La maggior parte delle organizzazioni ha delle policy; ma pochissime hanno policy che le persone seguono davvero.
Il problema non è il contenuto. È la complessità, il gergo tecnico e il fatto che la maggior parte delle policy sembrano scritte da avvocati che non hanno mai incontrato le persone che le devono applicare.
Un vero programma GRC parte da policy chiare e pratiche che i team comprendono, adottano e usano concretamente nel lavoro quotidiano.
Ecco le 10 policy essenziali di cui ogni organizzazione ha bisogno; niente fronzoli, niente riempitivo, solo ciò che funziona.
Non servono 40 policy. Serve un framework di policy snello e coerente che copra governance, sicurezza, dati, rischio e operazioni; senza sommergere i team di burocrazia.
Ogni policy dovrebbe rispondere a tre domande:
- Cosa è richiesto?
- Chi ne è responsabile?
- Come lo dimostriamo?
Queste 10 policy costituiscono la spina dorsale di qualsiasi programma GRC serio. Analizziamole una per una.
1. Politica di Sicurezza delle Informazioni (La Policy Principale)
È la vostra stella polare. Definisce gli obiettivi di sicurezza, gli impegni e le aspettative dell'organizzazione.
Deve:
- definire l'ISMS o il framework di governance della sicurezza
- assegnare le responsabilità (CISO, owner, manager)
- stabilire i principi di sicurezza di alto livello
- fornire l'autorità su tutte le altre policy
- allinearsi con ISO 27001, NIS2, DORA
Una buona Politica di Sicurezza delle Informazioni è breve, chiara e direttiva; non un romanzo di 25 pagine.
2. Politica di Controllo degli Accessi
È qui che avviene la maggior parte delle violazioni, ed è il primo punto che i regolatori esaminano.
Deve includere:
- come vengono creati gli account
- come vengono rimossi gli account
- requisiti MFA
- regole per gli accessi privilegiati
- revisioni periodiche degli accessi
- workflow joiner–mover–leaver (JML)
- standard di autenticazione
Aneddoto: Nel 90% degli audit NIS2, il controllo degli accessi debole è il primo rilievo. Questa policy risolve il problema.
3. Politica di Gestione degli Asset
Non si può proteggere ciò che non si riesce a identificare.
Deve coprire:
- inventario hardware
- inventario software
- asset cloud
- classificazione dei dati
- regole di ownership
- sistemi di terze parti
- baseline di configurazione
È anche il punto di partenza dell'AI Act: identificare gli asset AI prima di governarli.
4. Politica di Gestione del Rischio
La spina dorsale di ogni programma GRC. Senza di essa, i controlli non hanno logica.
Deve definire:
- metodologia di risk assessment
- fonti di minaccia
- scale di probabilità e impatto
- approvazione dell'accettazione del rischio
- collegamento ai piani di trattamento
- ruoli e responsabilità
- frequenza di revisione
Se non si documenta la metodologia, il registro dei rischi non è difendibile.
5. Politica di Risposta agli Incidenti
NIS2 e DORA la rendono obbligatoria; con regole di notifica stringenti.
Deve includere:
- livelli di severità
- percorsi di escalation
- ruoli (tecnico, legale, executive, comunicazione)
- workflow di notifica a 24h / 72h
- regole di comunicazione
- conservazione delle prove
- interazione con il CSIRT
- revisione post-incidente
Una policy che stabilisce chiaramente «come gestiamo le giornate difficili» non è negoziabile.
6. Politica di Business Continuity e Disaster Recovery (BC/DR)
Il vostro piano di resilienza.
Deve coprire:
- requisiti di BIA
- obiettivi di recovery (RTO/RPO)
- strategia di backup
- gestione delle crisi
- test di DR
- sedi di fallback
- ownership dei piani
I regolatori vogliono la prova che siate in grado di continuare ad operare; anche quando i fornitori vengono meno.
7. Politica di Sicurezza dei Fornitori e delle Terze Parti
Il requisito più sottovalutato di NIS2.
- classificazione dei fornitori (critico / importante / non critico)
- fasi di due diligence
- clausole contrattuali di sicurezza
- monitoraggio continuativo
- onboarding/offboarding
- trasparenza sui sub-responsabili del trattamento
- strategia di uscita
Se i vostri fornitori non sono governati, non siete conformi.
8. Politica di Protezione dei Dati e Privacy
Il GDPR la rende obbligatoria, ma i team spesso la interpretano male.
Deve includere:
- base giuridica del trattamento
- diritti degli interessati
- regole di conservazione
- minimizzazione dei dati
- trasferimenti di dati
- criteri per la DPIA
- regole di notifica delle violazioni
- requisiti di privacy by design
Rendetela pratica; non scritta in linguaggio legale.
9. Politica di Utilizzo Accettabile (AUP)
La vostra prima linea di difesa contro l'errore umano.
Deve indicare chiaramente:
- uso accettabile dei sistemi IT
- restrizioni (es. email personale, chiavette USB)
- regole sull'uso dell'IA
- requisiti per le password
- requisiti per il lavoro da remoto
- segnalazione di comportamenti sospetti
L'AUP deve essere abbastanza breve da essere effettivamente letta dai dipendenti.
10. Politica di Sviluppo Sicuro e Gestione dei Cambiamenti
La policy che mantiene l'engineering allineato con la governance.
- aspettative sul coding sicuro
- requisiti di code review
- sicurezza della pipeline
- gestione delle dipendenze
- workflow di approvazione dei cambiamenti
- requisiti di test
- segregazione dei compiti
- governance dell'infrastructure-as-code
È anche il contesto in cui il codice generato dall'IA deve essere sottoposto a revisione di sicurezza.
Policy Aggiuntive (in Base al Contesto)
Se pertinenti alla vostra organizzazione, valutate di aggiungere:
- Politica di Crittografia
- Politica di Logging e Monitoraggio
- Politica di Governance dell'IA (allineata all'EU AI Act e a ISO 42001)
- Politica di Gestione delle Vulnerabilità
- Politica sul Lavoro da Remoto
- Politica sui Dispositivi Mobili
- Politica di Conservazione dei Documenti
Queste non sono obbligatorie per tutti; le prime 10 lo sono.
Template Gratuiti
Di seguito trovate template di policy semplificati e pronti all'uso che potete adattare. Sono volutamente brevi e pratici.
Considerazione Finale
Le policy non sono documenti; sono aspettative rese esplicite.
Se le vostre policy sono troppo lunghe, troppo teoriche o scritte in gergo legale, il vostro programma GRC crollerà sotto il proprio peso.
Partite snelli. Scrivete in modo chiaro. Assegnate la ownership. Revisionate regolarmente. E fate delle policy la spina dorsale viva della vostra governance; non carta per l'auditor.
Se volete template di policy allineati con ISO 27001, NIS2, DORA, GDPR e l'EU AI Act, è esattamente ciò che condividiamo nei corsi Cyber Academy Lead Implementer. Iscrivetevi alla prossima sessione e ottenete accesso immediato.