Negli ultimi articoli abbiamo smontato, uno per uno, i punti in cui la conformità della Cybersecurity awareness si rompe senza che nessuno se ne accorga. Abbiamo visto come la copertura scade in silenzio mentre il foglio di calcolo resta verde. Abbiamo visto come una percentuale può segnare 100% pur avendo formato solo una frazione della popolazione reale. E abbiamo visto le quattro domande che ti pone un auditor e a cui un foglio di calcolo non sa rispondere.
La diagnosi puntava sempre allo stesso punto. Per quanto tu ti impegni, un foglio di calcolo è una fotografia scattata una volta all’anno, e la conformità è uno stato che cambia ogni giorno. Per questo vogliamo mostrarti dove stiamo portando quello stato, in un luogo che si tiene d’occhio da solo: il Compliance Center.
Che cos’è il Compliance Center?
Il Compliance Center di SMARTFENSE è un cruscotto che mostra, in tempo reale, quanto del tuo programma di Cybersecurity awareness è conforme a norme come ISO 27001, NIST, PCI-DSS e GDPR, affiancato da un agente di intelligenza artificiale che individua ciò che manca e lo chiude gradualmente con un Piano di conformità. Smette di essere un documento che prepari per l’audit e diventa una schermata che riflette la tua situazione in qualsiasi momento dell’anno.
Lo stiamo perfezionando insieme ai primi team che lo utilizzano, quindi quello che descriviamo qui indica la direzione dello strumento più che una versione definitiva. Se lavori con la conformità e vuoi vederlo sui tuoi dati, più sotto ti spieghiamo come unirti a quel gruppo.
Che cosa vedi quando apri il cruscotto?
Quando lo apri, non vedi un totale aggregato, vedi le stesse domande che pone un audit, già con risposta. Ogni norma appare con la propria copertura, perché la popolazione non è unica. Chi deve completare una formazione tecnica non è la stessa persona che deve leggere e accettare una policy interna. Il cruscotto tiene separate queste popolazioni e calcola ciascuna sull’organizzazione di oggi, non su un elenco inserito a mano a gennaio.
Un esempio lo rende concreto. Una stessa azienda può avere duecento persone dei sistemi e della sicurezza come popolazione di una norma tecnica, e l’intera organizzazione come popolazione di una policy che tutti devono accettare. Sono due denominatori diversi che convivono, e il cruscotto li mantiene separati invece di mescolarli in un’unica percentuale. Ciascuno si ricalcola da solo ogni volta che qualcuno entra, esce o cambia ruolo.
Da lì scende nel dettaglio che una percentuale nasconde. Puoi vedere, per persona, che cosa ha completato, da quale data è coperta e se quella formazione è ancora valida. Se qualcuno è entrato a settembre, compare come in sospeso nel momento in cui arriva. Se una formazione è scaduta, torna a contare come lacuna invece di restare segnata come fatta per sempre. L’evidenza di ogni utente è già registrata accanto al programma, pronta da esportare quando qualcuno la richiede.
In un’unica vista hai ciò che prima andava ricostruito incrociando fogli di calcolo, email e cartelle condivise: la popolazione reale, la linea temporale per persona, la validità e la prova documentale.
Come chiude le lacune l’agente?
Vedere il problema con chiarezza è già un salto, ma ti lascerebbe comunque il lavoro di risolverlo. Qui entra in gioco l’agente, e la divisione dei compiti è semplice: tu supervisioni; lui esegue.
Per metterlo al lavoro definisci tre cose. La popolazione che deve rispettare ogni norma, il budget mensile di formazione che sei disposto a dedicare alle tue persone (quanto tempo puoi chiedere loro senza sovraccaricarle) e la data di inizio. Con questo, l’agente costruisce un Piano di conformità e agisce ogni giorno secondo regole chiare: assegna una cosa alla volta per non affaticare nessuno, rispetta il budget che hai fissato e dà sempre priorità alla lacuna più grande dell’organizzazione, non a quella più facile da chiudere.
Non smetti di essere al comando. Fissi la rotta, il ritmo e il limite, e controlli l’avanzamento quando vuoi. Ciò che smetti di fare è la parte meccanica, decidere a mano, settimana dopo settimana, chi ha bisogno di cosa e in quale ordine. È quel carico ripetitivo che assorbe l’agente.
In cosa cambia rispetto al foglio di calcolo?
La differenza di fondo non è una schermata più bella, è da dove arriva il dato. Un foglio di calcolo conosce il proprio elenco; il Compliance Center legge la tua organizzazione. La popolazione deriva dalla directory che già usi, quindi le nuove assunzioni e i cambi di ruolo compaiono senza che nessuno li inserisca. Ogni formazione porta con sé la sua data di inizio e la sua scadenza, quindi la validità si riapre da sola quando decade. E l’evidenza viene conservata per persona fin dal primo giorno, non assemblata la sera prima dell’audit.
È la stessa idea che portiamo avanti con il rischio umano misurato sull’intera organizzazione e non su un campione scelto a mano, applicata ora alla conformità. Si collega inoltre con la gestione di norme, policy e procedure che vive già dentro la piattaforma. Lo stesso luogo in cui pubblichi e governi le tue policy è ciò che alimenta il cruscotto di conformità.
Una conformità che si regge da sola
Quello che cerchiamo con il Compliance Center è che la conformità della Cybersecurity awareness smetta di dipendere dal fatto che qualcuno si ricordi di aggiornare un foglio di calcolo. Che sia uno stato vivo, che guardi quando serve e che avanza anche quando nessuno lo sta spingendo quella settimana.
Stiamo inserendo i primi team che vogliono usarlo e darci il loro punto di vista mentre lo perfezioniamo. Se vuoi vedere la tua conformità rispondere a queste domande sulla tua popolazione reale, puoi scoprire la piattaforma o scriverci per una demo e unirti al gruppo di early adopter del Compliance Center.
Lascia un commento