Quasi tutti i quadri normativi che devi rispettare prevedono un requisito specifico di cybersecurity awareness e formazione del personale. Ti diamo il programma che lo copre, collegato alle singole clausole di ogni norma, e le prove per dimostrarlo quando te le chiedono.
Richiedi una demo Vedi i 13 quadriLa conformità normativa in cybersecurity è l’insieme degli obblighi che un’organizzazione deve soddisfare, e deve poter dimostrare, rispetto a una legge o a uno standard di sicurezza. Una parte si risolve con i controlli tecnici e il resto ricade sulle persone. Secondo il rapporto DBIR di Verizon, il fattore umano interviene in quasi 6 violazioni di sicurezza su 10, e quella seconda parte è la più difficile da documentare davanti a un auditor.
Un auditor non esamina le intenzioni del programma, esamina le sue registrazioni. Tre elementi costruiscono quelle registrazioni.
Ogni modulo formativo, esame e newsletter è collegato alle clausole che copre. Oggi la piattaforma mappa 194 clausole di 12 quadri normativi, quindi il grado di conformità si legge clausola per clausola e non come una stima generale.
Quello che serve a un consiglio di amministrazione per decidere sul rischio somiglia poco a quello che serve al resto del personale nel lavoro quotidiano. Ogni quadro normativo porta i suoi percorsi separati, con il livello di dettaglio e il linguaggio adatti a ciascun gruppo.
Dalla gestione delle normative della piattaforma verifichi il grado di conformità in base alla formazione assegnata a ogni persona, con il dettaglio di chi ha completato che cosa, con quale risultato e come ha risposto a una simulazione.
Ogni quadro normativo ha la sua pagina, con ciò che richiede sulle persone e il programma che lo soddisfa. Il catalogo cresce man mano che entrano in vigore nuovi quadri e ne mappiamo le prove.
Da oltre 10 anni affianchiamo organizzazioni del settore bancario, sanitario, pubblico e delle infrastrutture critiche per ridurre il rischio umano e lasciare prove verificabili di averlo fatto. Quando un’organizzazione deve rispondere a più quadri normativi contemporaneamente, lo stesso programma copre le clausole di tutti senza duplicare il lavoro.
Quasi tutti i quadri normativi di cybersecurity prevedono la cybersecurity awareness e la formazione del personale come requisito vincolante. La ISO/IEC 27002:2022 la tratta nel controllo 6.3, la PCI DSS nel requisito 12.6, l’HIPAA nel §164.308(a)(5) e la Direttiva NIS 2 la impone ai soggetti essenziali e importanti. La forma cambia da un quadro all’altro e la sostanza si ripete in tutti. Le persone vanno formate periodicamente e bisogna poterlo dimostrare.
Vale quando lascia una registrazione. Una campagna isolata, di cui resta solo il ricordo di averla fatta, non basta. Quello che un auditor può esaminare è la registrazione di chi ha completato ogni contenuto, in che data, con quale risultato nella valutazione e come ha risposto a una simulazione. Quella registrazione è ciò che rende verificabile l’affermazione di formare il personale.
No. Gli obblighi che ricadono sulle persone si sovrappongono molto tra un quadro e l’altro, quindi uno stesso contenuto copre spesso clausole di più norme allo stesso tempo. Poiché ogni contenuto è collegato alle clausole che soddisfa, un solo programma alimenta il report di conformità di tutti i quadri che ti riguardano.
I contenuti sono già prodotti e mappati, quindi non c’è nulla da scrivere e non serve capire da zero a chi assegnarli. Le normative del catalogo hanno programmi automatici che si assegnano e si pianificano da soli. Il lavoro vero si concentra nel definire i gruppi di persone e il calendario adatto alla tua organizzazione. Con i primi team stiamo inoltre affinando il Compliance Center, dove una dashboard mostra la conformità in tempo reale e un agente costruisce il Piano di conformità e chiude le lacune. Lo raccontiamo in dettaglio in questo articolo.
Lasciaci i tuoi dati e ti mostriamo come coprire gli obblighi di ogni quadro normativo con contenuti collegati alle sue clausole, pronti per la tua organizzazione.