P01
Sicurezza delle informazioni
Politica generale di sicurezza, ambito di applicazione, ruoli e responsabilità, principi guida. È la policy ombrello che le altre richiamano.
Prodotto · Policy
Nove policy editabili, approvate e firmate.
Modelli già scritti, approvazione dell'Amministratore con codice via email, presa visione dei dipendenti con data e impronta del testo, nuova versione da rifirmare. Niente foglio bianco, niente cartelle condivise con versioni che si sovrascrivono.
§01 · Le nove policy coreD.Lgs. 138/2024 · art. 24
Nove policy sui temi che l'art. 24 richiede di documentare.
Le abbiamo selezionate non per essere complete, ma per essere quelle che l'auditor effettivamente chiede al primo giro. Sono editabili: parti dal nostro testo, lo adatti alla tua realtà.
P02
Controllo degli accessi
Gestione delle utenze, principio del minimo privilegio, autenticazione a più fattori, revoca tempestiva al cambio di ruolo o all'uscita. Riferimento: art. 24, c. 2, lett. i) e l) del D.Lgs. 138/2024.
P03
Backup e ripristino
Strategia dei backup, frequenza, test di ripristino periodici, conservazione fuori sede. Riferimento: art. 24, c. 2, lett. c).
P04
Gestione degli incidenti
Classificazione degli incidenti, escalation, ruoli, comunicazione interna ed esterna, notifica all'ACN. Riferimento: art. 24, c. 2, lett. b) e art. 25.
P05
Uso accettabile
Regole per l'uso di dispositivi, posta, internet e strumenti aziendali, anche personali e da remoto.
P06
Continuità operativa
Scenari di crisi, tempi e punti di ripristino per i servizi critici, piano di continuità, esercitazioni periodiche. Riferimento: art. 24, c. 2, lett. c).
P07
Sicurezza dei fornitori
Selezione e qualifica dei fornitori critici, clausole contrattuali, DPA, monitoraggio della catena di fornitura. Riferimento: art. 24, c. 2, lett. d).
P08
Controlli crittografici
Quando e come si cifrano dati e comunicazioni, gestione delle chiavi. Riferimento: art. 24, c. 2, lett. h).
P09
Gestione degli asset
Inventario dei beni aziendali, responsabili, classificazione, dismissione.
§02 · Il ciclo di vita di una policydal template alla revisione
Sei passi dal modello alla nuova versione.
Una policy non è un PDF in archivio. È un oggetto vivo che cambia nel tempo, viene approvato formalmente, distribuito alle persone giuste, firmato per presa visione e rivisto. Comprova gestisce tutto il ciclo, lasciando una traccia per ogni passaggio.
- Passo 1
Parti dal modello, non dal foglio bianco
Le 9 policy sono già scritte. Modifichi le sezioni che vuoi adattare alla realtà aziendale (procedure interne, eccezioni, sistemi esistenti), oppure ne crei di nuove. Niente caccia ai modelli online.
- Passo 2
Personalizza
Rivedi il testo nell'editor e salvi la bozza. Finché non la approvi, la policy non è adottata e nessun dipendente la vede.
- Passo 3
Approva
L'Amministratore sceglie i destinatari e la scadenza per la firma, conferma con un codice ricevuto via email e parte una sola email ai dipendenti. L'approvazione fissa il testo di quella versione con la sua impronta SHA-256; se l'Amministratore approva da solo, l'autoapprovazione è registrata.
- Passo 4
Firme
Ogni dipendente trova la policy in «Le mie policy», la legge e firma per presa visione. Tu vedi chi ha firmato e chi no, e con «Sollecita» ricordi a chi è indietro.
- Passo 5
Presa visione con data e impronta
Ogni firma registra data, impronta del testo letto e indirizzo IP del dipendente. È la prova che l'auditor chiede per «la policy è stata diffusa al personale»: non un'email generica, ma una traccia per persona con la versione specifica.
- Passo 6
Nuova versione, da rifirmare
Quando modifichi una policy già adottata, la nuova versione va approvata e rifirmata. Le firme delle versioni precedenti restano come storico.
§03 · Presa visionefirma con data e impronta
La policy diffusa è una policy provata.
Un controllo NIS2 ricorrente è "la policy è stata diffusa al personale". La risposta più frequente in audit suona così: "sì, l'abbiamo mandata via email a tutti i dipendenti." È una risposta che non regge: l'email può essere stata cancellata, ignorata, finita in spam, ricevuta da chi non era più dipendente. Niente prova oggettiva.
La presa visione di Comprova è un'altra cosa: ogni dipendente, in piattaforma, firma in modo esplicito la versione specifica della policy. La firma registra data, impronta del testo letto e indirizzo IP. Se l'auditor chiede "chi ha letto la policy sull'uso accettabile e quando", la risposta è una tabella ordinata.
È il tipo di evidenza che chiedono anche le norme ISO 27001 sulla consapevolezza del personale: l'evidenza non è la policy scritta, è la traccia che è stata letta.
§04 · Domande frequenti
Quello che ci chiedono di solito.
- Le 9 policy coprono il 100% dei controlli NIS2?
- No, e non lo promettiamo. Coprono i temi che l'auditor chiede più spesso al primo giro, ma restano da dimostrare con le prove: la policy dice cosa fai, la prova dimostra che lo fai davvero. Ti servono entrambe. Comprova non garantisce la conformità normativa.
- Posso aggiungere policy mie?
- Sì. Crei una policy nuova partendo da un modello o da zero, e segue lo stesso ciclo: approvazione, firme, nuova versione.
- Cosa succede se un dipendente non firma?
- Resta tra quelli che non hanno firmato. L'Amministratore lo vede e può sollecitarlo. Nessun blocco automatico dell'utenza: in compliance la coercizione tecnica è raramente la risposta giusta, meglio una conversazione mirata.
- Le nuove versioni cancellano le firme precedenti?
- No. Le firme della versione 1 restano come prova storica, ma per la versione 2 serve una nuova firma. L'auditor che chiede come è stata distribuita la policy nel tempo ha la storia completa.
- Chi può approvare le policy?
- Solo l'Amministratore. Il Responsabile conformità può preparare e modificare; i Dipendenti leggono e firmano per presa visione. La separazione dei ruoli è esplicita perché è quello che chiede un auditor.
Le nove policy si attivano insieme alla Piattaforma.
Sono parte della Piattaforma completa: policy, prove, rischi, incidenti, fornitori, formazione, Audit Pack — tutti insieme, su preventivo. Parliamone in call.