Navigatore decisionale · 95 interventi possibili valutati
Rotta verso la scadenza
Presidio insufficiente: 7 aree su 7 senza presidio (governance, igiene informatica, gestione risorse informatiche e superficie di esposizione e altre 4); gate del Consiglio non superato (1/5). Indice di scopertura 60, opacità 75%, 14 rilievi critici.
scopertura 63critici 14opacità 75%gate 1/5
Rotta scadenza
Superare il gate del Consiglio e azzerare i rilievi critici entro la scadenza, al costo minimo.
costo€ 959k
interventi12
scopertura63 → 54
critici14 → 3
opacità75 → 57%
gate5/5
- Restano 3 rilievi critici.
- Concentra le risorse sugli adempimenti: la riduzione strutturale della scopertura può essere inferiore.
Le 12 tappe, in ordine
- GOV-02 portare da 1 a 3
Esiste una strategia di resilienza operativa digitale approvata dall'organo di amministrazione, con livelli di…perché: condizione del gate CdA · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - GOV-04 portare da 1 a 3
È presente una funzione di controllo del rischio ICT di secondo livello, indipendente dalle funzioni operative…perché: condizione del gate CdA · piano di lavoro (AZ-04) · ~5 gg€ 120k
−0.7 pt - GOV-05 portare da 1 a 3
L'entità ha individuato e comunicato all'Autorità di vigilanza uno specifico punto di responsabilità aziendale…perché: condizione del gate CdA · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - GOV-15 portare da 1 a 3
Il CdA, in seduta congiunta con il Collegio Sindacale, ha esaminato la Comunicazione 2026 e avviato la Relazio…perché: condizione del gate CdA · piano di lavoro (AZ-11) · ~54 gg€ 45k
−0.7 pt - RE-03 portare da 1 a 3
Gli asset sono classificati per criticità considerando l'esposizione diretta su internet e l'uso di infrastrut…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-08) · ~5 gg€ 30k
−0.7 pt - IA-02 portare da 1 a 3
Prima di adottare strumenti di difesa basati su IA è svolta una valutazione dei rischi specifici associati?…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-06) · ~47 gg€ 41k
−0.7 pt - IA-07 portare da 1 a 3
Gli scenari di minaccia abilitati dall'IA avanzata (individuazione e sfruttamento rapido di vulnerabilità) son…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-07) · ~5 gg€ 42k
−0.7 pt - IA-03 portare da 0 a 3
Sugli strumenti di difesa basati su IA è garantita la supervisione umana (human-in-the-loop), con possibilità …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−1.1 pt - GOV-12 portare da 1 a 3
I contratti ICT a supporto di funzioni essenziali o importanti contengono le clausole richieste da DORA (SLA m…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-05) · ~74 gg€ 75k
−0.7 pt - IGI-04 portare da 2 a 3
Tutte le utenze amministrative sono nominative e riconducibili a una singola persona, con uso di account gener…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−0.4 pt - VP-05 portare da 1 a 3
Esiste una procedura di emergenza per l'applicazione fuori ciclo di patch per vulnerabilità critiche o zero-da…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-09) · ~28 gg€ 139k
−0.7 pt - AT-02 portare da 1 a 3
Tutti i sistemi e le applicazioni ICT a supporto di funzioni essenziali o importanti sono sottoposti a test ad…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-02) · ~59 gg€ 215k
−0.7 pt
Rotta massima riduzione
Massimo calo dell’indice di scopertura per euro investito.
costo€ 472k
interventi15
scopertura63 → 53
critici14 → 10
opacità75 → 57%
gate3/5
- Il gate del Consiglio resta non superato al termine della rotta.
- Restano 10 rilievi critici.
- Privilegia gli interventi a basso costo e ampio effetto: può lasciare per ultime condizioni formali del gate.
Le 15 tappe, in ordine
- RE-09 portare da n.v. a 3
Esiste un piano finanziato di sostituzione o aggiornamento delle tecnologie non più supportate o a fine vita, …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1.1 pt - AT-04 portare da 0 a 3
I test sono condotti da soggetti indipendenti, interni o esterni, senza conflitti di interesse?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - IA-06 portare da n.v. a 3
Il personale che usa o supervisiona sistemi di IA ha un livello sufficiente di alfabetizzazione in materia di …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - RE-03 portare da 1 a 3
Gli asset sono classificati per criticità considerando l'esposizione diretta su internet e l'uso di infrastrut…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-08) · ~5 gg€ 30k
−0.7 pt - GOV-02 portare da 1 a 3
Esiste una strategia di resilienza operativa digitale approvata dall'organo di amministrazione, con livelli di…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - GOV-05 portare da 1 a 3
L'entità ha individuato e comunicato all'Autorità di vigilanza uno specifico punto di responsabilità aziendale…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - IA-03 portare da 0 a 3
Sugli strumenti di difesa basati su IA è garantita la supervisione umana (human-in-the-loop), con possibilità …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−1.1 pt - AT-06 portare da 1 a 3
L'entità ha verificato se rientra tra quelle tenute ai TLPT e, in tal caso, ne ha pianificato l'esecuzione alm…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.5 pt - AT-07 portare da 1 a 3
I contratti con fornitori a supporto di funzioni essenziali o importanti prevedono la partecipazione e piena c…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.5 pt - GOV-16 portare da 1 a 3
Sono mappate e valutate le catene di subappalto dei servizi ICT a supporto di funzioni essenziali o importanti…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.5 pt - IA-01 portare da 1 a 3
Esiste una strategia sull'intelligenza artificiale approvata, che disciplina anche l'uso di strumenti di IA a …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.5 pt - RE-08 portare da 1 a 3
I sistemi legacy sono oggetto di valutazione del rischio ICT almeno annuale?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.5 pt - RE-10 portare da 1 a 3
Sono identificati i processi che dipendono da fornitori ICT e le interconnessioni con i fornitori che supporta…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.5 pt - IA-04 portare da 0 a 3
Prestazioni e degrado nel tempo degli strumenti di difesa basati su IA sono monitorati con indicatori e soglie…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.7 pt - IA-02 portare da 1 a 3
Prima di adottare strumenti di difesa basati su IA è svolta una valutazione dei rischi specifici associati?…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-06) · ~47 gg€ 41k
−0.7 pt
Rotta bilanciata
consigliataRiduzione congiunta di scopertura, rilievi critici e opacità entro il budget di € 1.500.000.
costo€ 654k
interventi15
scopertura63 → 55
critici14 → 6
opacità75 → 54%
gate3/5
- Il gate del Consiglio resta non superato al termine della rotta.
- Restano 6 rilievi critici.
- Compromesso: nessun obiettivo è massimizzato da solo.
Le 15 tappe, in ordine
- GOV-02 portare da 1 a 3
Esiste una strategia di resilienza operativa digitale approvata dall'organo di amministrazione, con livelli di…perché: condizione del gate CdA · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - RE-03 portare da 1 a 3
Gli asset sono classificati per criticità considerando l'esposizione diretta su internet e l'uso di infrastrut…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-08) · ~5 gg€ 30k
−0.7 pt - IA-02 portare da 1 a 3
Prima di adottare strumenti di difesa basati su IA è svolta una valutazione dei rischi specifici associati?…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-06) · ~47 gg€ 41k
−0.7 pt - IA-07 portare da 1 a 3
Gli scenari di minaccia abilitati dall'IA avanzata (individuazione e sfruttamento rapido di vulnerabilità) son…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-07) · ~5 gg€ 42k
−0.7 pt - MR-12 documentare con evidenza
Sono utilizzati, o è stata valutata l'adozione di, strumenti basati su IA per analizzare grandi volumi di dati…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - IA-03 portare da 0 a 3
Sugli strumenti di difesa basati su IA è garantita la supervisione umana (human-in-the-loop), con possibilità …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−1.1 pt - MR-06 documentare con evidenza
Sono rilevate attività anomale di utenti e amministratori (es. accessi fuori orario, escalation di privilegi)?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 9k
−0 pt - IGI-07 documentare con evidenza
Il ciclo di vita delle identità (creazione, modifica, revoca) è gestito con processi tempestivi e, ove possibi…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 6k
−0 pt - GOV-12 portare da 1 a 3
I contratti ICT a supporto di funzioni essenziali o importanti contengono le clausole richieste da DORA (SLA m…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-05) · ~74 gg€ 75k
−0.7 pt - AT-04 portare da 0 a 3
I test sono condotti da soggetti indipendenti, interni o esterni, senza conflitti di interesse?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - IA-06 portare da n.v. a 3
Il personale che usa o supervisiona sistemi di IA ha un livello sufficiente di alfabetizzazione in materia di …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - RE-09 portare da n.v. a 3
Esiste un piano finanziato di sostituzione o aggiornamento delle tecnologie non più supportate o a fine vita, …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1.1 pt - GOV-04 portare da 1 a 3
È presente una funzione di controllo del rischio ICT di secondo livello, indipendente dalle funzioni operative…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-04) · ~5 gg€ 120k
−0.7 pt - GOV-06 portare da 2 a 3
Nell'organo di amministrazione sono presenti componenti con adeguate competenze tecnologiche, incluse competen…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.2 pt - IGI-04 portare da 2 a 3
Tutte le utenze amministrative sono nominative e riconducibili a una singola persona, con uso di account gener…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−0.4 pt
Ipotesi del calcolo
dichiarate, verificabili, modificabili in Configurazione- Ogni intervento porta la domanda a 3 (Adeguato) con almeno un'evidenza accettata dalla seconda linea.
- Costi: importo dell’azione del piano quando esiste; altrimenti stima parametrica per pilastro (governance, readiness, applicativo, infrastrutturale) e criticità, modificabile in Configurazione.
- Durate: scadenza dell’azione del piano quando esiste; altrimenti stima per pilastro. La rotta scadenza esclude interventi che non finiscono entro la data.
- Nessun nuovo incidente, rilievo di audit o aggiornamento normativo nel periodo: se accadono, i trigger riaprono le domande e le rotte vanno ricalcolate.
- Calcolo eseguito con il motore euristico e la libreria normativa 2026.10.0, con le soglie dei verdetti configurate dall’istituzione.
- Le rotte sono un supporto alla decisione: la scelta e l’approvazione restano agli organi competenti e sono registrate.
Proponi una rotta
resta nel diario con impronta SHA-256Diario delle decisioni
proposte, approvazioni e rifiutiNessuna decisione registrata.