La prima volta che apri la configurazione dell’agente di conformità non trovi un modulo lungo. Trovi poche decisioni. Chi deve essere conforme, quanto tempo al mese puoi chiedere alle tue persone e da quando il piano di conformità inizia a correre.
Nessuna di queste è una decisione tecnica. Sono scelte di criterio, e da esse dipende se il piano avanzerà a un ritmo che la tua organizzazione tollera oppure diventerà una fonte di lamentele interne. Quando abbiamo presentato il Compliance Center abbiamo raccontato cosa mostra il cruscotto e cosa fa l’agente con quello che trova. Qui scendiamo di un livello, quello della configurazione.
Che cos’è un piano di conformità?
Un piano di conformità è la sequenza di assegnazioni che l’agente del Compliance Center di SMARTFENSE costruisce ed esegue giorno per giorno per portare il tuo programma di Cybersecurity awareness dalla copertura che ha oggi a quella che ogni norma richiede. Non è un documento che si approva e si archivia. È un elenco vivo di azioni che viene ricalcolato ogni volta che cambia l’organizzazione o lo stato di una formazione.
Si definisce una volta, e da quel momento il lavoro quotidiano non è più tuo.
Come definisci il perimetro di ogni norma?
Il perimetro risponde alla domanda che manda in pezzi la maggior parte delle percentuali. Chi doveva essere conforme. Un programma può segnare 100% avendo formato una frazione dell’organizzazione quando il denominatore è stato caricato a mano e non è più aggiornato.
Qui il perimetro non si scrive, si descrive. Invece di caricare un elenco di nomi, indichi il gruppo, l’area o il ruolo dentro la directory che già usi per dare accesso ai sistemi. La differenza si vede a settembre, quando entrano cinque persone nuove. Se il perimetro è un elenco, qualcuno deve ricordarsi di aggiungerle. Se è una regola sulla directory, sono già dentro.
Ogni norma ha il proprio perimetro, e conviene definirli separatamente dal primo giorno. Una norma tecnica come la ISO 27001 può riguardare le duecento persone di sistemi e sicurezza. Una policy interna che tutti devono leggere e accettare riguarda l’azienda intera. Un requisito locale può fermarsi alle cinquecento persone di una filiale. Sono tre denominatori diversi, e farne una media in un numero unico è proprio ciò che rende il numero inutile.
Quanto tempo al mese puoi chiedere al tuo team?
Il budget mensile è il campo più discusso e quello che più definisce come si vive il programma dall’interno. È il tempo di formazione che sei disposto a chiedere a ciascuna persona ogni mese, e funziona come limite rigido. L’agente non lo supera, nemmeno con lacune ancora aperte.
Scegliere è uno scambio diretto. Un budget alto chiude prima le lacune e porta il cruscotto in verde più rapidamente, al costo di saturare persone che hanno anche il proprio lavoro. Un budget basso si tollera senza sforzo e allunga il piano per mesi. La logica del microlearning continuo vale anche qui. Le dosi piccole e frequenti si trattengono meglio di una giornata intensiva una volta all’anno, e non competono con l’agenda di nessuno.
Se la tua organizzazione non ha mai avuto un programma continuo, parti sotto quello che pensi possa assorbire e aggiusta dopo il primo mese. Alzare il budget quando il team ha già preso il ritmo non genera resistenza. Abbassarlo dopo aver saturato tutti, sì.
Cosa fa l’agente ogni giorno con quella configurazione?
Con quelle decisioni prese, l’agente lavora secondo regole fisse.
Assegna una cosa alla volta. Non manda un pacchetto di sei formazioni il primo giorno né accumula pendenze sul profilo di nessuno. Ogni persona vede quello che le tocca adesso, e il passo successivo appare quando ha chiuso il precedente.
Rispetta il budget che hai fissato. Se il mese ha già consumato il tempo disponibile di qualcuno, quella persona non riceve altro fino al mese successivo, anche con lacune a suo nome.
Dà priorità alla lacuna più grande dell’organizzazione, non a quella più facile da chiudere. È la regola che cambia di più il risultato finale. Un piano costruito a mano tende ad avanzare lungo ciò che è comodo, perché chiudere venti pendenze di una formazione breve dà una sensazione di produttività. L’agente ordina al contrario e attacca prima dove il buco è più ampio, che di solito è anche il più scomodo da aprire.
L’effetto è che l’avanzamento del cruscotto diventa noioso nel senso migliore. Sale un po’ ogni settimana, senza mesi piatti né picchi alla vigilia dell’audit.
Cosa ti resta da supervisionare?
Molto meno, e di altro tipo. Quello che scompare è la parte meccanica, decidere ogni settimana chi ha bisogno di cosa e in quale ordine.
Resta verificare che i perimetri continuino a descrivere ciò che vuoi esigere quando l’azienda si riorganizza. Resta aggiustare il budget se il ritmo dà fastidio o se è troppo lento per la data che hai in mente. E resta guardare l’evidenza per persona quando qualcuno la chiede, già registrata accanto al componente in cui pubblichi norme e policy.
La divisione dei compiti è la stessa che abbiamo riassunto presentando lo strumento. Tu supervisioni; lui esegue.
La data di avvio si conta all’indietro
Sembra la decisione più banale ed è quella che si sottovaluta di più. La data di avvio segna il momento da cui la copertura inizia ad accumularsi, quindi il modo sensato di sceglierla è contare all’indietro dal prossimo audit e lasciare margine perché il budget mensile riesca a chiudere quello che manca.
Un piano che parte tardi non ti mette in violazione. Semplicemente arriva al giorno della verifica con il cruscotto a metà strada, e quella distanza non si recupera stringendo il ritmo alla fine. È lo stesso problema di fondo di quando la copertura scade in silenzio e nessuno la rinnova finché qualcuno non lo chiede.
Stiamo affinando il Compliance Center insieme ai primi team che lo stanno usando, quindi la configurazione che descriviamo qui continuerà a muoversi con quello che ci diranno. Se lavori con la conformità normativa e vuoi prendere queste decisioni sul tuo perimetro, puoi conoscere la piattaforma o scriverci per una demo e unirti al gruppo di early adopter del Compliance Center.
Lascia un commento