Policy e procedure

Policy e procedure trasformano la sicurezza da conoscenza non documentata in una pratica ripetibile e applicabile. Definiscono i comportamenti attesi, assegnano le responsabilità e forniscono le evidenze richieste dagli auditor.

Se non è messo per iscritto, non è possibile applicarlo in modo coerente né dimostrarlo.

La documentazione di sicurezza è strutturata a livelli:

• Policy: intento e regole di alto livello (il cosa e il perché).
• Standard: requisiti specifici obbligatori.
• Procedura: istruzioni passo per passo.
• Linea guida: best practice consigliata (facoltativa).

Mantenga chiara la distinzione:

• Una policy stabilisce una regola: le password devono contenere almeno 12 caratteri.
• Una procedura spiega come fare: i passaggi esatti per configurare la policy delle password nell'identity provider.

Le policy sono stabili; le procedure cambiano quando cambiano gli strumenti.

La maggior parte dei programmi include:

• Policy di utilizzo accettabile.
• Policy di controllo degli accessi / delle identità.
• Classificazione e gestione dei dati.
• Policy di risposta agli incidenti.
• Continuità operativa / disaster recovery.

La AUP specifica cosa possono e non possono fare gli utenti con i sistemi e i dati aziendali. Comprende email, internet, dispositivi e conseguenze delle violazioni; in genere viene accettata durante l'onboarding.

Una policy di controllo degli accessi codifica il principio del privilegio minimo e la periodicità delle revisioni.

• Come si richiede e approva l'accesso.
• Definizione dei ruoli e separazione delle responsabilità.
• Con quale frequenza si esaminano e revocano gli accessi (ad esempio, durante l'offboarding).

Questa policy definisce come l'organizzazione rileva, segnala e gestisce gli incidenti di sicurezza. Specifica i ruoli, i percorsi di escalation e le regole di comunicazione, affinché una crisi segua un piano anziché essere gestita improvvisando.

Ogni policy deve avere un owner responsabile di mantenerla aggiornata e responsabilità chiaramente assegnate. Senza un owner, i documenti diventano obsoleti e perdono autorevolezza.

• L'owner approva e mantiene il documento.
• Gli stakeholder lo implementano e lo seguono.

I documenti devono essere approvati formalmente e sottoposti a controllo delle versioni.

• Registrare autore, approvatore, data di approvazione e numero di versione.
• Tracciare le modifiche affinché gli auditor possano vedere la cronologia.
• Impostare un ciclo di revisione, in genere annuale.

Una policy che nessuno legge non serve a nulla. Distribuire i documenti, formare il personale e raccogliere le prese visione. La consapevolezza trasforma le regole scritte in comportamenti effettivi e fornisce evidenze della loro applicazione.

Le policy devono prevedere conseguenze concrete. Definire le conseguenze delle violazioni e, ove possibile, supportarle con controlli tecnici (ad esempio, applicare lo standard delle password nell'IdP, non solo sulla carta). Un'applicazione coerente mantiene credibile la policy.

Distingua una policy da una procedura.

La documentazione rende la sicurezza ripetibile e dimostrabile:

• Utilizzare la gerarchia: policy, standard, procedura, linea guida.
• Le policy stabiliscono le regole; le procedure forniscono i passaggi.
• Assegnare owner, approvare, gestire le versioni e revisionare regolarmente.
• Comunicare, formare il personale e applicare le regole per rendere concreti i documenti.