Dossier di due diligence del CISO: evidenze ISO 27001 per il 2026

Sono le 08:17 di un lunedì mattina. Maria, CISO di un fornitore fintech SaaS in rapida crescita, apre un’e-mail dell’amministratore delegato: “Richiesta dell’autorità di vigilanza. Entro venerdì servono evidenze che dimostrino che abbiamo segnalato tempestivamente il rischio del fornitore prima dell’indisponibilità, che il consiglio di amministrazione aveva compreso il rischio residuo e che la nostra decisione sulla segnalazione dell’incidente era documentata.”

Sei settimane prima, un fornitore critico di servizi cloud aveva subito un degrado regionale. Non sono stati persi fondi dei clienti. Non è stata confermata alcuna esfiltrazione di dati personali. Tuttavia, i clienti hanno perso l’accesso alle dashboard per ore, i ticket di supporto sono aumentati rapidamente e un cliente enterprise ora vuole la prova che l’azienda abbia rispettato NIS2, DORA e gli obblighi di sicurezza dell’Article 32 del GDPR.

Maria sa che il team ha agito responsabilmente. Ha informato la direzione sul rischio di concentrazione. Ha aperto un’eccezione quando i test della regione di backup sono slittati. Ha classificato l’evento, consultato la funzione legale, aggiornato i clienti e avviato azioni correttive. Ma nel 2026 la questione non è più soltanto se la funzione sicurezza abbia agito responsabilmente.

La questione è se il CISO possa dimostrare, con evidenze dotate di marcatura temporale, che i rischi sono stati identificati, comunicati, tracciati, accettati dal titolare corretto e gestiti fino alla chiusura.

Quella prova è il dossier di due diligence del CISO.

Per CISO, responsabili della conformità, auditor e responsabili di business, il dossier di due diligence non è un archivio documentale privato. È il livello di evidenze operative che collega ISO/IEC 27001:2022, responsabilità degli organi di gestione ai sensi di NIS2, governance e gestione del rischio ICT ai sensi di DORA, e sicurezza del trattamento ai sensi dell’Article 32 del GDPR in una narrazione coerente. Se realizzato correttamente, dimostra che il responsabile della sicurezza ha fornito indicazioni chiare, che il management ha assunto decisioni informate e che i controlli dell’organizzazione non sono stati soltanto dichiarati, ma sono stati eseguiti, riesaminati e migliorati.

Perché la due diligence del CISO conta nel 2026

Il contesto regolatorio si è spostato dalle dichiarazioni di policy all’accountability dimostrabile. Le rassicurazioni generiche non sono più sufficienti. Autorità di vigilanza, consigli di amministrazione, clienti e assicuratori chiedono sempre più spesso evidenze di governance.

NIS2 attribuisce responsabilità esplicite agli organi di gestione. L’Article 20 richiede agli organi di gestione dei soggetti essenziali e importanti di approvare le misure di gestione dei rischi di cibersicurezza, sovrintendere alla loro attuazione e completare la formazione in materia di cibersicurezza. L’Article 21 richiede inoltre misure tecniche, operative e organizzative adeguate e proporzionate, tra cui analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, sviluppo sicuro, valutazione dell’efficacia, igiene cyber, formazione, crittografia, controllo degli accessi, gestione degli asset e autenticazione.

Per le entità finanziarie rientranti nell’ambito di applicazione, DORA innalza ulteriormente l’asticella. L’Article 5 rende l’organo di gestione ultimamente responsabile della gestione del rischio ICT. L’Article 6 richiede un quadro di riferimento per la gestione del rischio ICT solido, completo e ben documentato. DORA richiede inoltre classificazione e segnalazione degli incidenti, test di resilienza operativa digitale, audit interno per le imprese diverse dalle microimprese, tracciamento delle azioni di remediation e governance dei fornitori terzi ICT. DORA si applica dal 17 gennaio 2025 e, per le entità finanziarie rientranti nell’ambito di applicazione, opera come atto giuridico dell’Unione specifico di settore per gli obblighi NIS2 sovrapposti in materia di gestione del rischio e segnalazione.

Il GDPR aggiunge una lente di accountability distinta ma connessa. L’Article 5(2) richiede ai titolari del trattamento di essere responsabili del rispetto dei principi di protezione dei dati e in grado di dimostrarlo. L’Article 32 richiede misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. Per organizzazioni SaaS, fintech e di servizi gestiti che trattano dati personali dell’UE, ciò significa che le evidenze devono mostrare in che modo i rischi per riservatezza, integrità, disponibilità e resilienza sono stati valutati e trattati.

La preoccupazione personale dei CISO è comprensibile. Se responsabilità del management, scrutinio delle autorità, due diligence dei clienti ed esposizione a contenziosi convergono dopo un’indisponibilità o una violazione, un registro dei rischi da solo non basta. Il CISO necessita di un dossier di evidenze strutturato che mostri giudizio professionale, escalation tempestive, raccomandazioni chiare, eventuale dissenso, rischi accettati e assurance sui controlli.

Il dossier di due diligence non è un SGSI ombra

Un errore comune in sede di audit consiste nel trattare il dossier di due diligence del CISO come un archivio privato separato dal SGSI. Questo crea due rischi. Primo, le evidenze diventano incoerenti. Secondo, può sembrare che il CISO fosse a conoscenza dei rischi ma non li abbia integrati nella governance.

L’approccio di Clarysec è diverso. Il dossier di due diligence del CISO è una vista curata delle evidenze del SGSI rilevanti per l’accountability del management. Non sostituisce il registro dei rischi, la dichiarazione di applicabilità, il registro degli incidenti, il registro dei fornitori, i rapporti di audit o i verbali del riesame della direzione. Li indicizza, li collega e li rende difendibili.

Il Zenith Blueprint: roadmap in 30 fasi per auditor fornisce la base pratica. Nella fase Fondazione e leadership del SGSI, la Fase 4 sottolinea che il responsabile del SGSI o il responsabile della sicurezza coordina attuazione, audit e sensibilizzazione e “deve avere accesso diretto all’alta direzione per segnalare le problematiche”. Osserva inoltre che i titolari del rischio devono essere designati per i rischi principali e che l’organizzazione deve definire chi approva formalmente le decisioni di trattamento del rischio.

Questo è il primo principio della due diligence del CISO: il responsabile della sicurezza formula raccomandazioni e attiva le escalation, ma titolarità e accettazione del rischio devono essere esplicite.

Nella fase Gestione del rischio, la Fase 13 del Zenith Blueprint rende operativo questo principio:

Le decisioni di trattamento del rischio e la SoA devono essere riesaminate e approvate dall’alta direzione. Spesso ciò avviene in una riunione o almeno tramite approvazione formale. Assicurarsi di informare la direzione su:

✓ i principali rischi e i trattamenti proposti, ✓ eventuali rischi che si suggerisce di accettare (devono accettarli formalmente), ✓ l’elenco dei controlli che si intende implementare (evidenziati nella SoA). L’approvazione della direzione dimostra che l’organizzazione è consapevole delle azioni necessarie e si impegna a realizzarle (questa costituirà anche evidenza documentata per l’audit).

Per un CISO, questa indicazione non è solo preparazione all’audit ISO. È architettura della due diligence. Se un rischio elevato viene accettato, rinviato o sottofinanziato, il dossier deve mostrare il rischio, la raccomandazione, la decisione di business, il ruolo approvante, il riferimento alla propensione al rischio e la data di riesame.

ISO 27001:2022 è il motore delle evidenze

ISO 27001 è più di un obiettivo di certificazione. È un modello operativo per governance, trattamento del rischio, assurance e miglioramento continuo. La clausola 0.1 stabilisce che un SGSI è destinato a essere integrato nei processi dell’organizzazione e nella struttura complessiva di gestione. Questa integrazione trasforma il lavoro ordinario di sicurezza in un motore affidabile di generazione delle evidenze.

Le clausole principali di ISO 27001:2022 che alimentano il dossier di due diligence del CISO sono:

• Clausole 4.1 e 4.2, contesto e parti interessate, che documentano obblighi legali, normativi, contrattuali e degli stakeholder.
• Clausola 4.3, campo di applicazione del SGSI, che definisce servizi, sedi, sistemi e confini coperti.
• Clausola 5.1, leadership e impegno, che richiede all’alta direzione di supportare il SGSI e assicurare che raggiunga i risultati attesi.
• Clausola 5.3, ruoli, responsabilità e autorità organizzative, che supporta una chiara titolarità del rischio e percorsi di escalation.
• Clausole 6.1.2 e 6.1.3, valutazione del rischio per la sicurezza delle informazioni e trattamento del rischio, che richiedono criteri di rischio coerenti, approvazione da parte del titolare del rischio, piani di trattamento del rischio, accettazione del rischio residuo e dichiarazione di applicabilità.
• Clausola 8.1, pianificazione e controllo operativi, che richiede all’organizzazione di pianificare, attuare e controllare i processi necessari per soddisfare i requisiti del SGSI.
• Clausole 9.2 e 9.3, audit interno e riesame della direzione, che generano evidenze di assurance indipendente e supervisione da parte della leadership.
• Clausola 10.1, miglioramento continuo, e clausola 10.2, non conformità e azione correttiva, che dimostrano il follow-up.

Questo approccio sistematico garantisce che le evidenze richieste dall’amministratore delegato di Maria non vengano create in emergenza. Esistono già, se il SGSI è stato progettato per produrre e preservare registrazioni idonee a supportare le decisioni.

Cosa deve contenere un dossier di due diligence del CISO

Un buon dossier di due diligence risponde a sette domande che un auditor, un’autorità di vigilanza, un membro del consiglio di amministrazione o un cliente può porre dopo un’interruzione:

1. Che cosa sapeva il CISO?
2. Quando lo ha saputo?
3. Quale raccomandazione ha formulato?
4. Chi era titolare del rischio?
5. Che cosa ha approvato, respinto, rinviato o accettato il management?
6. Come sono stati testati o monitorati i controlli?
7. Che cosa è cambiato dopo incidenti, audit, avvisi dei fornitori o eccezioni?

La struttura seguente funziona per fornitori SaaS, società fintech, fornitori di servizi gestiti, Managed Security Services, operatori di infrastrutture digitali e fornitori tecnologici che supportano clienti regolamentati.

Questo dossier è particolarmente importante per i settori NIS2 come cloud computing, data center, reti di distribuzione dei contenuti, fornitori di servizi gestiti, fornitori di Managed Security Services, fornitori di comunicazioni pubbliche e alcune entità dell’infrastruttura finanziaria. L’ambito di applicazione NIS2 dipende da settore, tipo di entità e dimensione, con gli Stati membri tenuti a istituire elenchi di soggetti essenziali e importanti. Anche le organizzazioni fuori dall’ambito diretto possono subire obblighi a cascata di natura contrattuale da clienti che rientrano nell’ambito.

Per DORA, il dossier deve distinguere se l’organizzazione è l’entità finanziaria regolamentata, un fornitore terzo di servizi ICT o entrambi in relazioni diverse. Le entità finanziarie devono mantenere governance, gestione del rischio ICT, segnalazione degli incidenti, test di resilienza e controlli sui rischi di terze parti. Ai fornitori ICT sarà richiesto sempre più spesso di supportare evidenze, diritti di audit, assistenza sugli incidenti, test e pianificazione dell’uscita.

La dorsale delle politiche Clarysec per registrazioni difendibili

Il valore del dossier di due diligence dipende dalla qualità delle registrazioni. Le politiche Clarysec sono redatte per rendere tale traccia documentale una normale prassi aziendale, non una risposta d’emergenza a una lettera dell’autorità di vigilanza.

Per le PMI, [P02S] Politica per ruoli e responsabilità di governance - PMI stabilisce nella clausola 5.5:

Tutte le decisioni di sicurezza significative, le eccezioni e le escalation devono essere registrate e tracciabili.

Per le imprese, [P02] Politica per ruoli e responsabilità di governance stabilisce nella clausola 6.5:

Tutte le escalation devono essere registrate nei log e tracciate, con evidenza della risoluzione o dell’accettazione formale.

Insieme, queste clausole definiscono lo standard probatorio. Una vulnerabilità significativa, una dipendenza da un fornitore, un ritardo nei controlli o un’eccezione ricorrente non deve esistere solo nei messaggi di chat o nella memoria delle persone. Deve essere registrata, assegnata, tracciata e chiusa mediante risoluzione o accettazione formale.

L’accettazione del rischio richiede la stessa disciplina. [P06S] Politica di gestione del rischio - PMI richiede nella clausola 5.1.2:

Ogni voce di rischio deve includere: descrizione, probabilità, impatto, punteggio, titolare e piano di trattamento del rischio.

La stessa politica per PMI aggiunge nella clausola 7.2.1:

Qualsiasi decisione di accettare o rinviare il trattamento di un rischio elevato o medio deve essere documentata nel Registro dei rischi. Tale documentazione deve includere:

Per le organizzazioni più grandi, [P06] Politica di gestione del rischio stabilisce nella clausola 6.3.4:

I rischi accettati senza trattamento devono essere giustificati per iscritto, collegati alla propensione al rischio dell’organizzazione e approvati al livello appropriato.

In un contesto NIS2 o DORA, questo è rilevante perché ci si attende che gli organi di gestione approvino, supervisionino e comprendano le decisioni in materia di cibersicurezza e rischio ICT. In un contesto GDPR Article 32, aiuta a dimostrare che le misure di sicurezza sono state selezionate, rinviate o adeguate attraverso un processo documentato basato sul rischio.

Anche le evidenze sugli incidenti devono essere strutturate. [P30S] Politica di risposta agli incidenti - PMI richiede:

Tutte le indagini sugli incidenti, le risultanze e le azioni correttive devono essere registrate in un registro degli incidenti mantenuto dal Direttore generale.

[P30] Politica di risposta agli incidenti richiede:

Tutti gli incidenti devono essere registrati nel sistema di gestione degli incidenti di sicurezza (SIMS), includendo:

Queste clausole supportano la segnalazione a fasi prevista da NIS2 e la governance degli incidenti ICT prevista da DORA. NIS2 richiede un preallarme entro 24 ore per gli incidenti significativi, una notifica entro 72 ore e un rapporto finale entro un mese dalla notifica dell’incidente. DORA richiede una gestione formale degli incidenti ICT, classificazione per gravità e criticità del servizio impattato, escalation all’alta direzione, consapevolezza dell’organo di gestione, comunicazione ai clienti ove richiesta e segnalazione a fasi per gli incidenti rilevanti connessi all’ICT.

Anche le evidenze dell’audit richiedono integrità. [P33S] Politica di audit e monitoraggio della conformità - PMI stabilisce:

I metadati (ad es. chi li ha raccolti, quando e da quale sistema) devono essere documentati.

[P33] Politica di audit e monitoraggio della conformità stabilisce:

Tutte le attività di audit devono essere documentate e conservate nel repository del SGSI.

Infine, [P01] Politica per la sicurezza delle informazioni offre una sede pratica alla reportistica verso la leadership. La clausola 4.2.4 stabilisce:

Riporta lo stato del SGSI, gli incidenti, i risultati degli audit e le metriche all’alta direzione.

Questa clausola supporta il principio di due diligence secondo cui stato degli incidenti, metriche, esiti dell’audit e rischi non risolti devono raggiungere l’alta direzione in una forma utile alla supervisione.

Zenith Controls come bussola di conformità trasversale

Zenith Controls: guida alla conformità trasversale di Clarysec aiuta i CISO a collegare i controlli ISO/IEC 27002:2022 alle aspettative di conformità più ampie. Non è un quadro di controllo separato. È la guida Clarysec alla conformità trasversale per comprendere in che modo l’Annex A di ISO/IEC 27001:2022 e i controlli ISO/IEC 27002:2022 supportano altri obblighi, audit e richieste di evidenze.

Per il dossier di due diligence del CISO, tre aree di controllo sono centrali.

Il controllo ISO/IEC 27002:2022 5.4, Responsabilità della direzione, è un controllo preventivo di governance che supporta riservatezza, integrità e disponibilità. Zenith Controls lo colloca nel concetto Identify, con la governance come capacità operativa e governance più ecosistema come domini di sicurezza. Il messaggio pratico è chiaro: l’accountability del management non è simbolica. Richiede ruoli assegnati, risorse, leadership sulle politiche, supervisione e follow-up.

Zenith Controls collega direttamente 5.4 a 5.2 Ruoli e responsabilità per la sicurezza delle informazioni, 5.1 Politiche per la sicurezza delle informazioni, 5.35 Riesame indipendente della sicurezza delle informazioni, 5.36 Conformità a politiche, regole e standard per la sicurezza delle informazioni, e 5.8 Sicurezza delle informazioni nella gestione dei progetti. Un dossier di due diligence che contiene escalation ma non evidenze di assegnazione dei ruoli, approvazione delle politiche, riesame indipendente o integrazione nei progetti apparirà incompleto.

Anche il controllo 5.35, Riesame indipendente della sicurezza delle informazioni, è centrale. Zenith Controls lo descrive come preventivo e correttivo, collegato all’assurance della sicurezza delle informazioni. Si collega a 5.36 monitoraggio della conformità, 5.4 responsabilità della direzione, 5.27 apprendimento dagli incidenti di sicurezza delle informazioni, 5.33 protezione delle registrazioni, ed evidenze tecniche come 8.15 registrazione e 8.16 attività di monitoraggio. In termini di due diligence, il riesame indipendente dimostra che il management non si è basato solo sull’autodichiarazione del team di sicurezza delle informazioni.

Il controllo 5.36, Conformità a politiche, regole e standard per la sicurezza delle informazioni, fornisce il livello di applicazione. Zenith Controls lo collega a politiche, processo disciplinare, riesame indipendente, ruoli, valutazione degli eventi, registrazione, monitoraggio, protezione delle registrazioni e contatto con gruppi di interesse speciali. Per un CISO, ciò significa che il dossier non deve mostrare soltanto l’esistenza di una politica. Deve mostrare monitoraggio dell’aderenza, segnalazione della non conformità e azione correttiva.

Mappatura di conformità trasversale: un dossier di evidenze, molte prospettive

Il dossier di due diligence più efficiente mappa le stesse evidenze su più obblighi. Questo evita programmi di conformità duplicati e riduce il rischio di narrazioni contraddittorie.

NIST CSF 2.0 è utile perché offre un linguaggio comune per governance, rischio della catena di fornitura, resilienza operativa, gestione degli incidenti e ripristino. La sua funzione GOVERN copre contesto organizzativo, obblighi legali e normativi, propensione al rischio, ruoli, politiche e supervisione. Il metodo CSF Profiles supporta valutazione dello stato corrente, definizione dello stato target, analisi delle lacune e pianificazione prioritaria delle azioni. Questo si allinea naturalmente all’approccio di due diligence di Clarysec: definire l’ambito del dossier, raccogliere evidenze, mappare obblighi, identificare lacune, attuare azioni e aggiornare continuativamente.

Un pacchetto pratico di escalation del rischio

Si consideri un fornitore SaaS il cui servizio di autenticazione dipende da un unico provider di identità cloud. Il CISO identifica un rischio ad alto impatto su disponibilità e controllo degli accessi: se il provider di identità subisce una grave indisponibilità, i clienti non possono accedere, i workflow di accesso privilegiato possono subire ritardi e la risposta agli incidenti può essere compromessa.

Un pacchetto di escalation del rischio difendibile deve contenere cinque parti.

Primo, creare la voce di rischio. Utilizzare il requisito della Politica di gestione del rischio - PMI secondo cui ogni voce di rischio deve includere descrizione, probabilità, impatto, punteggio, titolare e piano di trattamento del rischio. La voce deve identificare asset e servizi interessati, compresi portale clienti, console amministrativa, strumenti di supporto e processo di accesso d’emergenza. Deve registrare impatto CIA, probabilità, impatto, punteggio di rischio, titolare del rischio, trattamento proposto, rischio residuo, data obiettivo e budget.

Secondo, collegare il trattamento alla dichiarazione di applicabilità. I controlli pertinenti possono includere sicurezza dei fornitori, gestione dei servizi cloud, gestione delle identità e degli accessi, accesso privilegiato, monitoraggio, pianificazione degli incidenti, prontezza per la continuità operativa, backup e registrazione. Questo segue la Fase 13 del Zenith Blueprint, in cui le decisioni di trattamento del rischio e la SoA sono riesaminate e approvate dall’alta direzione.

Terzo, preparare il memo di raccomandazione del CISO. Il memo deve rispondere a cosa può andare storto, quali servizi regolamentati o impegni verso i clienti possono essere interessati, quali sono le implicazioni NIS2, DORA e GDPR, quale trattamento è raccomandato, quali sono costi e tempistiche e quale rischio residuo rimane se il management rinvia.

Quarto, registrare la decisione del management. Se il management approva il trattamento, conservare la decisione firmata, l’approvazione del budget e il piano di attuazione. Se il management rinvia, la Politica di gestione del rischio enterprise richiede una giustificazione scritta collegata alla propensione al rischio e l’approvazione al livello appropriato. Il dossier deve mostrare la raccomandazione del CISO e la decisione del management come artefatti separati.

Quinto, aggiungere evidenze di assurance. Includere risultati dei test degli account break glass, piano di comunicazione degli incidenti del fornitore, riesame del contratto, evidenze SLA, test degli avvisi di monitoraggio, note dell’esercitazione tabletop, azioni correttive e risultanze dell’audit interno. Nella Fase 23 del Zenith Blueprint, Clarysec raccomanda di validare le capacità di gestione degli incidenti selezionando un evento recente o conducendo un’esercitazione tabletop, acquisendo e registrando decisioni, ruoli e comunicazioni, aggiornando il piano con le lezioni apprese e confermando le procedure di conservazione delle evidenze forensi. Queste sono esattamente le evidenze che il dossier deve preservare.

Decisioni sugli incidenti: dimostrare il perché delle scelte di segnalazione

Dopo un evento cyber, la questione più contestata spesso non è la cronologia tecnica. È la decisione di segnalazione.

Era significativo ai sensi di NIS2? Era rilevante ai sensi di DORA? Era una violazione dei dati personali ai sensi del GDPR? Clienti o destinatari sono stati notificati? Chi ha deciso? Sulla base di quali fatti?

Il dossier di due diligence del CISO deve includere una registrazione della decisione sull’incidente per ogni evento significativo, anche se la decisione finale è “non soggetto a segnalazione”. Tale registrazione deve includere:

• Data e ora di conoscenza dell’evento.
• Sintesi dell’evento e sistemi interessati.
• Gravità iniziale e impatto sull’attività.
• Causa malevola nota o sospetta.
• Indicatori di impatto transfrontaliero.
• Valutazione dei dati personali.
• Impatto su clienti o destinatari del servizio.
• Analisi dei criteri di incidente rilevante DORA, se applicabile.
• Analisi dei criteri di incidente significativo NIS2, se applicabile.
• Partecipanti della funzione legale, DPO, conformità e management.
• Decisione, motivazione e approvazione.
• Trigger di follow-up se i fatti cambiano.

NIS2 definisce gli incidenti significativi in base a grave interruzione operativa, perdita finanziaria o danno materiale o immateriale considerevole ad altre persone. DORA richiede alle entità finanziarie di registrare gli incidenti connessi all’ICT e le minacce informatiche significative, classificare gli incidenti utilizzando criteri quali clienti interessati, downtime, diffusione geografica, perdita di dati, criticità e impatto economico, ed effettuare escalation degli incidenti rilevanti all’alta direzione informando al contempo l’organo di gestione.

Il dossier di due diligence deve preservare sia i fatti conosciuti al momento della decisione sia la motivazione dell’azione o della mancata segnalazione. Se i fatti cambiano successivamente, il dossier deve mostrare la rivalutazione.

Gli avvisi sui fornitori sono il banco di prova della diligenza

Le evidenze sulla catena di fornitura stanno diventando una delle sezioni più importanti del dossier del CISO. NIS2 Article 21 richiede sicurezza della catena di fornitura e si aspetta che le organizzazioni considerino vulnerabilità specifiche dei fornitori, qualità del prodotto, pratiche di cibersicurezza e procedure di sviluppo sicuro. I considerando incoraggiano misure di gestione dei rischi di cibersicurezza nei contratti con fornitori diretti e prestatori di servizi.

DORA è più prescrittivo per le entità finanziarie. Il rischio ICT di terze parti deve far parte del quadro di riferimento per il rischio ICT. Le organizzazioni devono mantenere un registro degli accordi contrattuali, svolgere due diligence precontrattuale, valutare il rischio di concentrazione, considerare catene di subappalto e dipendenze da paesi terzi, includere diritti di audit e di accesso, definire assistenza sugli incidenti, testare le strategie di uscita e mantenere diritti di risoluzione.

Per il CISO, gli avvisi sui fornitori devono essere documentati prima che il fornitore fallisca. Il dossier deve includere:

• Inventario dei fornitori critici e mappatura dei servizi.
• Valutazione del rischio del fornitore e relativa motivazione.
• Questionari di sicurezza e riesami delle evidenze.
• Analisi delle lacune contrattuali su diritto di audit, notifica degli incidenti, localizzazione dei dati, subappalto e uscita.
• Valutazione del rischio di concentrazione.
• Vulnerabilità note o avvisi pubblici che interessano il fornitore.
• Raccomandazioni del CISO alla funzione legale, all’approvvigionamento e al management.
• Lacune accettate e controlli compensativi.
• Evidenze dei test della strategia di uscita per fornitori critici.

Questo si allinea strettamente a NIST CSF 2.0 GV.SC, che copre strategia di gestione del rischio della catena di fornitura, ruoli dei fornitori, prioritizzazione per criticità, requisiti contrattuali, due diligence, monitoraggio continuo, pianificazione degli incidenti e attività di fine rapporto.

Come auditor e autorità di vigilanza leggeranno il dossier

Revisori diversi affrontano le stesse evidenze da angolazioni diverse. Un dossier di due diligence solido anticipa tali angolazioni.

Un auditor ISO 27001 presterà particolare attenzione alle informazioni documentate a supporto del processo di valutazione e trattamento del rischio. Le clausole 6.1.2 e 6.1.3 richiedono criteri di accettazione del rischio, valutazioni coerenti, titolari del rischio, livelli di rischio, prioritizzazione, piani di trattamento del rischio, confronto con la SoA e accettazione del rischio residuo. Le clausole 8.1-8.3 richiedono controllo operativo, rivalutazione pianificata del rischio o rivalutazione dopo modifiche significative, e conservazione dei risultati.

Un’autorità NIS2 o un valutatore cliente guarderà ad accountability del management e proporzionalità. Chiederà se le misure erano adeguate rispetto a esposizione al rischio, dimensione, probabilità, gravità, impatto sociale o economico, stato dell’arte e standard applicabili.

Un revisore focalizzato su DORA cercherà tracciabilità della governance. L’organo di gestione ha definito la tolleranza al rischio ICT? Ha approvato piani di continuità e risposta? Gli incidenti rilevanti sono stati oggetto di escalation? I test di resilienza erano basati sul rischio e sono stati seguiti da remediation? I contratti con terze parti ICT e i rischi di concentrazione sono stati gestiti?

Un’autorità GDPR si concentrerà su accountability e sicurezza del trattamento. Chiederà se i dati personali sono stati classificati, se i ruoli di trattamento erano compresi, se sono state implementate misure tecniche e organizzative adeguate e se le decisioni sulle violazioni erano basate su evidenze.

Metriche che proteggono l’organizzazione e il CISO

Le metriche non sono elementi decorativi. In un dossier di due diligence mostrano se il CISO ha fornito al management visibilità sufficiente per agire.

Le metriche utili includono:

• Rischi elevati e medi accettati, scaduti o senza titolare.
• Vulnerabilità critiche fuori SLA.
• Eccezioni per anzianità, unità organizzativa e ruolo approvante.
• Rischi dei fornitori per criticità e lacune contrattuali non risolte.
• Tempo medio degli incidenti per rilevare, rispondere e ripristinare.
• Valutazioni della soggezione a segnalazione completate entro le finestre decisionali richieste.
• Tassi di successo dei test di backup e ripristino.
• Completamento del riesame degli accessi ed eccezioni di accesso privilegiato.
• Risultanze dell’audit interno per gravità e azioni correttive scadute.
• Completamento della formazione e sensibilizzazione alla sicurezza per management e personale.

Queste metriche supportano la reportistica di leadership ISO 27001, formazione e supervisione NIS2, reportistica sul rischio ICT DORA e accountability GDPR. Proteggono inoltre il CISO mostrando se vincoli di risorse, eccezioni non risolte o malfunzionamenti ricorrenti dei controlli erano visibili al management.

Il dossier di due diligence deve preservare snapshot mensili o trimestrali. Non sovrascrivere vecchie dashboard senza conservare evidenze. Se il management ha visto una metrica rossa e ha rinviato il trattamento, tale decisione appartiene al dossier.

Da toolkit pronto per l’audit a evidenze pronte per il CISO

Nella fase Audit, riesame e miglioramento, la Fase 30 del Zenith Blueprint raccomanda di compilare un toolkit pronto per l’audit:

Riunire tutti i principali documenti e registrazioni del SGSI in un unico repository o cartella. Questo rende semplice, durante l’audit di certificazione, recuperare rapidamente qualunque elemento richiesto dall’auditor.

La checklist include la dichiarazione del campo di applicazione del SGSI, politiche, rapporto di valutazione del rischio, registro dei rischi, piano di trattamento del rischio, dichiarazione di applicabilità, inventario degli asset, registrazioni della formazione, registrazioni operative quali log degli incidenti e richieste di accesso, rapporti di audit interno, verbali del riesame della direzione, azioni correttive e registrazioni degli obblighi di conformità.

Il dossier di due diligence del CISO è un livello specializzato all’interno di quel toolkit. Non deve duplicare tutto. Deve indicizzare le evidenze più rilevanti per giudizio professionale e accountability del management.

Una struttura pratica delle cartelle è:

• 00 Leggimi e indice delle evidenze.
• 01 Ruolo, autorità e linea di reporting.
• 02 Obblighi di conformità e ambito di applicazione.
• 03 Report al management e raccomandazioni.
• 04 Accettazioni del rischio ed eccezioni.
• 05 Decisioni sugli incidenti e comunicazioni.
• 06 Avvisi sui fornitori e rischi contrattuali.
• 07 Assurance sui controlli e riesami indipendenti.
• 08 Metriche e problematiche aperte.
• 09 Riesame della direzione e follow-up CAPA.
• 10 Conservazione legale, integrità delle evidenze e metadati.

Ogni voce deve avere un titolare, una data, un sistema sorgente, un ID del rischio correlato, un controllo correlato, uno stato della decisione e un requisito di conservazione. Questo applica il principio Clarysec sulle evidenze tratto dalla Politica di audit e monitoraggio della conformità - PMI: i metadati contano.

Iniziare prima del prossimo incidente

Un dossier di due diligence del CISO ha il massimo valore quando esiste prima dell’indisponibilità, della violazione, dell’audit o della lettera dell’autorità di vigilanza. Inizia con tre azioni questa settimana.

Primo, crea un indice delle evidenze di due diligence del CISO e mappalo sul tuo registro dei rischi ISO 27001, sulla SoA, sul registro degli incidenti, sul registro dei fornitori e sul pacchetto di riesame della direzione.

Secondo, riesamina gli ultimi tre rischi elevati o medi. Conferma che ciascuno abbia un titolare, un piano di trattamento del rischio, una decisione sul rischio residuo, un riferimento alla propensione al rischio ed evidenze di approvazione. In caso contrario, riapri la registrazione di governance.

Terzo, svolgi un’esercitazione tabletop di 90 minuti su un’indisponibilità di un fornitore o una sospetta violazione dei dati. Usa la Fase 23 del Zenith Blueprint per acquisire decisioni, ruoli, comunicazioni e lezioni apprese, quindi archivia le evidenze nella sezione dedicata alle decisioni sugli incidenti.

Clarysec può aiutarti a rendere operativo tutto questo rapidamente. Il nostro metodo di attuazione in 30 fasi, la suite di politiche e la mappatura di conformità trasversale Zenith Controls ti offrono una struttura difendibile e pronta per l’audit per evidenze ISO 27001, responsabilità degli organi di gestione ai sensi di NIS2, governance DORA e accountability della sicurezza ai sensi dell’Article 32 del GDPR.

Per costruire con fiducia il tuo dossier di due diligence del CISO, inizia dal Zenith Blueprint, allinea le tue registrazioni di governance e rischio con le politiche Clarysec e usa Zenith Controls come bussola di conformità trasversale.