Navigatore decisionale · 48 interventi possibili valutati
Rotta verso la scadenza
Presidio insufficiente: 3 aree su 7 senza presidio (igiene informatica, attività di test, addendum intelligenza artificiale); gate del Consiglio non superato (3/5). Indice di scopertura 27, opacità 22%, 1 rilievo critico.
scopertura 38critici 1opacità 22%gate 3/5
Rotta scadenza
Superare il gate del Consiglio e azzerare i rilievi critici entro la scadenza, al costo minimo.
costo€ 635k
interventi12
scopertura38 → 30
critici1 → 0
opacità22 → 19%
gate5/5
- Concentra le risorse sugli adempimenti: la riduzione strutturale della scopertura può essere inferiore.
- L’opacità cala poco: servono più evidenze accettate.
Le 12 tappe, in ordine
- GOV-05 portare da 1 a 3
L'entità ha individuato e comunicato all'Autorità di vigilanza uno specifico punto di responsabilità aziendale…perché: condizione del gate CdA · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - GOV-15 portare da 1 a 3
Il CdA, in seduta congiunta con il Collegio Sindacale, ha esaminato la Comunicazione 2026 e avviato la Relazio…perché: condizione del gate CdA · piano di lavoro (AZ-01) · ~15 gg€ 228k
−0.7 pt - GOV-10 portare da n.v. a 3
È approvata una strategia sul rischio ICT da terze parti con una politica sull'uso di servizi ICT a supporto d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1 pt - GOV-12 portare da n.v. a 3
I contratti ICT a supporto di funzioni essenziali o importanti contengono le clausole richieste da DORA (SLA m…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1 pt - GOV-09 portare da n.v. a 3
L'organo di amministrazione approva e riesamina periodicamente il budget destinato alla resilienza operativa d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - VP-09 portare da n.v. a 3
L'entità verifica che i fornitori ICT gestiscano le vulnerabilità e comunichino quelle critiche e le relative …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - AT-14 portare da n.v. a 3
Gli scenari di test sono realistici e progressivamente più complessi, includendo attacchi assistiti da IA e co…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.7 pt - MR-06 portare da n.v. a 3
Sono rilevate attività anomale di utenti e amministratori (es. accessi fuori orario, escalation di privilegi)?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 60k
−0.7 pt - VP-13 portare da n.v. a 3
Nel ciclo di sviluppo delle applicazioni critiche sono integrati controlli di sicurezza (analisi del codice st…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 60k
−0.7 pt - AT-06 portare da 2 a 3
L'entità ha verificato se rientra tra quelle tenute ai TLPT e, in tal caso, ne ha pianificato l'esecuzione alm…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.2 pt - IA-01 portare da 2 a 3
Esiste una strategia sull'intelligenza artificiale approvata, che disciplina anche l'uso di strumenti di IA a …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.2 pt - IGI-07 portare da n.v. a 3
Il ciclo di vita delle identità (creazione, modifica, revoca) è gestito con processi tempestivi e, ove possibi…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 42k
−0.3 pt
Rotta massima riduzione
Massimo calo dell’indice di scopertura per euro investito.
costo€ 803k
interventi15
scopertura38 → 28
critici1 → 1
opacità22 → 19%
gate4/5
- Il gate del Consiglio resta non superato al termine della rotta.
- Restano 1 rilievi critici.
- Privilegia gli interventi a basso costo e ampio effetto: può lasciare per ultime condizioni formali del gate.
- L’opacità cala poco: servono più evidenze accettate.
Le 15 tappe, in ordine
- GOV-10 portare da n.v. a 3
È approvata una strategia sul rischio ICT da terze parti con una politica sull'uso di servizi ICT a supporto d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1 pt - GOV-12 portare da n.v. a 3
I contratti ICT a supporto di funzioni essenziali o importanti contengono le clausole richieste da DORA (SLA m…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1 pt - GOV-09 portare da n.v. a 3
L'organo di amministrazione approva e riesamina periodicamente il budget destinato alla resilienza operativa d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - VP-09 portare da n.v. a 3
L'entità verifica che i fornitori ICT gestiscano le vulnerabilità e comunichino quelle critiche e le relative …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - GOV-05 portare da 1 a 3
L'entità ha individuato e comunicato all'Autorità di vigilanza uno specifico punto di responsabilità aziendale…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.7 pt - AT-14 portare da n.v. a 3
Gli scenari di test sono realistici e progressivamente più complessi, includendo attacchi assistiti da IA e co…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.7 pt - MR-06 portare da n.v. a 3
Sono rilevate attività anomale di utenti e amministratori (es. accessi fuori orario, escalation di privilegi)?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 60k
−0.7 pt - VP-13 portare da n.v. a 3
Nel ciclo di sviluppo delle applicazioni critiche sono integrati controlli di sicurezza (analisi del codice st…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 60k
−0.7 pt - AT-06 portare da 2 a 3
L'entità ha verificato se rientra tra quelle tenute ai TLPT e, in tal caso, ne ha pianificato l'esecuzione alm…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.2 pt - IA-01 portare da 2 a 3
Esiste una strategia sull'intelligenza artificiale approvata, che disciplina anche l'uso di strumenti di IA a …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.2 pt - IGI-04 portare da n.v. a 3
Tutte le utenze amministrative sono nominative e riconducibili a una singola persona, con uso di account gener…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−1 pt - IGI-07 portare da n.v. a 3
Il ciclo di vita delle identità (creazione, modifica, revoca) è gestito con processi tempestivi e, ove possibi…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 42k
−0.3 pt - AT-12 portare da n.v. a 3
I test di disaster recovery coprono tutte le funzioni essenziali o importanti, con failover effettivo verso l'…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - IGI-10 portare da n.v. a 3
Esistono capacità tecniche e procedure per isolare rapidamente segmenti o sistemi compromessi?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - IGI-12 portare da n.v. a 3
La cifratura dei dati a riposo e in transito è applicata in base alla classificazione, con una gestione delle …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt
Rotta bilanciata
consigliataRiduzione congiunta di scopertura, rilievi critici e opacità entro il budget di € 1.500.000.
costo€ 158k
interventi15
scopertura38 → 37
critici1 → 1
opacità22 → 7%
gate3/5
- Il gate del Consiglio resta non superato al termine della rotta.
- Restano 1 rilievi critici.
- Compromesso: nessun obiettivo è massimizzato da solo.
Le 15 tappe, in ordine
- RE-12 documentare con evidenza
Viene effettuata una valutazione del rischio ICT prima di modifiche rilevanti e prima della connessione di nuo…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 3k
−0 pt - AT-04 documentare con evidenza
I test sono condotti da soggetti indipendenti, interni o esterni, senza conflitti di interesse?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - GOV-16 documentare con evidenza
Sono mappate e valutate le catene di subappalto dei servizi ICT a supporto di funzioni essenziali o importanti…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - IGI-02 documentare con evidenza
È adottata una politica di sicurezza delle informazioni documentata che definisce le regole di protezione di d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - MR-12 documentare con evidenza
Sono utilizzati, o è stata valutata l'adozione di, strumenti basati su IA per analizzare grandi volumi di dati…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - MR-08 documentare con evidenza
È operativo un presidio di monitoraggio e risposta (SOC) con copertura adeguata (es. 24/7) e procedure di esca…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 6k
−0 pt - VP-01 documentare con evidenza
Esiste un processo formale di gestione delle vulnerabilità alimentato da fonti informative affidabili e aggior…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 6k
−0 pt - IGI-06 documentare con evidenza
I diritti di accesso sono assegnati secondo need-to-know e minimo privilegio e sono ricertificati periodicamen…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 9k
−0 pt - MR-13 documentare con evidenza
L'entità raccoglie e analizza informazioni su minacce e vulnerabilità (threat intelligence) per valutarne l'im…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - RE-11 documentare con evidenza
È mantenuto un inventario delle librerie di terze parti e open source usate nelle applicazioni (es. SBOM)?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 9k
−0 pt - IGI-05 documentare con evidenza
Gli accessi privilegiati sono gestiti con strumenti dedicati (vault delle credenziali, registrazione delle ses…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 14k
−0 pt - IGI-11 documentare con evidenza
Sono definite e verificate configurazioni di base sicure (hardening) per sistemi e componenti di rete?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 14k
−0 pt - GOV-03 documentare con evidenza
Il Risk Appetite Framework è stato rivisto per includere i rischi derivanti dalle tecnologie di frontiera (es.…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-03) · ~5 gg€ 28k
−0 pt - IGI-13 documentare con evidenza
Gli endpoint e i server sono protetti da soluzioni contro codice malevolo/EDR e solo il software autorizzato p…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 14k
−0 pt - GOV-10 portare da n.v. a 3
È approvata una strategia sul rischio ICT da terze parti con una politica sull'uso di servizi ICT a supporto d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1 pt
Ipotesi del calcolo
dichiarate, verificabili, modificabili in Configurazione- Ogni intervento porta la domanda a 3 (Adeguato) con almeno un'evidenza accettata dalla seconda linea.
- Costi: importo dell’azione del piano quando esiste; altrimenti stima parametrica per pilastro (governance, readiness, applicativo, infrastrutturale) e criticità, modificabile in Configurazione.
- Durate: scadenza dell’azione del piano quando esiste; altrimenti stima per pilastro. La rotta scadenza esclude interventi che non finiscono entro la data.
- Nessun nuovo incidente, rilievo di audit o aggiornamento normativo nel periodo: se accadono, i trigger riaprono le domande e le rotte vanno ricalcolate.
- Calcolo eseguito con il motore euristico e la libreria normativa 2026.10.0, con le soglie dei verdetti configurate dall’istituzione.
- Le rotte sono un supporto alla decisione: la scelta e l’approvazione restano agli organi competenti e sono registrate.
Proponi una rotta
resta nel diario con impronta SHA-256Diario delle decisioni
proposte, approvazioni e rifiutiNessuna decisione registrata.