Un attacco non è una colpa.
Non essere preparati è una responsabilità.
Una sola piattaforma che tiene insieme GRC — Governance, Risk & Compliance, cybersecurity e protezione dei dati. I framework non si valutano soltanto: si attuano, ognuno con il proprio registro dei requisiti, la gap analysis, gli audit interni, il riesame di direzione e le non conformità — e con i ponti che li tengono insieme, perché un rischio censito nella ISO 9001 finisce nel Registro Rischi dell'ente e non in un secondo registro parallelo.
On-premise Cloud La stessa applicazione, installata dove decide l'ente.
Premessa
Un progetto senza finalità commerciali, pensato per tutte le Pubbliche Amministrazioni e installabile sia on-premise sia in cloud.
La trasformazione digitale della Pubblica Amministrazione ha reso sempre più centrale la necessità di garantire un'efficace tutela dei dati personali e un adeguato livello di cybersicurezza. In questo contesto, la diffusione di una cultura della privacy, della sicurezza delle informazioni e della gestione del rischio rappresenta un fattore essenziale per assicurare la qualità dei servizi pubblici e la protezione del patrimonio informativo delle amministrazioni.
Questa esigenza riguarda tutte le Pubbliche Amministrazioni, di ogni livello e di qualunque dimensione, chiamate ad affrontare adempimenti normativi e organizzativi sempre più numerosi e tra loro intrecciati, che richiedono metodo, continuità e strumenti adeguati. Da questa consapevolezza nasce AuditManagement, un'applicazione sviluppata per offrire un concreto supporto a ogni amministrazione nel percorso di miglioramento della propria organizzazione in materia di privacy e cybersicurezza.
L'iniziativa non persegue finalità commerciali, ma nasce esclusivamente con l'intento di contribuire alla diffusione della cultura della conformità normativa, della responsabilizzazione organizzativa e della gestione del rischio informatico, mettendo a disposizione uno strumento semplice, intuitivo e facilmente accessibile.
AuditManagement supporta la gestione strutturata delle attività di audit e di controllo, consentendo di pianificare e documentare le verifiche, monitorare gli adempimenti previsti dalla normativa, gestire le azioni correttive e disporre di una reportistica utile a supportare i processi decisionali e il miglioramento continuo. L'applicazione favorisce un approccio sistematico alla governance della privacy e della cybersicurezza, contribuendo a trasformare gli obblighi normativi in un'opportunità di crescita organizzativa.
Si installa on-premise o in cloud: la scelta è dell'amministrazione
Sui server dell'ente, nella propria sala macchine o nella rete locale: il database resta fisicamente in sede.
In un data center sotto il controllo dell'amministrazione, raggiungibile via browser da ogni sede; una sola installazione può servire più enti, con i dati isolati per ciascuno.
In entrambi i casi è la stessa applicazione, con le stesse funzioni, nel pieno rispetto della normativa vigente in materia di protezione dei dati personali e, in particolare, del Regolamento (UE) 2016/679 (GDPR).
L'auspicio è che questo progetto possa rappresentare un punto di riferimento per ogni amministrazione pubblica, aiutandola a sviluppare una maggiore consapevolezza dei rischi, a rafforzare i propri processi organizzativi e a promuovere una gestione sempre più efficace della protezione dei dati personali e della sicurezza delle informazioni, a beneficio dei cittadini e dell'intera collettività.
Costruito sugli standard che la PA deve rispettare
GRC · Governance, Risk & Compliance
GRC non è la somma di tre uffici che lavorano su tre fogli di calcolo. È il modello che assiste l'organizzazione in tre movimenti che si reggono a vicenda: allineare gli obiettivi con le decisioni e le responsabilità che li realizzano, gestire i rischi che possono impedirli, assicurare il rispetto delle norme esterne e delle regole che l'ente si è dato. Audit Management è quel modello reso operativo: un solo modello dati, un solo registro dei rischi, un solo insieme di controlli.
Chi decide, chi risponde, con quale mandato e con quali risorse. La scelta del framework fra diciotto a catalogo, la matrice RACI sui controlli, il ciclo di vita delle policy — dalla bozza alla presa visione nominale — e i cruscotti componibili con cui la direzione guarda ciò che deve decidere.
Il rischio su tre livelli distinti e un registro solo: dell'ente con la ISO 31000, di progetto con PRINCE2 7ª ed., tecnico con le vulnerabilità e il CVSS. Tredici moduli vi confluiscono con ponti espliciti — il rischio nato in una gap analysis è lo stesso che la direzione vede nel Registro Rischi.
Ciò che si subisce — NIS 2, Legge 90/2024, AI Act, CAD, GDPR — e ciò che si adotta — le norme ISO certificabili. Ogni obbligo diventa un requisito verificabile con evidenza, titolare e scadenza; e la conformità si misura sullo stato netto, distinguendo «non conforme» da «mai valutato».
L'integrazione, in concreto
Una sola piattaforma
Governance & Risk, Cybersecurity, Privacy e Compliance non sono più silos separati su fogli Excel. Audit Management li unifica in un unico modello dati, con tracciabilità totale e multi-tenant nativo per gestire più enti dalla stessa console.
Il rischio su tre livelli distinti: dell'ente con la ISO 31000, di progetto con PRINCE2 7ª ed., tecnico con le vulnerabilità. Più i framework di governance — COBIT 2019, TOGAF 10, NIST CSF 2.0 — con capability 0-5, gap analysis e matrice RACI.
Un vero Security Operations Center, e sopra di esso il livello che dice che cosa insegna l'incidente: quale controllo non ha retto, quale rischio si è materializzato, quale vulnerabilità era già nota e non sanata. Con NIS 2 e Legge 90/2024 gestite per intero.
Registro dei Trattamenti ex Art. 30, DPIA e FRIA per i sistemi di IA ad alto rischio, ruoli privacy (responsabili, autorizzati, designati) e informative. E accanto l'AI Act gestito per intero, con la classificazione motivata di ogni sistema e i tre termini di notifica dell'art. 73. Lo strumento operativo del DPO.
Campagne di audit su 5 librerie di controlli, evidenze, KPI, rilievi e remediation — e ogni framework installabile come vero gruppo di controlli, che eredita valutazioni, maturità, RACI ed evidenze già esistenti. 18 documenti Word in un click.
Copertura normativa
«Gestito per intero» ha un significato preciso e verificabile: il modulo ha il catalogo della norma, un registro dei requisiti dell'ente con titolare ed evidenza, la gap analysis con rollup a stato netto, gli audit, il riesame, le non conformità e la possibilità di installarlo come vero gruppo di controlli di audit. Non una scheda da compilare: un sistema di gestione che si attua.
Stessa ossatura — clausole 4-10 nella Struttura Armonizzata — quindi confrontabili clausola per clausola: chi ha già una di queste norme ne ha già soddisfatta gran parte per le altre, e il modulo dice quale.
SGSI, Dichiarazione di Applicabilità sui 93 controlli dell'Annex A, audit interni, riesame, formazione, continuità e documentale.
SGQ con l'approccio per processi, requisiti dei servizi, progettazione, rischi e opportunità, reclami e non conformità — 8.7 e 10.2 distinte.
CMS con il registro degli obblighi, i rischi di non conformità, i controlli con test di efficacia e le segnalazioni ex D.Lgs. 24/2023.
AIMS con la SoA che pretende la motivazione di ogni scelta e la valutazione d'impatto che guarda anche le conseguenze sulla società.
BCMS con le attività prioritarie, le strategie della clausola 8.3 e il programma di esercitazione. Il vincolo RTO < MTPD lo verifica il motore.
Qui il testo normativo è verbatim, ed è lecito: gli atti ufficiali dello Stato e dell'Unione non sono protetti dal diritto d'autore. I termini non si scrivono a mano — si calcolano, in ora locale, dal fatto da cui la norma li fa decorrere.
Ambito soggettivo con le tre porte, perimetro dei servizi, notifica a 24 e 72 ore dal medesimo istante, piano di adeguamento e organi dell'art. 23.
Registro per sistema × ruolo: il denominatore si deriva dall'inventario. Classificazione motivata, sorveglianza umana, tre termini dell'art. 73.
Si applica a tutte le PA senza soglie, quindi il perno è il perimetro dei servizi. Le Linee guida AgID sono vincolanti ex art. 71.
Ambito determinato e conservato anche quando l'esito è negativo. Segnalazione entro 24 ore, notifica entro 72, esimente a forma vincolata.
Il verbo è «should» e «siamo conformi alla ISO 31000» è una frase che non si può dire: per questo il registro non misura una conformità ma l'adozione, e la differenza è strutturale, non lessicale. Sono l'impianto che le norme certificabili danno per scontato senza definirlo.
L'impianto che la 27001, la 42001, la NIS 2, l'art. 9 dell'AI Act e il PNA dell'ANAC pretendono e nessuno definisce. L'evidenza si ricava dai registri che l'ente ha già.
La clausola 9.2 di tutte le norme impone audit interni e nessuna spiega come. Qui l'imparzialità si calcola sulle responsabilità effettive, non si dichiara.
La ISO 31000 applicata all'intelligenza artificiale, con la stessa numerazione: ciò che si dichiara è il delta, cioè che cosa l'IA cambia in quel punto.
Il come dei controlli A.5.24-A.5.28. Punto di contatto unico, squadra con la concentrazione calcolata, recapiti verificati, MTTD e MTTR mai fusi.
Non sistemi di gestione permanenti ma i modelli con cui si governa l'ICT, si progetta l'architettura, si conduce un progetto e si misura la postura di sicurezza.
Catalogo generato dall'OSCAL ufficiale del NIST. Due livelli — organizzazione e sistema —, FIPS 199 con l'high water mark, FIPS 200, baseline, tailoring, ODP, POA&M, ATO e ConMon.
Design del sistema di governance dagli 11 fattori, con i contributi che spiegano il punteggio. Capability 0-5 con la regola ISO/IEC 33020: i livelli non si saltano.
L'unico il cui perno è la campagna: l'EA si esercita per iterazioni dell'ADM. Il tailoring pretende la motivazione e non abbassa il punteggio.
Il profilo è una versione con il suo snapshot: le valutazioni reggono anche se il catalogo cambia. Sette funzioni, tier e divario per funzione.
L'unico che governa un'organizzazione temporanea: nessun rischio senza progetto. Rischio manifestato → questione; oltre tolleranza → eccezione.
Cinque librerie di controlli pronte all'uso
Ogni controllo valutato su una scala di maturità
Le scale sono configurabili: oltre ai modelli NIST CSF, COBIT e ISO già pronti, l'ente costruisce le proprie con etichette, descrizioni e colori.
CCF · Common Control Framework
È il livello che rende sostenibile l'adozione di più norme insieme, e senza il quale ogni standard aggiunto moltiplica il lavoro invece di riusarlo.
Senza controlli comuni
«Le copie di sicurezza sono provate in ripristino»
Una misura sola, quattro verifiche, quattro fascicoli di evidenze e quattro date di scadenza che divergono.
Con il CCF
BCM-04 «Le copie di sicurezza sono provate in ripristino»
Un solo controllo nel registro dell'ente, con il suo titolare, la sua domanda di audit, il suo criterio di conformità e la sua data di verifica. I quattro requisiti gli sono mappati: si esegue il test una volta e l'esito li soddisfa tutti.
test once, satisfy many — in media 10 requisiti per ogni controllo comune
Quanto di ciascuna norma il registro comune presidia
| Standard | Mappature | Requisiti raggiunti | Copertura |
|---|---|---|---|
| NIST SP 800-53 Rev. 5 | 260 | 157 | |
| COBIT 2019 | 213 | 149 | |
| ISO/IEC 27001:2022 | 187 | 109 | |
| NIS 2 — D.Lgs. 138/2024 | 163 | 135 | |
| AI Act — Reg. (UE) 2024/1689 | 143 | 92 | |
| EN ISO/IEC 42001:2026 | 130 | 65 | |
| NIST CSF 2.0 | 114 | 67 | |
| ISO 22301:2019 | 76 | 45 | |
| ISO/IEC 27035 | 74 | 35 | |
| ISO 9001:2015 | 73 | 47 | |
| CAD — D.Lgs. 82/2005 | 67 | 41 | |
| TOGAF 10 | 59 | 48 | |
| EN ISO/IEC 23894:2024 | 49 | 25 | |
| ISO 31000:2018 | 34 | 22 | |
| ISO 37301:2021 | 34 | 29 | |
| Legge 90/2024 | 33 | 18 | |
| ISO 19011:2018 | 28 | 25 |
⚠️ PRINCE2 non è mappabile, e non è una dimenticanza: vive dentro un progetto — organizzazione temporanea che nasce e muore con esso — e un controllo comune permanente non può soddisfare in modo stabile un requisito che alla chiusura scompare. L'aderenza al metodo si verifica per progetto.
Una mappatura vale piena, parziale o di supporto. Due parziali chiudono un requisito; un controllo di supporto non lo chiude mai, per quanti ce ne siano. Senza il peso, «coperto» non distinguerebbe una copertura reale da una nominale.
Sono due colonne distinte. Una procedura di backup attiva da tre anni può non essere mai stata provata in ripristino: il controllo è attuato, la sua efficacia è ignota. L'efficacia non si dichiara a mano: la scrive solo l'esito di un test.
La concentrazione è ciò che fa risparmiare, ed è anche ciò che fa cadere insieme dodici requisiti quando il test di un controllo scade. Il cruscotto apre dichiarando quanti requisiti restano scoperti per i test in ritardo, non quanti test sono scaduti.
Lo stato calcolato dal CCF si riporta nelle gap analysis delle norme, ma sempre in anteprima, senza declassare ciò che è già più alto e senza toccare i valori deliberati. Chi valuta la conformità resta il responsabile di quel sistema di gestione.
I 23 domini del registro comune
Il livello sopra i moduli
È la domanda che manca proprio nel momento in cui si sceglie uno standard, e a cui nessun modulo può rispondere da solo. La matrice incrocia le diciassette norme due a due; ogni riga dice quanto e perché, e il confronto scende fino al singolo requisito.
Funzionalità · Versione 13.5.0
I framework non si valutano soltanto: si attuano, ognuno con il proprio registro dei requisiti, la gap analysis, gli audit, il riesame di direzione e le non conformità — e con i ponti che li tengono insieme, perché un rischio censito nella ISO 9001 finisce nel Registro Rischi dell'ente, non in un secondo registro parallelo. Sopra tutti sta il livello che dice quanto un'adozione ne copre altre: 10.065 corrispondenze su 157 coppie di norme.
Con oltre 270 destinazioni, il problema non è mostrarle: è raggiungerle. La Home offre preferiti e recenti per chi sa già dove andare, la ricerca da tastiera della barra in alto per chi non sa dov'è, e una colonna di navigazione con un gruppo per volta per chi sta esplorando. E si apre senza nulla di selezionato: al centro c'è il riepilogo dell'ente — che cosa richiede attenzione ora, e come sta ciascun modulo.
Il rischio dell'ente con la ISO 31000 (principi, struttura di riferimento, processo in otto attività), il rischio di progetto con PRINCE2 7ª ed. e il rischio tecnico con le vulnerabilità. Il Registro non si compila da zero: si istanzia dal Playbook dei rischi ICT, 175 rischi tipici della PA in 18 domini, e tredici moduli vi confluiscono con la metodologia dell'ente, non con una scala propria.
NIST SP 800-53 Rev. 5 con il ciclo RMF, COBIT 2019 con la capability ISO/IEC 33020, TOGAF 10 per iterazioni dell'ADM, NIS 2 (D.Lgs. 138/2024), Legge 90/2024 e CAD (D.Lgs. 82/2005): moduli che determinano l'ambito soggettivo, calcolano i termini in ora locale e producono il piano di adeguamento — non schede da compilare.
La stessa ossatura, confrontabile clausola per clausola: ISO/IEC 27001:2022 (SGSI e SoA), ISO 9001:2015 (65 requisiti su quattro livelli), ISO 37301:2021 (compliance e segnalazioni), EN ISO/IEC 42001:2026 (sistema di gestione per l'IA) e ISO 22301:2019 (continuità operativa, con il vincolo RTO < MTPD verificato dal motore). Chi ha già una di queste norme ne ha soddisfatta gran parte per le altre — e il modulo dice quale.
Non sono certificabili, e il registro non dice «conforme» ma adottata. ISO 31000:2018 è l'impianto del rischio che le altre pretendono e nessuna definisce; ISO 19011:2018 è il metodo degli audit interni, con l'imparzialità calcolata; EN ISO/IEC 23894:2024 è la ISO 31000 applicata all'IA; ISO/IEC 27035 è il come della gestione degli incidenti, con squadra, recapiti verificati e MTTD e MTTR mai fusi.
L'inventario dei sistemi di IA è uno solo e lo pretende l'AI Act a prescindere da ogni certificazione. Su di esso lavorano tre moduli: EN ISO/IEC 42001:2026 (il sistema di gestione, con la SoA che pretende la motivazione di ogni scelta e la valutazione d'impatto che guarda anche le conseguenze sulla società), EN ISO/IEC 23894:2024 (il metodo, con la valutazione sui suoi undici obiettivi) e l'AI Act — Reg. (UE) 2024/1689, che non è una norma volontaria: il suo registro non è per ente ma per sistema × ruolo, e il denominatore degli adempimenti si deriva dall'inventario invece di essere dichiarato. «Non abbiamo sistemi ad alto rischio» non è una risposta: il divieto dell'art. 5 e l'alfabetizzazione dell'art. 4 valgono dal 2 febbraio 2025 per chiunque usi l'IA. E per le autorità pubbliche non c'è grandfathering: l'adeguamento è dovuto entro il 2 agosto 2030.
Un ente che adotta quattro standard finirebbe per presidiare e verificare tre volte la stessa cosa: «le copie di sicurezza sono provate in ripristino» è A.8.13 per la ISO 27001, PR.DS-11 per la NIS 2, CP-9 per l'800-53. Il Common Control Framework è un unico registro di controlli interni — 23 domini, 173 controlli, 1.737 mappature verso 17 standard — su cui i requisiti convergono: si verifica il controllo una volta e l'esito soddisfa tutti i requisiti mappati, in media dieci per controllo. Si parte da dieci profili già composti (cybersecurity, NIS 2, AI Act, privacy, qualità, progetti…) e li si adatta.
Ogni norma ha la propria sezione Corrispondenze, e sopra tutte c'è la matrice N×N delle diciassette: quanto la ISO/IEC 27001 copre della NIS 2, che cosa la 42001 chiude dell'AI Act, dove il COBIT e l'800-53 dicono la stessa cosa. Sono 2.392 corrispondenze dichiarate — ragionate, con il grado di copertura e la nota che spiega perché le due norme si toccano — più 8.426 derivate dai controlli comuni: due requisiti agganciati allo stesso presidio sono corrispondenti di fatto. Ogni arco dichiara da dove viene, e l'ente può aggiungerne, riqualificarne o escluderne con motivazione — senza che il catalogo venga mai sovrascritto.
Scrivere la regola non basta: va approvata, pubblicata, portata a chi deve applicarla — e in audit bisogna dimostrare chi l'ha letta e su quale versione. Il ciclo di vita è una macchina a stati, dove approvato non vuol dire in vigore. La presa visione è nominale e congelata sulla versione distribuita; i solleciti restano tracciati anche senza posta configurata.
Accanto al registro degli incidenti, il livello delle conseguenze dice che cosa ci insegnano: quale controllo non ha retto, quale rischio si è materializzato, quale regola è stata violata e quale vulnerabilità era già nota e non sanata. Correzione e azione correttiva restano distinte; e sette phishing in tre mesi diventano un gruppo: sette incidenti chiusi correttamente e una formazione che non funziona.
Le azioni delle norme restano dove la norma le vuole, e accanto vive la loro faccia operativa: chi lo fa, entro quando, a che punto è. 78 generatori su 25 moduli trasformano in task il lavoro già aperto; il task si consegna (affidato → preso in carico → evaso → verificato), si rifiuta con motivo, si affida a un ufficio — e non si chiude con una spunta muta: servono un esito e la descrizione di che cosa è stato fatto.
Un catalogo di 168 metriche e 22 serie, ognuna con la propria area di permesso: si compone il proprio cruscotto scegliendo le caselle, non scrivendo SQL. Sei cruscotti predefiniti — Direzionale, Conformità dei Framework, Adempimenti, Terze parti, Operativo, Persone — che si duplicano e si adattano. Ogni modulo apre con il proprio cruscotto, e lo stesso catalogo costruisce il riepilogo della Home.
Chi ha in mente il fornitore o la delibera non deve indovinare il modulo giusto. La casella in alto (Ctrl/⌘+K) cerca insieme le sezioni del menu e i contenuti di 21 registri, ordinati per pertinenza. Ogni sorgente dichiara la propria area di permesso e non viene nemmeno interrogata se non la si ha: ciò che non si è potuto cercare viene dichiarato.
La Mappa dell'Applicazione mostra le 274 sezioni in cinque fasce e i ponti fra i moduli — e su ogni nodo il numero vero dell'ente: quali registri sono popolati e quali framework sono avviati. La Mappa dei Flussi scende al singolo blocco e dice dove finisce ciò che vi si scrive, con la catena dell'impatto su più salti.
Prima di scegliere: che cosa è (certificabile, obbligo di legge, guida, metodo), che cosa si certifica davvero — l'ente, le persone o il sistema —, a chi si applica e che cosa comporta l'inadempienza. L'adozione si registra con cinque stati espliciti e con l'edizione su cui l'ente lavora, compresa la migrazione fra due edizioni con il suo termine.
Ogni framework può diventare un vero gruppo di controlli di audit, con la propria campagna: eredita valutazioni, maturità, RACI, KPI, evidenze e report. La scheda di ogni controllo dice dove si trova — framework, gruppo, area, sezione e campagne — e la rimozione non cancella in silenzio il lavoro di audit: elenca le valutazioni che si perderebbero e chiede conferma.
I 1196 controlli dell'800-53 sono generati dall'OSCAL del NIST; le 43 misure e i 116 requisiti NIS 2 dagli allegati tecnici dell'ACN, con validazione automatica sulla guida alla lettura. Quando la fonte cambia, il catalogo si rigenera invece di divergere.
Composti dai registri dell'ente al momento in cui si preme il tasto: Report Ente, Programma GRC, Manuale del SGSI, Dichiarazione di Applicabilità, Rapporto di audit, Riesame della direzione, Politiche, DPIA, FRIA, Registro dei Trattamenti e Registro Data Breach. Pronti per firma e protocollo.
Chi si collega e chi lavora nel Comune sono due registri diversi: l'account è m.rossi con la posta personale, la persona in organigramma porta la casella del settore. L'associazione è un dato dichiarato — l'accostamento per email resta un suggerimento da confermare —, così «I miei task» sa sempre a chi arriva il lavoro.
Il tasto «Guida», F1 e i «?» accanto ai numeri aprono la spiegazione della schermata che si ha davanti, sezione per sezione; le Domande Frequenti rispondono a ciò che attraversa i moduli. Guida e FAQ si scrivono dall'interfaccia con un editor visuale, e l'ente vi aggiunge le proprie note.
Dentro la piattaforma
Schermate reali del prodotto — le stesse che esplori liberamente nella Demo Live. Ogni vista è un cruscotto pensato per chi deve capire al volo dove agire.
Siamo in regola, che rischi corriamo, che cosa è successo, chi ci sta lavorando. Un cruscotto che non si programma: si compone scegliendo le caselle da un catalogo di metriche, e ogni casella dichiara la propria area di permesso.
Incidenti, data breach e notifiche normative monitorati in un'unica sala di controllo, con soglia delle 72 ore GDPR, coda dei breach in scadenza e indicatori MTTR/MTTD. E sopra, il livello che collega l'incidente a ciò che ha chiamato in causa.
Ogni norma chiama in modo diverso la stessa cosa: «conforme», «attuato», «adempiuto», «presidiato», «efficace». Il confronto le normalizza in un punto solo — e distingue «mai valutato» da «non conforme», perché sono due decisioni diverse.
Non un filtro dell'elenco, ma la risposta divisa per gesto richiesto: accettare, proseguire, rivendicare dall'ufficio, verificare ciò che hai affidato, riaffidare ciò che è tornato indietro. La consegna è un secondo asse e non tocca lo stato del lavoro.
Ogni trattamento con titolare, responsabile, finalità, basi giuridiche, livello di rischio e collegamento ad asset, processi e DPIA. Import da Excel e governance completa per il DPO.
Dentro la piattaforma · modulo per modulo
Le schermate qui sotto sono reali e vengono dalla demo del Comune di Paperopoli, l'ente dimostrativo interamente fittizio che trovi anche nella Demo Live. Clicca su una schermata per ingrandirla.
Esposizione dell'ente, matrice di probabilità e impatto, rischi sopra soglia e stato del piano di trattamento.
Gli otto principi valutati uno per uno e le sei componenti della struttura di riferimento come ciclo di miglioramento continuo.
175 rischi tipici della Pubblica Amministrazione in 18 domini: si selezionano e si istanziano nel Registro già compilati.
Rischio inerente e residuo sulla metodologia dell'ente, ambito, proprietario, riesami e collegamenti ad asset, processi e controlli.
Azioni, responsabili, costi, avanzamento ed efficacia: il divario fra rischio inerente e residuo diventa un piano con date.
Esposizione netta, escalation dovute, budget del rischio e aderenza ai sette principi verificata progetto per progetto.
Causa → Evento → Effetto, prossimità, risposta e stima residua. Oltre la tolleranza del Project Board scatta l'Exception Report.
Quando un rischio accade l'incertezza finisce: diventa una questione. Lo stato «materializzato» non esiste, ed è ciò che tiene puliti i conteggi.
CVSS, esposizione, exploit status e KEV valutati sulla stessa matrice del Registro Rischi, con SLA automatici per severità.
Diciotto framework a catalogo: si adottano, se ne designa uno primario e ciascuno rimanda al modulo che lo realizza davvero.
Capability attuale e obiettivo su tutti i framework adottati, con il divario che alimenta il piano di miglioramento.
Il registro dei controlli dell'ente, la copertura FIPS 200 sulle 17 aree e il ciclo RMF in sette passi: livello organizzazione e livello sistema, distinti.
La composizione reale delle 20 famiglie calcolata dall'OSCAL ufficiale: SC è 162 controlli, non «circa 130».
Categorizzazione con l'high water mark, baseline SP 800-53B, tailoring tracciato ed ereditarietà dei controlli comuni.
40 obiettivi e 232 pratiche del core model, con il registro dell'ente come perno e i sette componenti del sistema di governance.
Gli undici fattori di progettazione danno la priorità dei 40 obiettivi — e ogni obiettivo porta con sé i contributi che l'hanno fatto salire.
La regola ISO/IEC 33020 applicata sul serio: non si saltano i livelli, e un livello vale solo se i precedenti sono pienamente raggiunti.
Ambito soggettivo con le tre porte, qualificazione che governa il denominatore, termini in mesi di calendario e finestre di registrazione ACN.
Il perno del modulo: 22 requisiti su 116 valgono solo sui sistemi rilevanti, e la soglia dell'incidente IS-3 è il livello di servizio che l'ente dichiara.
Registro unico degli adempimenti del decreto e delle misure ACN, con rollup su cinque livelli e deroghe motivate e compensate.
Ambito soggettivo, struttura e referente per la cybersicurezza, i quattro documenti dell'art. 8 e le scadenze calcolate, non scritte a mano.
Quindici giorni dalla comunicazione dell'Agenzia, con l'esimente del differimento che vale solo se comunicata prima della scadenza.
Profilo attuale e obiettivo sulle 106 subcategorie, versionato: ogni versione tiene lo snapshot degli outcome e lo storico regge nel tempo.
Principi, building block, requisiti e work package del ciclo ADM: il governo dell'evoluzione architetturale, non solo il suo disegno.
L'unico registro che non è per ente ma per sistema × ruolo: gli obblighi discendono dalla combinazione fra il ruolo che l'ente assume e la classe di rischio del sistema, e il denominatore si deriva dall'inventario.
Non uno stato, un atto motivato e storicizzato: screening dell'art. 5, ruolo dell'art. 25, Allegato III e la deroga dell'art. 6(3) — che non opera se c'è profilazione, quali che siano le condizioni.
Lo stesso Comune è utilizzatore del gestionale del welfare e fornitore del chatbot fatto sviluppare col proprio nome: due insiemi di obblighi diversi, generati dalla classificazione approvata.
Le cinque capacità dell'art. 14 sono cinque colonne distinte — «la sorveglianza c'è» non dice quale manca — e il «sostegno necessario» è tempo: oltre la giornata di un dipendente, la sorveglianza è dichiarata non esercitabile.
Si applica a tutte le PA senza soglie: il perno è il perimetro dei servizi. Le Linee guida AgID sono vincolanti ex art. 71, e la dichiarazione di accessibilità scade ogni anno il 23 settembre.
Lo stato digitale di ogni servizio si calcola a gradini — non digitale, informativo, transazionale, conforme — da SPID e CIE, pagoPA, accessibilità e scheda del servizio. Non si dichiara.
Le forniture con potenziale impatto sulla sicurezza, con il rischio valutato, i requisiti inseriti in contratto — o la deroga motivata — e la data della prossima verifica.
Clausole 4-10, Annex A, audit, non conformità, riesame, formazione e continuità operativa in un unico sistema di gestione.
I 93 controlli dell'Allegato A con origine dell'inclusione, stato di attuazione e — dove serve — l'esclusione motivata, che è ciò che un auditor cerca per primo.
Politiche e procedure con versioni, approvazioni, scadenze di revisione e collegamenti ai controlli. Con il drafter ibrido che compone le bozze dai dati dell'ente.
Il «cliente» è il cittadino e il «prodotto» è il servizio erogato: approccio per processi, requisiti dei servizi, soddisfazione e reclami.
65 requisiti su quattro livelli di numerazione, con la giustificazione delle esclusioni che la clausola 4.3 pretende — perché la 7.1.5.2 è condizionale e la 7.1.5.1 no.
Due ponti asimmetrici: il rischio va nel Registro Rischi dell'ente, l'opportunità diventa un obiettivo per la qualità. Forzarla nel registro sarebbe un falso.
Il sistema di gestione della compliance: 42 requisiti verificabili, controlli con test di efficacia e riesame di direzione precompilato dai registri.
Il perno è l'obbligo, che vive nel registro già condiviso con la Governance: qui si aggiunge la valutazione periodica, non un secondo elenco.
Il sistema di gestione per l'intelligenza artificiale: clausole 4-10 e Annex A in un registro solo. La certificazione non dà presunzione di conformità all'AI Act, e la schermata lo dice — è l'equivoco più costoso della materia.
Il registro è uno solo e lo pretende l'AI Act a prescindere da ogni norma volontaria: ruolo, classe di rischio, dati di addestramento e ciclo di vita. Lo leggono la 42001, la 23894, l'AI Act, la FRIA e la DPIA.
Tre oggetti distinti che non si sostituiscono: la DPIA guarda il trattamento, la FRIA i diritti fondamentali, questa le conseguenze del sistema — compresa la dimensione societaria, che nessun altro istituto copre. Una scaduta vale come nessuna.
Il vincolo RTO < MTPD lo verifica il motore: riprendere quando il danno si è già prodotto non è un piano. L'evidenza si ricava dalle analisi d'impatto, dai piani e dalle prove che l'ente ha già.
Su una riga sola: entro quando deve riprendere il servizio, con quale strategia, con quale piano e se è mai stato provato. Lo stato è a gradini e dice che cosa manca per salire.
L'unica gap analysis che ricava l'evidenza dai registri che l'ente ha già: non chiede di ricompilare il Registro Rischi, lo legge — «17 rischi con titolare su 23», «metodologia 5×5, senza soglia di accettazione». La maturità è a gradini e dice che cosa blocca il livello successivo.
È la ISO 31000 applicata all'IA, con la stessa numerazione: la corrispondenza è il codice stesso, e ciò che si dichiara è il delta — che cosa l'intelligenza artificiale cambia in quel punto. Ventitré pratiche su 35 cambiano qualcosa; le altre dodici dicono che non cambia nulla, e anche quello serve saperlo.
L'atto con cui si percorrono gli undici obiettivi dell'Annex A su un sistema. «Nessun rischio rilevato» non è una riga vuota: è la prova che si è guardato. Non si conclude con voci ancora da esaminare, né con un rischio dichiarato e mai scritto.
La clausola 9.2 di tutte le norme dice «conducete audit interni» e nessuna spiega come. Questo modulo non aggiunge un settimo registro: unifica i sei che i moduli hanno già, e dichiara i campi che ciascuno non ha.
L'imparzialità non si dichiara: si calcola, risalendo alle responsabilità effettive di chi audita — requisiti di cui è titolare, controlli, unità auditata, processi. E non blocca: chiede la misura compensativa, perché in un ente piccolo l'indipendenza piena non è sempre praticabile.
La competenza decade, e una qualifica esterna non la conserva. La competenza di disciplina è del gruppo, non di ogni auditor — e a livello di ente la «copertura fragile» segnala il caso tipico del Comune: un solo auditor competente, che magari è anche il titolare del processo.
Il come dei controlli A.5.24-A.5.28: punto di contatto unico, capacità a gradini, MTTD e MTTR mai fusi e «scoperti da terzi» come metrica a sé.
Chi decide, chi comunica, chi può spegnere un servizio. La concentrazione si calcola: una persona sola su tre ruoli portanti è una squadra sulla carta.
Nella demo, 173 controlli comuni presidiano 1.109 requisiti di 17 standard: verificandoli una volta sola l'ente evita 1.564 verifiche che dovrebbe altrimenti ripetere requisito per requisito.
Il registro unico: titolare, natura, criticità e frequenza di verifica. Attuato non è efficace — sono due colonne distinte, e l'efficacia non si dichiara a mano.
Controllo comune ↔ requisito, con il peso della copertura: due mappature parziali chiudono un requisito, un controllo di supporto non lo chiude mai.
Quanto di ciascuna norma è già coperto dal registro comune, e la propagazione verso le gap analysis: sempre in anteprima, e non declassa mai una valutazione fatta a mano.
Il «test once»: metodo, campione, esito ed evidenze. Un test scaduto declassa il controllo — ed è il rischio speculare al vantaggio, perché cadono insieme tutti i requisiti che ne dipendevano.
Quante regole sono in vigore, quante attendono una decisione e quante vanno riesaminate. Il registro non è nuovo: è il documentale del SGSI, non un secondo archivio delle stesse regole.
Bozza → approvazione → pubblicazione, come macchina a stati: un passaggio non previsto è respinto. E ciò che è in approvazione non si modifica, altrimenti si approva un testo che non si è letto.
Si distribuisce solo ciò che è pubblicato: chiedere di applicare una regola non ancora in vigore non ha senso. Il pubblico si vede in anteprima prima di creare centinaia di righe nominali.
La prova in audit è nominale, non percentuale: chi ha letto, quale versione e quando. «L'82% ha letto» dice quanto lavoro resta; in un contenzioso disciplinare serve il nome.
Quanta parte dei requisiti delle diciassette norme è coperta da una regola scritta. Dice che il presidio è prescritto, non che è attuato né efficace: quelle sono altre due domande.
Quanti episodi sono entrati da una vulnerabilità già nota e non sanata: non sono imprevisti, sono ritardi di remediation che si sono materializzati — e in una contestazione la differenza è tutta lì.
Gli stessi incidenti del registro di Sicurezza, non una copia, con accanto ciò che hanno chiamato in causa: quale controllo non ha retto, quale rischio si è materializzato, quale regola è stata violata.
Correzione e azione correttiva sono due cose diverse: la prima rimuove l'effetto, la seconda la causa. L'efficacia si verifica solo su ciò che è completato — dichiararla prima è dichiarare ciò che nessuno ha osservato.
Non si conclude senza una causa dichiarata e almeno un'azione assegnata: un riesame che non produce un nome e una data non ha cambiato nulla. E «causa: errore umano» è il punto in cui l'analisi si è fermata.
Sette phishing andati a segno in tre mesi sono sette incidenti chiusi correttamente e una formazione che non funziona. La seconda lettura non esiste finché non c'è un oggetto che tiene insieme i sette.
Non una classifica di incidenti ma di cause che si ripetono: il controllo fallito più volte, la regola violata più volte, la vulnerabilità sfruttata più volte.
Non un filtro dell'elenco, ma la risposta a «che cosa devo fare io, adesso», divisa per gesto richiesto: accettare, proseguire, rivendicare dall'ufficio, verificare ciò che hai affidato, riaffidare ciò che è tornato indietro.
Carichi per persona e per ufficio, ritardi e puntualità — quanti dei completati lo sono entro la scadenza, perché «completato» da solo non distingue chi arriva in tempo.
Lo stato del lavoro a colpo d'occhio. La consegna è un secondo asse e non tocca lo stato storico: un task può essere in corso e non ancora accettato da nessuno.
Le scadenze dei prossimi mesi. I task ricorrenti alla chiusura generano l'occorrenza successiva, spostata a mesi di calendario, con la lista di spunta riportata.
Le procedure dell'ente come passi ordinati con scadenze relative. Il modello è uno stampo, non un riferimento: correggerlo domani non riscrive i passi già svolti ieri.
78 generatori su 25 moduli trasformano in task il lavoro già aperto. Sempre con anteprima: una generazione può aggiungere centinaia di righe e cambiare tutti i numeri.
Sei predefiniti più i propri. Chi compone non scrive SQL: sceglie le chiavi di un catalogo di 168 metriche e 22 serie, ognuna con la sua area di permesso.
Le sei domande che un Segretario Generale si sente fare in Consiglio: siamo in regola, che rischi corriamo, che cosa è successo, chi ci sta lavorando.
Gli standard a confronto con i vocabolari normalizzati: ogni norma chiama in modo diverso la stessa cosa. E «mai valutato» non è «non conforme» — sono due decisioni diverse.
L'unico framework il cui perno è la campagna: l'architettura si esercita per iterazioni del ciclo ADM, e cambiando campagna cambia il registro dei requisiti.
129 requisiti verificabili e lo scostamento fra la fase dichiarata conclusa e i requisiti ancora scoperti. TOGAF non si applica, si adatta: l'esclusione vuole la motivazione.
Il ponte fra chi si collega e chi sta in organigramma, con l'accostamento per email degradato a suggerimento da confermare — e l'unicità «una persona, un account».
Il registro ex art. 30 GDPR con titolare, responsabili, finalità, basi giuridiche, livello di rischio e collegamenti ad asset, processi e DPIA.
La valutazione d'impatto sui diritti fondamentali per i sistemi di IA ad alto rischio: un obbligo autonomo del deployer pubblico, distinto dalla DPIA.
Le notifiche al Garante con il termine delle 72 ore calcolato, le notifiche in fasi e allo CSIRT, e la decisione motivata di non notificare quando il rischio è improbabile.
Un archivio unico degli allegati — evidenze dei controlli, atti di nomina, pareri del DPO, relazioni sugli incidenti, ricevute delle notifiche — con l'origine di ciascuno.
La matrice N×N delle diciassette norme, il confronto a due requisito per requisito e — dentro ogni framework — la sua sezione «Corrispondenze». 10.065 archi su 157 coppie: 2.392 dichiarati e 8.426 derivati dai controlli comuni, mai confusi fra loro.
Di che cosa è fatta la piattaforma — 274 sezioni in cinque fasce e i ponti fra i moduli — e, su ogni nodo, il numero vero dell'ente: che cosa è popolato, con quante righe, quali framework sono avviati. Ciò che i permessi non consentono di leggere viene dichiarato, non nascosto.
Che cos'è ogni norma prima di sceglierla: certificabile, obbligo di legge, guida o metodo; che cosa si certifica davvero; a chi si applica — con la situazione dell'ente accanto.
Blocco per blocco, dove finisce ciò che vi si scrive: letture, travasi e la catena dell'impatto su più salti. «Se modifico qui, che cosa cambia nel resto dell'applicazione».
Tutto incluso
Sedici gruppi funzionali — gli stessi del menu del prodotto —, con permessi granulari per ruolo e una navigazione che tiene insieme audit, rischio, privacy e sicurezza. Attiva ciò che serve, quando serve.
Niente schema rigido: Audit Management è costruita per essere configurata e ampliata. Non aspetti un aggiornamento del fornitore — crei tu ciò che ti serve, quando ti serve.
Definisci controlli di sicurezza su misura: descrizione, riferimenti normativi, evidenze richieste, priorità e campi personalizzati. Organizzali per area e sezione.
Oltre ai modelli NIST CSF 2.0, COBIT e ISO già pronti, costruisci le tue scale di maturità con etichette, descrizioni e colori adatti al linguaggio del tuo ente.
Crea campagne su misura, seleziona i controlli da valutare, assegna gli auditor e traccia avanzamento ed evidenze in tempo reale, su uno o più enti.
Output che fanno fede
In audit non si esibisce una schermata: si esibisce un documento, con una data, una firma e un numero di protocollo. Audit Management ne genera diciotto in formato Word (.docx) — non modelli da riempire, ma testi composti dai registri dell'ente al momento in cui si preme il tasto. Se un rischio cambia titolare oggi, il documento emesso domani lo dice.
Ciò che si porta in giunta o in consiglio: sintesi, decisioni, responsabilità.
ISO 9.3 ingressi, decisioni, azioniIl fascicolo della campagna: che cosa si è verificato, con quali esiti e che cosa si è deciso di fare.
ISO/IEC 27001 9.2 rilievi e non conformitàISO/IEC 27001:2022Annex A i 93 controlli, con la motivazione di ogni sceltaGli adempimenti in materia di protezione dei dati e di sistemi di IA.
GDPR art. 30GDPR art. 35 valutazione d'impattoAI Act art. 27 diritti fondamentaliGDPR art. 33 con il termine delle 72 oreCiò che si allega a una notifica, a una contestazione o a una richiesta dell'autorità.
ISO 31000 registro, trattamento e RACIBy design
I dati di un ente pubblico sono tra i più sensibili che esistano. Audit Management è progettata per proteggerli e si installa dove decide l'amministrazione: on-premise, sulla propria infrastruttura, oppure in cloud, in un data center di cui mantiene il controllo.
Stessa applicazione, due modalità: sui server dell'ente, nella rete locale, oppure in cloud, in un data center sotto il controllo dell'amministrazione. In entrambi i casi i dati restano all'ente.
Hashing scrypt con salt e confronto a tempo costante. Policy di lunghezza e cambio forzato al primo accesso.
Query interamente parametrizzate e sanitizzazione dell'HTML rich-text contro gli attacchi XSS.
Ruoli dedicati — Admin, CAE, Lead Auditor, Auditor, Comitato Audit, Utente, Sola Lettura — con l'editor dei permessi per ruolo su 198 aree, da sola lettura a gestione completa.
Gestisci più amministrazioni dalla stessa installazione, con dati isolati per ente e librerie di catalogo da assegnare agli enti.
Backup e ripristino integrati, con storico delle modifiche per una piena tracciabilità delle valutazioni.
Parliamone
Cliccando l'indirizzo si apre il tuo programma di posta con una bozza già pronta. Questo sito non raccoglie alcun dato personale.