Glossario GRC e Compliance

Decisione informata di assumere un determinato rischio senza ulteriori misure di trattamento. Secondo ISO 31000 e ISO/IEC 27005 va formalizzata dal proprietario del rischio quando l'esposizione rientra nell'appetito definito.

Processo che identifica le attività critiche e stima nel tempo gli impatti di un'interruzione, definendo i requisiti di ripristino come RTO e RPO. È un requisito fondamentale della ISO 22301 per la continuità operativa.

Processo irreversibile che rende impossibile ricondurre i dati a una persona identificata o identificabile. Secondo il Considerando 26 del GDPR i dati realmente anonimi non rientrano nell'ambito del regolamento, a differenza di quelli pseudonimizzati.

Dichiarazione, spesso rilasciata da una parte indipendente, che attesta la conformità di un'organizzazione o di un servizio a requisiti, standard o normative. Esempi tipici sono i report SOC 2 e le attestazioni PCI DSS.

Verifica sistematica e documentata volta ad accertare se i controlli, le politiche e le procedure di sicurezza siano adeguati ed effettivamente applicati. Può essere interno o condotto da terze parti e produce evidenze utili a conformità e miglioramento continuo.

Registrazione cronologica e inalterabile delle attività e degli accessi a un sistema, che consente di ricostruire chi ha fatto cosa e quando. Requisito per audit, indagini e conformità in molti standard e normative.

Intervento volto a eliminare la causa di una non conformità rilevata, per impedirne il ripetersi. Nei sistemi di gestione ISO è parte del ciclo di miglioramento continuo, distinta dalla semplice correzione dell'effetto.

Insieme minimo di requisiti e controlli di sicurezza che un sistema o un'infrastruttura deve rispettare come punto di partenza. L'organizzazione dovrebbe verificarne regolarmente il rispetto per mantenere un livello di protezione uniforme e misurabile.

Disciplina che garantisce il mantenimento dei servizi critici di un'azienda anche durante eventi imprevisti. Comprende strategie e misure operative per evitare interruzioni o ridurne l'impatto.

Attività di analisi che identifica i servizi critici, i punti deboli e l'impatto potenziale di un'interruzione. È la base su cui costruire strategie e piani di continuità operativa.

Processo di pianificazione che definisce le azioni da seguire per assicurare la continuità dei servizi aziendali durante crisi operative. Include ruoli, procedure, risorse necessarie e scenari di risposta.

California Consumer Privacy Act: legge sulla privacy dello Stato della California che attribuisce ai consumatori diritti sui propri dati personali, come conoscere quali dati sono raccolti, richiederne la cancellazione e opporsi alla loro vendita.

Processo che documenta in modo continuo la raccolta, la gestione, il trasferimento e la conservazione delle prove digitali, garantendone integrità e tracciabilità dalla acquisizione fino all'uso in sede legale.

Plan-Do-Check-Act: modello iterativo di miglioramento continuo (pianificare, fare, verificare, agire) alla base dei sistemi di gestione ISO, incluso l'SGSI, per mantenere e migliorare nel tempo i controlli di sicurezza.

Insieme di controlli tecnici e organizzativi prioritizzati, pubblicati dal Center for Internet Security, per ridurre la superficie di attacco e migliorare la postura di sicurezza. La versione 8 raccoglie 18 controlli, dai più essenziali ai più avanzati.

Chief Information Security Officer: figura dirigenziale responsabile della sicurezza delle informazioni aziendale, incaricata di definire strategie, controlli e politiche di protezione dei sistemi e dei dati e di riportare al vertice sui rischi cyber.

Processo di attribuzione ai dati di livelli di sensibilità, ad esempio pubblici, interni o riservati. Guida l'applicazione di controlli proporzionati, assicurando che le informazioni più critiche ricevano le protezioni più forti.

Modelli contrattuali adottati dalla Commissione europea che forniscono garanzie adeguate per il trasferimento di dati personali verso Paesi terzi privi di decisione di adeguatezza, ai sensi del GDPR.

Cybersecurity Maturity Model Certification: modello del Dipartimento della Difesa statunitense che richiede ai fornitori di attuare e far verificare da un ente terzo i controlli di sicurezza (basati sul NIST SP 800-171) per proteggere le informazioni CUI e FCI.

Framework di governance e gestione dell'IT sviluppato da ISACA che definisce obiettivi, processi e controlli per allineare l'uso della tecnologia, la gestione dei rischi e la sicurezza agli obiettivi aziendali. La versione corrente è COBIT 2019.

Gestione strutturata della conformità a normative, standard e requisiti interni ed esterni, che assicura che processi e sistemi rispettino gli obblighi applicabili e ne mantiene evidenza documentale nel tempo.

Supervisione costante dello stato di sicurezza aziendale tramite metriche, log e sistemi automatizzati che rilevano anomalie e variazioni di rischio, mantenendo aggiornata la consapevolezza situazionale sulle minacce.

Misure alternative adottate quando un controllo primario richiesto non è tecnicamente o operativamente applicabile, garantendo un livello di protezione equivalente. Concetto formalizzato in framework come PCI DSS e NIST SP 800-53.

Controlli che intervengono dopo un incidente per limitarne l'impatto e ripristinare le normali operazioni, come backup, piani di ripristino e procedure di risposta. Categoria complementare a preventivi e detettivi.

Controlli che rilevano un incidente in corso o già avvenuto, come log, sistemi di monitoraggio e allarmi. Non prevengono l'evento ma ne permettono l'individuazione tempestiva; categoria complementare a preventivi e correttivi.

Controlli che mirano a evitare il verificarsi di un incidente agendo prima dell'evento, come autenticazione, crittografia o segregazione dei compiti. Una delle categorie funzionali di controllo, insieme a detettivi e correttivi.

Misura tecnica, organizzativa o procedurale che riduce il rischio proteggendo riservatezza, integrità e disponibilità delle informazioni. Cataloghi di riferimento sono l'Annex A della ISO/IEC 27001 e il NIST SP 800-53.

Committee of Sponsoring Organizations of the Treadway Commission: organizzazione che ha definito i framework di riferimento per il controllo interno e per l'Enterprise Risk Management (COSO ERM), usati anche per la conformità Sarbanes-Oxley.

Polizza assicurativa che copre parte dei danni economici derivanti da incidenti informatici, come violazioni di dati, riscatti e interruzioni. Trasferisce una quota del rischio residuo, ma richiede in genere misure di sicurezza minime.

Regolamento UE 2024/2847 che introduce requisiti orizzontali obbligatori di cibersicurezza per i prodotti con elementi digitali immessi sul mercato europeo, basati sul principio della sicurezza fin dalla progettazione (secure by design).

Processo di identificazione, analisi e valutazione dei rischi che minacciano le informazioni e i sistemi, stimandone probabilità e impatto. Fornisce le basi per decidere quali rischi trattare, trasferire o accettare, orientando la scelta delle misure di sicurezza.

Figura prevista dal GDPR incaricata di sorvegliare il rispetto della normativa sulla protezione dei dati all'interno di un'organizzazione. Opera in autonomia, informa e consiglia il titolare ed è punto di contatto con l'autorità di controllo.

Documento obbligatorio della ISO/IEC 27001 che elenca i controlli dell'Annex A, indicando quali sono applicabili, la relativa giustificazione di inclusione o esclusione e lo stato di attuazione.

Insieme di procedure e strumenti utilizzati per identificare, raccogliere, preservare e analizzare le prove digitali senza alterarne il contenuto, così da mantenerne integrità e validità legale.

Insieme di procedure e strumenti per ripristinare sistemi e dati dopo un incidente grave. Definisce in quanto tempo e con quale perdita massima di dati si torna operativi, tramite parametri come RTO e RPO.

Digital Operational Resilience Act, Regolamento (UE) 2022/2554 in vigore dal 17 gennaio 2025: impone al settore finanziario requisiti di resilienza operativa digitale su gestione del rischio ICT, segnalazione degli incidenti, test e controllo dei fornitori terzi.

Processo di verifica e analisi approfondita condotto prima di un accordo o dell'affidamento a un fornitore, per valutarne rischi, sicurezza e conformità. Elemento chiave nella gestione del rischio di terze parti.

Regolamento UE 910/2014 che stabilisce un quadro comune per l'identità digitale, l'autenticazione elettronica e i servizi fiduciari (firme, sigilli e marche temporali) nel mercato europeo, garantendone il riconoscimento transfrontaliero.

Gestione del rischio d'impresa che identifica, valuta e tratta in modo integrato i rischi dell'intera organizzazione, collegandoli alla strategia e agli obiettivi. Framework di riferimento sono COSO ERM e ISO 31000.

Modello quantitativo che misura il rischio informatico in termini economici, scomponendolo in frequenza e magnitudine della perdita, in alternativa alle scale qualitative alto/medio/basso. Standard promosso da The Open Group.

Federal Risk and Authorization Management Program: programma statunitense che standardizza la valutazione e l'autorizzazione della sicurezza dei servizi cloud usati dalle agenzie federali, basandosi sui controlli del NIST SP 800-53 su tre livelli di impatto.

Federal Information Security Management Act: legge statunitense del 2002 che impone alle agenzie federali di sviluppare e mantenere programmi di sicurezza delle informazioni, adottando i controlli e i processi di gestione del rischio definiti dal NIST.

Approccio investigativo che applica metodi scientifici per identificare, raccogliere, conservare e analizzare prove digitali utili a ricostruire incidenti o attacchi informatici in modo difendibile in sede legale.

Confronto tra lo stato attuale dei controlli di un'organizzazione e i requisiti di uno standard o normativa (es. ISO/IEC 27001), per individuare le lacune da colmare prima di una certificazione o di un audit.

Regolamento europeo sulla protezione dei dati personali che disciplina come le organizzazioni raccolgono, trattano e conservano le informazioni relative alle persone fisiche. Introduce principi come minimizzazione e responsabilizzazione, diritti per gli interessati e sanzioni significative per le violazioni.

Regolamento europeo sulla protezione dei dati personali che disciplina come le organizzazioni raccolgono, trattano e conservano le informazioni relative alle persone fisiche. Introduce principi come minimizzazione e responsabilizzazione, diritti per gli interessati e sanzioni significative per le violazioni.

Insieme di processi e strumenti per raccogliere, registrare e revocare il consenso degli interessati al trattamento dei dati. Deve garantire che il consenso sia libero, specifico, informato e inequivocabile, oltre che dimostrabile, come richiesto dal GDPR.

Struttura di principi, ruoli e processi che guida la gestione della sicurezza informatica, assicurando coerenza tra strategia, controlli e obiettivi aziendali e la chiara assegnazione di responsabilità decisionali.

Approccio integrato che coordina la governance aziendale, la gestione del rischio e la conformità normativa in un unico modello, allineando processi, controlli e obiettivi ed evitando attività frammentate e duplicate tra le funzioni.

Health Insurance Portability and Accountability Act: legge federale statunitense del 1996 che stabilisce requisiti per la protezione di riservatezza e sicurezza dei dati sanitari (PHI) trattati da operatori sanitari e loro fornitori.

Standard internazionale che specifica i requisiti per un sistema di gestione della continuità operativa (BCMS), aiutando le organizzazioni a prepararsi, rispondere e ripristinarsi dalle interruzioni. Include analisi di impatto (BIA) e strategie di continuità.

Standard internazionale che fornisce principi e linee guida generali per la gestione del rischio, applicabile a qualsiasi organizzazione e tipo di rischio. Non è certificabile e definisce un processo iterativo di valutazione e trattamento.

Standard internazionale che definisce i requisiti per istituire, mantenere e migliorare un sistema di gestione della sicurezza delle informazioni. Adotta un approccio basato sul rischio e consente una certificazione che attesta il presidio sistematico della sicurezza.

Guida di best practice che accompagna la 27001 e descrive in dettaglio i controlli di sicurezza da adottare. Nella revisione 2022 raccoglie 93 controlli organizzati in quattro temi: organizzativi, delle persone, fisici e tecnologici.

Standard che fornisce linee guida per la gestione del rischio relativo alla sicurezza delle informazioni, a supporto dei requisiti della ISO/IEC 27001. Descrive il processo di identificazione, analisi, valutazione e trattamento del rischio.

Estensione della ISO/IEC 27001 e 27002 che specifica i requisiti per un sistema di gestione delle informazioni sulla privacy (PIMS), aiutando le organizzazioni a gestire i dati personali in modo conforme a normative come il GDPR.

Metriche usate per monitorare segnali precoci di aumento del rischio, così da abilitare interventi tempestivi e decisioni informate prima che il rischio si concretizzi in un impatto.

Politica che definisce per quanto tempo i log devono essere conservati e come devono essere protetti e gestiti, affinché restino integri e utili per audit, indagini e analisi forense.

Strumento che rappresenta il rischio incrociando probabilità e impatto in una griglia, assegnando a ciascuna combinazione un livello (basso, medio, alto). Usata in ISO 31000 e ISO/IEC 27005 per prioritizzare il trattamento.

Principio del GDPR (art. 5) per cui i dati personali trattati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. Richiede di raccogliere e conservare solo i dati strettamente indispensabili.

Direttiva (UE) 2022/2555 che rafforza gli obblighi di cybersicurezza per un'ampia gamma di settori essenziali e importanti. Richiede misure di gestione del rischio, notifica tempestiva degli incidenti e responsabilità degli organi di governance, ampliando il perimetro della prima direttiva NIS.

Framework statunitense che struttura la gestione della sicurezza informatica in sei funzioni: Govern, Identify, Protect, Detect, Respond e Recover. La funzione Govern è stata introdotta con la versione 2.0 pubblicata nel 2024.

Processo del NIST (SP 800-37) in sette fasi (Prepare, Categorize, Select, Implement, Assess, Authorize, Monitor) per integrare sicurezza e gestione del rischio nel ciclo di vita dei sistemi informativi federali statunitensi.

Pubblicazione del NIST che definisce i requisiti di sicurezza per proteggere le informazioni non classificate controllate (CUI) nei sistemi di organizzazioni non federali, in particolare i fornitori del governo statunitense. È base della certificazione CMMC.

Catalogo di controlli di sicurezza e privacy pubblicato dal NIST, utilizzato da enti governativi statunitensi e organizzazioni che richiedono un livello elevato di protezione dei sistemi informativi. La revisione 5 organizza i controlli in 20 famiglie.

Mancato soddisfacimento di un requisito di uno standard, di una procedura interna o di una norma, rilevato tipicamente durante un audit. Richiede la definizione di azioni correttive per essere risolta.

Obbligo previsto dal GDPR (art. 33-34) di comunicare una violazione di dati personali all'autorità di controllo entro 72 ore e, nei casi di rischio elevato, agli interessati. Include natura, conseguenze e misure adottate.

Processo di gestione dell'individuazione, del test e dell'installazione di aggiornamenti e patch per correggere vulnerabilità note e migliorare la sicurezza e la stabilità dei sistemi.

Payment Card Industry Data Security Standard: standard internazionale, gestito dal PCI Security Standards Council, per la protezione dei dati delle carte di pagamento. Articolato in 12 requisiti, è obbligatorio per le organizzazioni che trattano transazioni con carte.

Tempo oltre il quale l'impatto di un'interruzione di un'attività diventa inaccettabile per l'organizzazione. Concetto della ISO 22301, è sempre superiore o pari all'RTO fissato per la stessa attività.

Documento formale approvato dalla direzione che definisce obiettivi, principi e regole per la protezione delle informazioni. In ISO/IEC 27001 è un requisito che indirizza l'intero sistema di gestione della sicurezza.

Protezione dei dati per impostazione predefinita: principio del GDPR (art. 25) per cui le impostazioni iniziali di sistemi e servizi devono trattare, per impostazione predefinita, solo i dati personali necessari a ciascuna specifica finalità.

Principio, sancito dal GDPR, per cui la protezione dei dati va integrata fin dalla progettazione di un sistema o servizio, non aggiunta dopo. Si accompagna alla privacy by default, che impone impostazioni predefinite più tutelanti.

Persona o entità con la responsabilità e l'autorità di gestire un determinato rischio. In ISO 31000 e ISO/IEC 27001 approva il piano di trattamento e accetta formalmente il rischio residuo.

Trattamento dei dati personali in modo che non siano più attribuibili a un interessato senza informazioni aggiuntive, conservate separatamente e protette. Definita all'art. 4 del GDPR, riduce il rischio ma resta un trattamento di dati personali.

Quantità massima di dati, misurata come intervallo di tempo, che un'organizzazione può permettersi di perdere in caso di incidente. Determina la frequenza dei backup e si definisce nella BIA insieme all'RTO.

Tempo massimo tollerabile entro cui un servizio o sistema deve essere ripristinato dopo un'interruzione. È un parametro chiave della continuità operativa e orienta la progettazione delle soluzioni di disaster recovery.

Documento previsto dall'art. 30 del GDPR in cui titolare e responsabile descrivono i trattamenti di dati personali svolti (finalità, categorie, destinatari, misure). È uno strumento chiave del principio di responsabilizzazione.

Soggetto che tratta dati personali per conto del titolare, ad esempio un fornitore di servizi cloud. Agisce solo sulla base di istruzioni documentate e di un contratto che ne definisce compiti, garanzie e obblighi di sicurezza.

Livello di rischio presente in un'attività o processo prima di applicare qualsiasi controllo o misura di mitigazione. Si contrappone al rischio residuo, ossia quello che permane dopo l'attuazione dei controlli.

Rischio che permane dopo l'applicazione delle misure di trattamento. Secondo ISO/IEC 27000 e ISO 31000 va valutato e formalmente accettato dal proprietario del rischio, poiché nessun controllo azzera del tutto l'esposizione.

Livello di rischio che un'organizzazione è disposta ad accettare, in modo aggregato, per raggiungere i propri obiettivi. È definito dal vertice tramite policy e decisioni strategiche e guida le scelte di trattamento del rischio.

Processo di identificazione, analisi e valutazione dei rischi che minacciano le informazioni e i sistemi, stimandone probabilità e impatto. Fornisce le basi per decidere quali rischi trattare, trasferire o accettare, orientando la scelta delle misure di sicurezza.

Documento o sistema che cataloga i rischi individuati insieme a impatto, probabilità, titolare del rischio, controlli in essere e priorità di mitigazione, così da tracciarne l'evoluzione nel tempo.

Scostamento o margine operativo entro cui il livello di rischio può variare rispetto al risk appetite senza superare i limiti considerati accettabili dall'organizzazione.

Legge federale statunitense del 2002 che impone alle società quotate controlli interni e requisiti sull'accuratezza dei report finanziari, per prevenire frodi contabili. La sezione 404 riguarda i controlli sull'informativa finanziaria.

Programma formativo che educa il personale a riconoscere e gestire le minacce informatiche, dal phishing alla gestione delle password. Poiché l'errore umano è una causa frequente di incidenti, è una misura preventiva di primo piano.

Misura complessiva dello stato e della maturità di sicurezza di un'organizzazione, valutata tramite controlli, processi, tecnologie e capacità di rilevare e rispondere agli incidenti.

Principio di controllo che distribuisce attività critiche tra più persone, così che nessuno possa completare da solo un processo sensibile. Riduce il rischio di frodi ed errori richiedendo il concorso di soggetti diversi.

Uso di applicazioni, servizi cloud o dispositivi da parte dei dipendenti senza l'approvazione o la supervisione dell'IT aziendale, che crea risorse non monitorate e aumenta i rischi di sicurezza e conformità.

Insieme di politiche, processi e controlli con cui un'organizzazione gestisce in modo sistematico la sicurezza delle informazioni. Noto come ISMS, è l'oggetto della certificazione ISO/IEC 27001.

Rapporto di controllo, basato sui Trust Services Criteria dell'AICPA, che attesta come un'azienda gestisce sicurezza, disponibilità, integrità di elaborazione, riservatezza e privacy dei dati dei clienti. Molto richiesto a fornitori cloud e SaaS.

Soggetto che determina finalità e mezzi del trattamento dei dati personali e ne è il principale responsabile giuridico. Sul titolare gravano gli obblighi centrali del GDPR, dalla base giuridica alla sicurezza dei dati.

Processo di selezione e attuazione delle misure per modificare il rischio. Secondo ISO 31000 e ISO/IEC 27005 le opzioni tipiche sono evitare, ridurre, trasferire o accettare il rischio.

Modello di governance del rischio dell'IIA che distingue tre ruoli: le funzioni operative che gestiscono il rischio (prima linea), le funzioni di controllo e conformità (seconda linea) e l'internal audit come garanzia indipendente (terza linea).

Analisi preventiva richiesta dal GDPR quando un trattamento presenta rischi elevati per i diritti delle persone. Descrive il trattamento, ne valuta necessità e proporzionalità e individua le misure per ridurre i rischi individuati.

Processo di valutazione e monitoraggio dei rischi introdotti dai fornitori e dai terzi che accedono a dati o sistemi dell'organizzazione. Mira a garantire che i partner rispettino standard di sicurezza adeguati lungo tutta la relazione.