e le 7 fonti di rischio su cui si conduce l'identificazione
Guida, non norma certificabile: la ISO 31000 applicata all'IA — principi, quadro di riferimento e processo, con gli 11 obiettivi e le 7 fonti di rischio su cui si conduce l'identificazione
Guida, non norma certificabile: le cinque fasi del processo — preparare, rilevare, valutare, rispondere, apprendere. È il «come» che i controlli A.5.24-A.5.28 della ISO/IEC 27001 pretendono senza spiegarlo, e l'unico modulo che verifica se la squadra di risposta esiste davvero
Guida, non norma certificabile: le cinque fasi del processo — preparare, rilevare, valutare, rispondere, apprendere. È il «come» che i controlli A.5.24-A.5.28 della ISO/IEC 27001 pretendono senza spiegarlo, e l'unico modulo che verifica se la squadra di risposta esiste davvero
Norma certificabile: quali servizi vanno ripresi per primi, entro quando, con quale strategia e con quale piano — e se la prova lo ha dimostrato. È l'unico modulo che verifica il vincolo RTO < MTPD invece di lasciarlo dichiarare
Norma certificabile: quali servizi vanno ripresi per primi, entro quando, con quale strategia e con quale piano — e se la prova lo ha dimostrato. È l'unico modulo che verifica il vincolo RTO < MTPD invece di lasciarlo dichiarare
Linea guida, non norma certificabile: il programma di audit, la conduzione e la competenza degli auditor. È il «come» che le clausole 9.2 di ISO 27001, 9001, 37301 e 42001 pretendono senza spiegarlo — e l'unico modulo che verifica l'imparzialità invece di farla dichiarare
Linea guida, non norma certificabile: il programma di audit, la conduzione e la competenza degli auditor. È il «come» che le clausole 9.2 di ISO 27001, 9001, 37301 e 42001 pretendono senza spiegarlo — e l'unico modulo che verifica l'imparzialità invece di farla dichiarare
Linea guida, non norma certificabile: il programma di audit, la conduzione e la competenza degli auditor. È il «come» che le clausole 9.2 di ISO 27001, 9001, 37301 e 42001 pretendono senza spiegarlo — e l'unico modulo che verifica l'imparzialità invece di farla dichiarare
Un solo insieme di controlli interni su cui i requisiti dei nove framework convergono: si verifica una volta e l'esito vale per tutti — «test once, satisfy many»
Un solo insieme di controlli interni su cui i requisiti dei nove framework convergono: si verifica una volta e l'esito vale per tutti — «test once, satisfy many»
Niente schema rigido: Audit Management è costruita per essere configurata e ampliata. Non aspetti un aggiornamento del fornitore — crei tu ciò che ti serve, quando ti serve.
Definisci controlli di sicurezza su misura: descrizione, riferimenti normativi, evidenze richieste, priorità e campi personalizzati. Organizzali per area e sezione.
Oltre ai modelli NIST CSF 2.0, COBIT e ISO già pronti, costruisci le tue scale di maturità con etichette, descrizioni e colori adatti al linguaggio del tuo ente.
Crea campagne su misura, seleziona i controlli da valutare, assegna gli auditor e traccia avanzamento ed evidenze in tempo reale, su uno o più enti.
Output che fanno fede
In audit non si esibisce una schermata: si esibisce un documento, con una data, una firma e un numero di protocollo. Audit Management ne genera diciotto in formato Word (.docx) — non modelli da riempire, ma testi composti dai registri dell'ente al momento in cui si preme il tasto. Se un rischio cambia titolare oggi, il documento emesso domani lo dice.
Ciò che si porta in giunta o in consiglio: sintesi, decisioni, responsabilità.
ISO 9.3 ingressi, decisioni, azioniIl fascicolo della campagna: che cosa si è verificato, con quali esiti e che cosa si è deciso di fare.
ISO/IEC 27001 9.2 rilievi e non conformitàISO/IEC 27001:2022Annex A i 93 controlli, con la motivazione di ogni sceltaGli adempimenti in materia di protezione dei dati e di sistemi di IA.
GDPR art. 30GDPR art. 35 valutazione d'impattoAI Act art. 27 diritti fondamentaliGDPR art. 33 con il termine delle 72 oreCiò che si allega a una notifica, a una contestazione o a una richiesta dell'autorità.
ISO 31000 registro, trattamento e RACIBy design
I dati di un ente pubblico sono tra i più sensibili che esistano. Audit Management è progettata per proteggerli e si installa dove decide l'amministrazione: on-premise, sulla propria infrastruttura, oppure in cloud, in un data center di cui mantiene il controllo.
Stessa applicazione, due modalità: sui server dell'ente, nella rete locale, oppure in cloud, in un data center sotto il controllo dell'amministrazione. In entrambi i casi i dati restano all'ente.
Hashing scrypt con salt e confronto a tempo costante. Policy di lunghezza e cambio forzato al primo accesso.
Query interamente parametrizzate e sanitizzazione dell'HTML rich-text contro gli attacchi XSS.
Ruoli dedicati — Admin, CAE, Lead Auditor, Auditor, Comitato Audit, Utente, Sola Lettura — con l'editor dei permessi per ruolo su 198 aree, da sola lettura a gestione completa.
Gestisci più amministrazioni dalla stessa installazione, con dati isolati per ente e librerie di catalogo da assegnare agli enti.
Backup e ripristino integrati, con storico delle modifiche per una piena tracciabilità delle valutazioni.
Accesso completo · credenziali temporanee
La Demo Live si apre a chiunque, ma è una fotografia in sola lettura del Comune di Paperopoli. Se vuoi provare l'applicazione come la usa davvero un ente — inserire, modificare, generare documenti, installare framework — puoi chiedere delle credenziali temporanee per un'istanza di prova completa.
Demo Live
Accesso completo
Parliamone
Cliccando l'indirizzo si apre il tuo programma di posta con una bozza già pronta. Questo sito non raccoglie alcun dato personale.