Governance del ciclo di vita dei dati secondo ISO 27001 per il 2026

Maria, Chief Information Security Officer (CISO) di una fintech in rapida crescita, visse uno di quei venerdì pomeriggio in cui una lacuna di conformità diventa un tema da Consiglio di amministrazione.

L’azienda si era appena espansa in nuovi mercati dell’UE. I ricavi crescevano, l’acquisizione dei clienti accelerava e nuovi strumenti SaaS venivano introdotti ogni settimana. Poi arrivarono, quasi contemporaneamente, tre messaggi.

La funzione legale segnalò che le autorità di controllo per la protezione dei dati stavano intensificando l’applicazione delle norme sulla limitazione della conservazione previste dal GDPR. La funzione compliance le ricordò che gli obblighi di rischio ICT previsti da DORA erano ormai una realtà operativa. Il Consiglio chiese se l’esposizione dell’organizzazione a NIS2, inclusi i requisiti relativi ai fornitori e all’igiene informatica, fosse sotto controllo.

Poi un cliente richiese la cancellazione del proprio account e di tutti i dati personali associati.

La richiesta, apparentemente semplice, si trasformò in una corsa interfunzionale. La funzione legale affermò che alcune registrazioni potevano essere necessarie per una controversia contrattuale. La finanza disse che le registrazioni obbligatorie per legge dovevano essere conservate. Il prodotto confermò che i dati del cliente erano presenti nel database di produzione, nella piattaforma di analisi, nei ticket di supporto, nell’object storage, nei log Kubernetes, negli snapshot del database e in uno strumento di customer success di terze parti. Il team di ingegneria cloud chiese quali backup contenessero quei dati. Il Responsabile della protezione dei dati (DPO) chiese se qualche copia fosse ancora trattata fuori dall’UE. Maria chiese evidenze.

Qualcuno, alla fine, pronunciò la frase che mise in luce il vero problema:

“Non abbiamo un unico punto in cui questo ciclo di vita sia visibile.”

Questo è il problema della governance del ciclo di vita dei dati nel 2026. Non riguarda solo la conservazione dei dati. Riguarda classificazione, titolarità, base giuridica, accesso, localizzazione, replica, conservazione dei backup, conservazione legale, dismissione dei servizi cloud, cancellazione presso i fornitori, riesame degli archivi, evidenze degli incidenti e smaltimento giuridicamente sostenibile.

Per PMI, fintech, fornitori di servizi gestiti, aziende cloud-first e organizzazioni regolamentate, il rischio non è più che i dati manchino. Il rischio è che i dati siano ovunque: duplicati, obsoleti, con autorizzazioni eccessive, classificati in modo insufficiente e impossibili da dimostrare come cancellati.

Un programma maturo di governance del ciclo di vita dei dati secondo ISO 27001 trasforma quella corsa in un flusso di lavoro controllato.

Perché la governance del ciclo di vita dei dati è cambiata nel 2026

GDPR, NIS2 e DORA sono spesso trattati come tre checklist di conformità separate. È il modello operativo sbagliato. Sono espressioni normative diverse dello stesso requisito aziendale: conoscere i propri dati, proteggerli in base al rischio, conservarli per la ragione corretta e dimostrare cosa è accaduto loro.

GDPR Article 5 richiede che i dati personali siano trattati in modo lecito, corretto e trasparente, raccolti per finalità determinate, limitati a quanto necessario, esatti, conservati solo per il tempo necessario e protetti contro trattamenti non autorizzati o illeciti, perdita accidentale, distruzione o danno. Article 5(2) aggiunge la responsabilizzazione, ossia il titolare del trattamento deve poter dimostrare la conformità. La governance della conservazione ai sensi del GDPR non è quindi un esercizio su foglio di calcolo. Richiede evidenze operative.

NIS2 rende la cibersicurezza una responsabilità degli organi di gestione. Article 20 definisce le aspettative di governance per gli organi di gestione, mentre Article 21 richiede misure tecniche, operative e organizzative adeguate e proporzionate. Queste includono analisi dei rischi, politiche di sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, sviluppo sicuro, valutazione dell’efficacia, igiene informatica, formazione, crittografia, controllo degli accessi e gestione degli asset. I dati sconosciuti o obsoleti non sono solo un problema di privacy. Sono un problema di superficie di attacco.

DORA rende direttamente applicabili, per gli enti finanziari, la gestione del rischio ICT, la resilienza operativa e il rischio ICT di terze parti. Articles 5 e 6 attribuiscono la responsabilità all’organo di gestione e richiedono un quadro documentato per la gestione del rischio ICT. DORA si aspetta inoltre che gli enti finanziari proteggano disponibilità, autenticità, integrità e riservatezza dei dati, mantengano capacità di gestione degli incidenti, testino la resilienza e governino le dipendenze ICT da terze parti.

DORA opera generalmente come regime settoriale specifico per gli obblighi operativi di cibersicurezza sovrapposti applicabili agli enti finanziari, mentre NIS2 resta rilevante per l’ecosistema più ampio, inclusi fornitori cloud, fornitori di servizi gestiti e molte organizzazioni di infrastrutture digitali. Questo è importante perché una fintech può ricadere direttamente in DORA, mentre il suo fornitore SaaS o il suo fornitore di servizi gestiti può rientrare nel perimetro NIS2.

ISO/IEC 27001:2022 è il sistema di gestione che può tenere insieme questi obblighi. Le clausole da 4.1 a 4.4 richiedono all’organizzazione di comprendere il proprio contesto, le parti interessate, i requisiti legali e contrattuali e il campo di applicazione del SGSI. Le clausole da 5.1 a 5.3 richiedono leadership, ruoli e responsabilità. Le clausole 6.1.2 e 6.1.3 richiedono valutazione del rischio per la sicurezza delle informazioni, trattamento del rischio, selezione dei controlli, confronto con l’Allegato A e conservazione di informazioni documentate.

Questa struttura spiega perché ISO 27001 non è “un’altra checklist”. È il sistema operativo della governance del ciclo di vita dei dati.

Il modello del ciclo di vita: sette domande a cui ogni titolare dei dati deve rispondere

Un modello pratico di governance del ciclo di vita dei dati dovrebbe rispondere a sette domande per ogni categoria di dati rilevante:

1. Quali sono i dati?
2. Perché li trattiamo?
3. Chi ne è titolare?
4. Quanto sono sensibili?
5. Dove risiedono e dove vengono replicati?
6. Per quanto tempo devono essere conservati, oppure sospesi dalla cancellazione?
7. Come li proteggiamo, riesaminiamo, cancelliamo e dimostriamo?

L’approccio di Clarysec collega queste domande ai controlli ISO 27001 e alle evidenze operative. In Zenith Blueprint: roadmap in 30 passi per auditor, la fase Controlli in azione considera l’inventario degli asset e la classificazione come fondamenti operativi, non come documentazione fine a sé stessa. Il passo 22 spiega che l’inventario dovrebbe includere beni fisici, risorse digitali, asset logici, asset correlati ai servizi e persone in termini di responsabilità, accesso ed esposizione.

Il Zenith Blueprint afferma:

“Ogni asset dovrebbe avere un proprietario definito, non la persona che lo utilizza, ma quella responsabile del suo uso, della sua protezione e del suo ciclo di vita.”

Questa frase è il punto di svolta. La governance del ciclo di vita dei dati fallisce quando la titolarità viene assegnata a “IT” o “al business”. Funziona quando un titolare nominativo e responsabile può approvare classificazione, conservazione, accesso, decisioni di conservazione legale, riesame degli archivi ed evidenze della cancellazione.

La Politica di gestione degli asset - PMI di Clarysec rafforza la stessa disciplina:

“Titolarità, finalità, privilegi di accesso e tempistiche di rinnovo devono essere documentati.”

Questo requisito compare nella Politica di gestione degli asset - PMI, sezione “Requisiti di applicazione della politica”, clausola 6.6.2. Senza titolarità e finalità, la conservazione diventa una supposizione e la cancellazione diventa rischiosa.

La classificazione è il primo controllo di conservazione

Molte organizzazioni provano a costruire piani di conservazione prima di disporre di una classificazione affidabile. Di norma, questo approccio fallisce.

Se un’esportazione del supporto clienti, un documento HR, una registrazione transazionale o un log applicativo non sono classificati, l’organizzazione non può decidere in modo coerente chi debba accedervi, dove possano essere archiviati, se possano essere usati nei test, con quale robustezza debbano essere cifrati, se richiedano protezione tramite conservazione legale o come debbano essere cancellati.

La Politica di classificazione ed etichettatura dei dati - PMI di Clarysec è esplicita:

“Tutti i documenti, i file e i sistemi devono essere classificati non appena vengono creati o ricevuti.”

Questo compare nella Politica di classificazione ed etichettatura dei dati - PMI, sezione “Requisiti di applicazione della politica”, clausola 6.1.1.

La Politica di classificazione ed etichettatura dei dati enterprise collega la classificazione all’intera catena di gestione:

“Tutte le attività di gestione, trasmissione, accesso, archiviazione e smaltimento delle informazioni devono essere coerenti con il relativo livello di classificazione. Come minimo:”

Questo compare nella Politica di classificazione ed etichettatura dei dati, sezione “Requisiti di applicazione della politica”, clausola 6.3.1.

Il Zenith Blueprint aggiunge indicazioni di implementazione per il controllo ISO/IEC 27002:2022 5.12, Classificazione delle informazioni. Uno schema di classificazione dovrebbe definire livelli quali Pubblico, Uso interno, Riservato e Altamente riservato, includere criteri basati sul danno derivante da accesso non autorizzato, perdita o modifica, applicarsi a tutte le forme di informazione e restare indipendente dal formato o dalla posizione di archiviazione.

In termini semplici, la classificazione segue il contenuto, non il luogo di archiviazione.

Un set di dati riservato non diventa meno rischioso perché è stato spostato da un database a uno strumento SaaS di analisi. Una registrazione soggetta a conservazione legale non perde il proprio stato perché è stata esportata in CSV. I dati personali non smettono di essere regolamentati perché compaiono dentro un messaggio di log.

La classificazione dovrebbe diventare metadato nel registro degli asset, nel registro di conservazione, nella mappa dei dati, nel riesame degli accessi, nella checklist di attivazione cloud e nel registro di smaltimento.

La dorsale dei controlli ISO 27001 per la governance del ciclo di vita

I programmi più efficaci per il ciclo di vita dei dati hanno una dorsale di controlli. Questa dorsale collega i controlli ISO/IEC 27002:2022 alle evidenze operative.

Zenith Controls: la guida alla conformità trasversale di Clarysec fornisce la guida alla conformità trasversale per questo lavoro. Per la governance del ciclo di vita dei dati, tre controlli sono centrali: 5.33 Protezione delle registrazioni, 5.34 Privacy e protezione dei dati personali identificabili e 8.10 Cancellazione delle informazioni.

In Zenith Controls, il controllo ISO/IEC 27002:2022 5.33, Protezione delle registrazioni, è descritto attraverso attributi di controllo preventivo a supporto di riservatezza, integrità e disponibilità, con capacità operative nelle aree legale e compliance, gestione degli asset e protezione delle informazioni. Si collega a backup, classificazione, smaltimento sicuro delle apparecchiature, requisiti legali e normativi, conformità alle politiche, controllo degli accessi e risposta agli incidenti.

Il controllo 5.34, Privacy e protezione dei dati personali identificabili, supporta riservatezza, integrità e disponibilità. Zenith Controls lo collega a inventario degli asset, mascheramento dei dati, sicurezza cloud, classificazione, trasferimento delle informazioni, controllo degli accessi, gestione delle identità e riesame di sicurezza di progetti e modifiche.

Il controllo 8.10, Cancellazione delle informazioni, è preventivo e focalizzato sulla riservatezza. Zenith Controls lo collega a etichettatura, trasferimento delle informazioni, proprietà intellettuale, accesso privilegiato, mascheramento dei dati, prevenzione della perdita di dati, protezione delle registrazioni, gestione della configurazione e conformità a politiche e standard.

Insieme, questi controlli creano la catena del ciclo di vita.

Questa tabella non serve solo agli auditor. È un modello operativo per CISO, DPO, responsabili compliance e titolari dei processi di business che hanno bisogno di un linguaggio di governance unico per privacy, cibersicurezza e resilienza.

Costruire il registro di conservazione prima del processo di cancellazione

Un processo di cancellazione senza un registro di conservazione è pericoloso. Può eliminare registrazioni che devono essere preservate, ignorare dati che dovrebbero essere cancellati o non distinguere tra cancellazione operativa e sospensione per conservazione legale.

La Politica di conservazione e smaltimento sicuro dei dati - PMI di Clarysec definisce la baseline:

“Un registro di conservazione deve essere istituito e mantenuto, con l’elenco delle principali categorie di registrazioni, dei requisiti legali e dei periodi di conservazione assegnati.”

Questo compare nella Politica di conservazione e smaltimento sicuro dei dati - PMI, sezione “Requisiti di governance”, clausola 5.1.1.

Per i programmi enterprise, la Politica di conservazione e smaltimento dei dati di Clarysec definisce l’obiettivo:

“Stabilire e applicare piani di conservazione coerenti basati su classificazione delle informazioni, tipologia di asset, leggi applicabili ed esposizione al rischio.”

Questo compare nella Politica di conservazione e smaltimento dei dati, sezione “Obiettivi”, clausola 3.3.

Un registro di conservazione utilizzabile dovrebbe collegare aspetti legali, operativi, di sicurezza e cloud.

Un registro di conservazione di una piccola fintech potrebbe includere:

Il punto essenziale è che la conservazione deve essere basata sul rischio e supportata da evidenze. La limitazione della conservazione prevista dal GDPR richiede che i dati personali non siano conservati più a lungo del necessario, ma consente anche la conservazione quando esiste un obbligo lecito o una necessità legittima. NIS2 si aspetta gestione degli asset, controllo degli accessi e igiene informatica. DORA si aspetta una gestione del rischio ICT documentata e disciplina di continuità. Il registro di conservazione è il luogo in cui questi obblighi diventano decisioni.

Le conservazioni legali devono essere ingegnerizzate, non inviate via e-mail

Un programma maturo di ciclo di vita deve cancellare i dati quando non sono più necessari, ma non deve cancellare registrazioni soggette a conservazione legale, indagine o preservazione per audit.

La Politica di conservazione e smaltimento sicuro dei dati - PMI è esplicita:

“Nessuna registrazione soggetta a conservazione legale e sospensione della cancellazione può essere distrutta o alterata, anche se il relativo periodo di conservazione è scaduto.”

Questo compare nella Politica di conservazione e smaltimento sicuro dei dati - PMI, sezione “Requisiti di applicazione della politica”, clausola 6.3.4.

La Politica di conservazione e smaltimento dei dati enterprise applica lo stesso principio di governance:

“Se viene emessa una conservazione legale e sospensione della cancellazione (ad es. per contenzioso, indagine o audit pendente), i dati altrimenti soggetti a distruzione devono essere preservati oltre il normale periodo di conservazione.”

Questo compare nella Politica di conservazione e smaltimento dei dati, sezione “Requisiti di applicazione della politica”, clausola 6.4.1.

La conservazione legale non dovrebbe essere una e-mail che potrebbe raggiungere o meno gli amministratori di sistema. Dovrebbe essere uno stato nel registro di conservazione, collegato a sistemi, categorie di registrazioni, custodi e automazioni di cancellazione.

Un flusso di lavoro sostenibile per la conservazione legale include:

• Trigger, quali contenzioso, richiesta dell’autorità di regolamentazione, incidente di sicurezza, audit o indagine interna
• Titolare della conservazione, normalmente la funzione legale o compliance
• Categorie di registrazioni, sistemi e custodi interessati
• Istruzioni di sospensione per job di cancellazione, scadenza dei backup e rimozione degli archivi
• Restrizioni di accesso per preservare l’integrità
• Riesame periodico della conservazione
• Approvazione del rilascio e ritorno documentato alla conservazione ordinaria
• Evidenza di cosa è stato preservato, da chi e quando

Questo è particolarmente importante durante la risposta agli incidenti. Log, immagini, esportazioni e comunicazioni possono dover essere preservati anche quando la normale conservazione è scaduta. La cancellazione deve essere controllata abbastanza da poter essere fermata, giustificata e ripresa.

La cancellazione nel cloud e nel SaaS è il punto in cui la governance del ciclo di vita si rompe

Nel 2026, la maggior parte delle organizzazioni non perde il controllo del ciclo di vita nel proprio database primario. Lo perde nei bucket di archiviazione cloud, nelle esportazioni SaaS, nelle piattaforme di supporto, negli allegati CRM, negli spazi di collaborazione, nei log API, nei data warehouse, negli snapshot e nei vault di backup.

Il Zenith Blueprint, fase Controlli in azione, passo 23, relativo al controllo ISO/IEC 27002:2022 5.23, Sicurezza delle informazioni per l’uso dei servizi cloud, avverte che i fornitori cloud mettono in sicurezza l’infrastruttura, ma il cliente resta responsabile di dati, configurazioni, politiche di accesso e preparazione alla risposta agli incidenti. Bucket configurati in modo errato, dashboard pubbliche e autorizzazioni IAM cloud eccessive sono fallimenti di governance, non fallimenti del provider.

Afferma inoltre che l’utilizzo del cloud deve essere trattato come parte del SGSI. Le organizzazioni devono classificare i servizi cloud, comprendere i dati trattati o archiviati al loro interno, valutare il livello di sicurezza del provider, stabilire clausole contrattuali e gestire modifiche o ampliamenti dell’ambito.

La Politica di utilizzo del cloud - PMI di Clarysec traduce questo in requisiti di dismissione:

“Conferma delle procedure di cancellazione sicura prima della chiusura dell’account”

Questo compare nella Politica di utilizzo del cloud - PMI, sezione “Requisiti di applicazione della politica”, clausola 6.3.5.

La Politica di utilizzo del cloud enterprise richiede governance su:

“Titolarità dei dati e restituzione o cancellazione alla risoluzione”

Questo compare nella Politica di utilizzo del cloud, sezione “Requisiti di governance”, clausola 5.4.1.

Per gli enti finanziari regolamentati da DORA, questa non è igiene facoltativa. DORA Article 28 richiede gestione del rischio ICT di terze parti, un registro degli accordi contrattuali ICT, due diligence precontrattuale, considerazione del rischio di concentrazione, diritti di audit e accesso, diritti di risoluzione e strategie di uscita per i servizi ICT a supporto di funzioni critiche o importanti. Article 30 richiede condizioni contrattuali che coprano descrizioni dei servizi, luoghi di trattamento e archiviazione, protezioni di disponibilità, autenticità, integrità e riservatezza, accesso ai dati, ripristino, restituzione, assistenza sugli incidenti e supporto alla transizione.

Per le entità NIS2, le decisioni sui fornitori devono considerare la cibersicurezza della catena di fornitura, nonché le vulnerabilità e la resilienza di prodotti e servizi. La governance del ciclo di vita dei dati deve quindi estendersi ai fornitori, non fermarsi all’approvazione dell’approvvigionamento.

Uno sprint di una settimana per creare un pacchetto di controlli del ciclo di vita

Non iniziare cercando di mappare ogni sistema dell’azienda. Parti da un flusso di dati ad alto rischio e crea un pacchetto di controlli ripetibile.

Giorno 1: scegliere un flusso di dati ad alto rischio

Seleziona un flusso di dati significativo, come acquisizione dei clienti, uscita dei dipendenti, gestione delle contestazioni di pagamento, gestione dei ticket di supporto o registrazione di sicurezza.

Per una fintech, l’acquisizione dei clienti è un candidato forte perché può includere documenti di identità, dati personali identificabili, registrazioni transazionali, indicatori di frode, provider di verifica di terze parti, archiviazione cloud, accesso al supporto e conservazione normativa.

Giorno 2: costruire il mini-inventario degli asset e dei dati

Usa il Zenith Blueprint, fase Controlli in azione, passo 22, controllo ISO/IEC 27002:2022 5.9, per censire beni fisici, risorse digitali, asset logici, asset correlati ai servizi e asset basati sulle responsabilità.

Documenta le categorie di dati raccolte, i sistemi di registrazione, le piattaforme SaaS che ricevono copie, API, integrazioni, ruoli utente, ruoli privilegiati, posizioni di backup, posizioni di archivio, titolare dei dati, proprietario del sistema, classificazione, indicatori PII e dipendenze dai fornitori.

L’obiettivo non è la perfezione. L’obiettivo è far emergere i punti di replica nascosti.

Giorno 3: applicare la logica di classificazione e accesso

Applica la Politica di classificazione ed etichettatura dei dati e classifica ogni categoria di dati. Poi verifica se le autorizzazioni di accesso riflettono la classificazione.

I documenti di identità dei clienti classificati come Riservati non dovrebbero essere ampiamente accessibili tramite strumenti di supporto. I log di sicurezza contenenti identificativi non dovrebbero essere esportati con leggerezza in fogli di calcolo non gestiti. L’accesso dovrebbe essere mappato a ruolo, finalità, approvazione ed evidenza del riesame.

Giorno 4: creare voci di conservazione e conservazione legale

Usa la Politica di conservazione e smaltimento dei dati e la Politica di conservazione e smaltimento sicuro dei dati - PMI per creare voci di conservazione per ogni categoria di registrazione. Includi base giuridica, finalità aziendale, requisito legale, periodo di conservazione, metodo di cancellazione e stato di conservazione legale.

Se è presente una controversia, un incidente o un’indagine attiva, contrassegna la sospensione della cancellazione e registra l’approvatore.

Giorno 5: verificare la cancellazione nel cloud e presso i fornitori

Usa la Politica di utilizzo del cloud e la Politica di utilizzo del cloud - PMI per controllare ogni provider cloud o SaaS nel flusso.

Conferma le clausole sulla titolarità dei dati, la restituzione o cancellazione alla risoluzione, le tempistiche di cancellazione, il comportamento di cancellazione dei backup, le implicazioni dei sub-responsabili, le evidenze della cancellazione e gli obblighi di assistenza sugli incidenti.

Per ambienti DORA, aggiorna il registro ICT delle terze parti e il piano di uscita. Per ambienti NIS2, documenta le considerazioni sul rischio dei fornitori e le dipendenze di igiene informatica.

Giorno 6: definire evidenze e monitoraggio

Le evidenze non dovrebbero essere create dopo la richiesta di audit. Definiscile durante la progettazione del processo.

La Politica di conservazione e smaltimento dei dati richiede che lo smaltimento sia:

“Registrato nel registro di smaltimento, inclusi ID dell’asset, classificazione, metodo e operatore”

Questo compare nella Politica di conservazione e smaltimento dei dati, sezione “Requisiti di applicazione della politica”, clausola 6.5.3.2.

Un pacchetto di evidenze solido include voci del registro di conservazione, risultati dei riesami degli accessi, ticket di cancellazione, log del registro di smaltimento, conferme di cancellazione cloud, approvazioni di conservazione legale, impostazioni di conservazione dei backup, clausole contrattuali dei fornitori e registrazioni dei riesami degli archivi.

Giorno 7: aggiornare rischi e Dichiarazione di Applicabilità

Aggiorna il registro dei rischi ISO 27001 e la Dichiarazione di Applicabilità. Se il riesame del ciclo di vita ha individuato esportazioni SaaS non gestite, conservazione indefinita dei backup, accessi eccessivi, clausole di cancellazione poco chiare o titolarità mancante, questi sono rischi che richiedono trattamento.

Questo sprint di una settimana crea un pacchetto di controlli del ciclo di vita ripetibile. Ripetilo per il flusso di dati successivo, poi per quello successivo.

Mappatura di conformità trasversale: un programma di ciclo di vita, molti obblighi

Il valore della governance del ciclo di vita dei dati secondo ISO 27001 è che le stesse evidenze possono supportare aspettative di privacy, igiene informatica, rischio ICT e audit.

NIST CSF 2.0 è utile per la comunicazione con la Direzione perché la sua funzione GOVERN richiede che obblighi legali, normativi, contrattuali e privacy siano compresi e gestiti, che la propensione al rischio sia stabilita, che la responsabilità della leadership sia chiara, che le politiche siano applicate e che gli esiti siano riesaminati. I suoi esiti di gestione degli asset richiedono inventari e gestione del ciclo di vita per hardware, software, sistemi, servizi e dati.

COBIT 2019 aggiunge un linguaggio di governance per Consigli di amministrazione e Comitati di audit. Zenith Controls mappa la Protezione delle registrazioni a processi COBIT quali gestione dei backup e ripristino, gestione della sicurezza delle informazioni a riposo e gestione delle registrazioni. Mappa Privacy e protezione dei dati personali identificabili a privacy, protezione delle informazioni e governance del programma privacy. Mappa Cancellazione delle informazioni a obiettivi di rischio e operativi, rafforzando la cancellazione come processo governato anziché come attività di pulizia ad hoc.

Cosa testeranno realmente gli auditor

Un programma di governance del ciclo di vita è credibile solo se supera le verifiche di audit.

Un auditor ISO/IEC 27001:2022 partirà da campo di applicazione, requisiti delle parti interessate, rischi, Dichiarazione di Applicabilità, informazioni documentate ed evidenze dei controlli operativi. Per la governance del ciclo di vita, aspettati campionamenti. L’auditor può selezionare un contratto, una registrazione HR, un set di log o una registrazione finanziaria e tracciarla attraverso creazione, archiviazione, backup, accesso e smaltimento.

Usando la prospettiva di audit in Zenith Controls per la Protezione delle registrazioni, gli auditor verificano se le registrazioni nell’ambito sono identificate, se esistono piani di conservazione, come sono archiviate, come l’accesso è controllato e come l’integrità è protetta.

Per la Cancellazione delle informazioni, Zenith Controls spiega che gli auditor riesaminano politiche di conservazione e cancellazione, metodi di cancellazione, responsabilità, log di cancellazione, tracce di audit, certificati di distruzione dei supporti ed evidenze provenienti da strumenti di sanitizzazione. Verificano inoltre se backup e archivi sono coperti.

Un auditor privacy o PII riesaminerà informative e politiche privacy, inventari dei dati, DPIA o PIA, registrazioni della formazione e misure tecniche quali cifratura a riposo e in transito. Può campionare una richiesta dell’interessato, confermare dove esistono i dati pertinenti, verificare se cancellazione o limitazione sono state applicate e controllare che eccezioni come la conservazione legale siano giustificate.

Un valutatore orientato a NIST può esaminare l’allineamento con gli esiti NIST CSF e controlli tecnici come NIST SP 800-53 AU-11 Audit Record Retention, oltre alle pratiche di sanitizzazione dei supporti basate su NIST SP 800-88. Può testare il ripristino dei backup, ispezionare le regole di conservazione dei log, verificare la cifratura e controllare se i dati personali identificabili non necessari sono minimizzati.

Un auditor COBIT o ISACA si concentrerà sui processi di governance e sulla qualità delle evidenze. Chiederà chi è titolare delle registrazioni, se i controlli dei processi aziendali preservano l’integrità, se il monitoraggio della conformità rileva l’eccessiva conservazione e se le operazioni includono attività di cancellazione sicura.

Schemi comuni di fallimento della governance del ciclo di vita

Clarysec osserva frequentemente gli stessi schemi nelle PMI e nelle organizzazioni regolamentate.

Il primo è la classificazione senza applicazione. I dati sono etichettati come riservati, ma diritti di accesso, condivisione SaaS, esportazioni e metodi di cancellazione non cambiano.

Il secondo è la conservazione senza repliche. Il piano copre il sistema primario, ma non log, backup, data warehouse, esportazioni del supporto, fogli di calcolo o piattaforme di terze parti.

Il terzo è la dismissione del cloud senza evidenza. Il contratto dice che i dati saranno cancellati, ma nessuno conosce metodo di cancellazione, tempistica, comportamento dei backup o formato delle evidenze.

Il quarto è la conservazione legale via e-mail. La funzione legale invia istruzioni, ma i job di cancellazione continuano perché nessun sistema operativo recepisce lo stato di conservazione.

Il quinto sono le evidenze di audit ricostruite a posteriori. I team ricostruiscono manualmente le evidenze di cancellazione e conservazione, creando incoerenze e dubbi evitabili.

Il sesto è la riemersione dai backup. I dati cancellati dalla produzione riappaiono durante ripristino o test perché la conservazione dei backup e la logica di eliminazione non sono mai state allineate alla Politica di conservazione dei dati.

Ogni fallimento è prevenibile quando classificazione, inventario, conservazione, governance cloud, cancellazione ed evidenze sono progettati come un unico ciclo di vita.

Il modello operativo Clarysec per la governance del ciclo di vita dei dati

Il modello di Clarysec è lineare: stabilire una dorsale di controlli del ciclo di vita, quindi collegarvi obblighi normativi ed evidenze.

La dorsale dei controlli include:

• Inventario degli asset e dei dati
• Titolarità e finalità
• Classificazione ed etichettatura
• Base giuridica e finalità del trattamento
• Registro di conservazione
• Conservazione legale e sospensione della cancellazione
• Clausole sul ciclo di vita per cloud e fornitori
• Controllo degli accessi e governance degli accessi privilegiati
• Regole di backup e archivio
• Cancellazione sicura e registro di smaltimento
• Registrazione, monitoraggio ed evidenze degli incidenti
• Riesame periodico e aggiornamenti del trattamento del rischio

Il Zenith Blueprint fornisce la roadmap di implementazione attraverso i passi Controlli in azione per inventario, classificazione, governance cloud e cancellazione delle informazioni. Zenith Controls fornisce la guida alla conformità trasversale che mostra come i controlli ISO/IEC 27002:2022 si collegano a GDPR, NIS2, DORA, NIST, COBIT, ISO/IEC 27701, ISO/IEC 27018, ISO/IEC 27017, ISO/IEC 27040, ISO 15489 e ISO 22301. Le politiche Clarysec forniscono le clausole operative che i team possono applicare immediatamente.

La governance del ciclo di vita non può risiedere solo in privacy, sicurezza o IT. Deve essere un sistema di gestione condiviso.

Se la tua organizzazione non è in grado di rispondere dove risiedono i dati regolamentati, chi ne è titolare, per quanto tempo sono conservati, cosa impedisce la cancellazione durante una conservazione legale, come vengono rimossi i dati SaaS e quali evidenze dimostrano lo smaltimento, questo è il momento di intervenire.

Inizia da un flusso di dati ad alto rischio. Usa Zenith Blueprint: roadmap in 30 passi per auditor per costruire le basi di inventario e classificazione. Usa Zenith Controls: la guida alla conformità trasversale per mappare Protezione delle registrazioni, Privacy e protezione dei dati personali identificabili e Cancellazione delle informazioni su GDPR, NIS2, DORA, NIST e COBIT. Poi applica le politiche Clarysec pertinenti, incluse Politica di classificazione ed etichettatura dei dati, Politica di conservazione e smaltimento dei dati, Politica di utilizzo del cloud e i rispettivi equivalenti per PMI, ove opportuno.

L’obiettivo pratico non è conservare ciecamente meno dati. È conservare i dati corretti, per la ragione corretta, con i controlli corretti, per il tempo corretto, con evidenze che reggano davanti a clienti, autorità di regolamentazione, auditor e Consiglio di amministrazione.

Scarica i toolkit di politiche Clarysec, mappa i tuoi controlli con Zenith Controls, oppure usa il Zenith Blueprint per eseguire il tuo primo sprint di controllo del ciclo di vita prima che la prossima richiesta di cancellazione diventi una risultanza di audit.