Cosa succede alla tua conformità quando la formazione scade ed entrano persone nuove

Chiudere l’ultima lacuna di una norma assomiglia molto a tagliare un traguardo. La dashboard diventa verde, le evidenze sono caricate, il report esce pulito. Quattro settimane dopo, senza che nessuno abbia toccato la configurazione, quella stessa dashboard mostra di nuovo persone scoperte, perché per diverse di loro è passata la scadenza della formazione.

Quel passo indietro ha una spiegazione semplice. La copertura di una norma è una fotografia con una data, e questo trasforma la conformità in un bersaglio mobile. Quello che oggi conta come coperto smette di contare a un certo punto, e nel frattempo l’organizzazione continua a inserire persone che non hanno mai visto quel contenuto.

Quando abbiamo presentato il Compliance Center abbiamo mostrato come si vede la conformità in tempo reale, e spiegando come si configura un piano di conformità abbiamo sviluppato cosa si decide prima di partire. Resta una domanda aperta. Cosa fa quel piano nei mesi successivi, quando il terreno si muove da solo?

Che cos’è la scadenza della formazione?

La scadenza della formazione è il periodo durante il quale un corso completato vale ancora come evidenza di conformità. Quando quel periodo finisce, la persona torna a contare come lacuna, anche se all’epoca aveva superato il contenuto e anche se l’attestato è ancora archiviato da qualche parte.

Non è un’invenzione delle piattaforme. Il controllo 6.3 della ISO/IEC 27001, dedicato alla Cybersecurity awareness e alla formazione sulla sicurezza delle informazioni, chiede che il personale riceva aggiornamenti periodici adeguati al proprio ruolo. La parola che fa tutto il lavoro lì è periodici. Una formazione di due anni fa non risponde a quel requisito, per quanto completa fosse allora.

È il meccanismo per cui la conformità del tuo programma crolla a marzo senza che nessuno spenga nulla. La copertura scade persona per persona, in date diverse.

Perché la conformità non è mai finita

Perché tre cose si muovono insieme e nessuna aspetta che tu abbia tempo.

La prima è il calendario. Ogni persona coperta si porta dietro la propria data di scadenza, in base a quando ha completato la formazione. Su 500 dipendenti sono 500 orologi che corrono in parallelo, uno per ogni data di completamento. Chi è entrato a gennaio scade a gennaio e chi è arrivato ad agosto scade ad agosto, così non c’è mai un mese in cui la dashboard resta ferma.

La seconda è l’organico stesso. Ogni nuovo assunto entra nel perimetro della norma dal primo giorno, e ogni cambio di area può aggiungergli un obbligo che prima non aveva.

La terza è il contenuto. Ripetere lo stesso materiale ogni dodici mesi tiene su la percentuale, ma smette di insegnare.

Come si gestisce tutto questo con un foglio di calcolo?

A mano, tutte e tre si affrontano nello stesso modo. Qualcuno apre il foglio di calcolo ogni tanto, ordina per data di completamento, incrocia l’elenco con l’ultimo export della directory e prepara il lotto di assegnazioni che tocca. Basta per arrivare all’audit, e il costo non compare nel foglio di calcolo.

Compare nell’intervallo. Il foglio di calcolo descrive lo stato del giorno in cui è stato aggiornato, non quello di oggi, e la distanza tra le due date è esattamente il tempo che l’organizzazione passa senza sapere a chi manca la formazione. Chi arriva a settembre non ha avuto occasione di completare la formazione assegnata ad aprile e conta come lacuna dal primo giorno, ma diventa visibile solo quando qualcuno aggiorna il perimetro a mano. È la stessa trappola per cui la tua percentuale di conformità mente anche al 100%.

Con il contenuto succede qualcosa di simile. Riassegnare lo stesso modulo dell’anno scorso è la via rapida quando la revisione è manuale, così il secondo ciclo ripete il materiale del primo. Le persone riconoscono le schermate, avanzano fino alla fine e superano senza leggere. Soddisfi il registro e perdi l’effetto che giustificava il registro.

Cosa fa di diverso l’agente del Compliance Center?

L’agente del Compliance Center di SMARTFENSE controlla lo stato di conformità ogni giorno e assegna formazione senza aspettare che qualcuno apra un foglio di calcolo. Lavora sulle stesse tre forze, una per una:

• Scadenza. Ogni persona ha la propria data di scadenza e l’agente la controlla ogni giorno. Quando una copertura scade, quella persona torna allo stato di lacuna ed entra nella coda del piano lo stesso giorno, non alla revisione trimestrale successiva.
• Nuovi ingressi. Il perimetro si legge dalla directory in uso, non da una lista esportata. Quando definisci l’ambito con i gruppi intelligenti invece che con i nomi propri, l’ingresso di un dipendente lo porta nel piano senza che nessuno lo modifichi, e l’uscita lo toglie dal calcolo.
• Rotazione. L’agente tiene un registro di cosa ha ricevuto ogni persona e con quale formato. Chi l’anno scorso ha coperto il tema delle password con un modulo interattivo quest’anno lo rivede in fumetto, in video o in un breve contenuto di rinforzo, sullo stesso requisito della norma. La clausola resta coperta allo stesso modo e la persona torna a prestare attenzione, perché il formato cambia quello che le persone trattengono.

Su quella coda quotidiana, l’agente affronta per prima la lacuna peggiore dell’organizzazione, che in pratica è spesso chi è scoperto da più tempo. La varietà di formati disponibili è ciò che gli permette di sostenere la rotazione anno dopo anno, e la rotazione diventa una decisione del piano, non un tuo compito di ogni dicembre.

Cosa ti resta da supervisionare?

La dashboard smette di essere qualcosa che aggiorni e diventa qualcosa che consulti. Tu supervisioni; lui esegue.

Nelle tue mani restano il criterio di scadenza che si applica a ciascuna norma, l’eccezione puntuale quando un’area non può ricevere formazione in una certa settimana e la lettura del report quando è il momento di presentarlo. L’agente si prende il lavoro ripetitivo di individuare chi è scaduto, chi è entrato e a chi tocca quale contenuto questa settimana.

Quello che cambia nel quotidiano è dove stai guardando. Non controlli più se il piano è aggiornato. Controlli se il piano sta facendo la cosa giusta.

Il Compliance Center è in funzione con i primi team che l’hanno adottato e lo stiamo affinando con loro prima di aprirlo agli altri. Se gestisci un programma dove le scadenze e i nuovi ingressi ti obbligano a rifare il piano ogni mese, scrivici per unirti al gruppo di early adopter e lo vediamo con il tuo caso sul tavolo.