Navigatore decisionale · 25 interventi possibili valutati
Rotta verso la scadenza
Presidio insufficiente: un’area su 7 senza presidio (attività di test); gate del Consiglio superato. Indice di scopertura 19, opacità 12%, 0 rilievi critici.
scopertura 29critici 0opacità 12%gate 5/5
Rotta scadenza
Superare il gate del Consiglio e azzerare i rilievi critici entro la scadenza, al costo minimo.
costo€ 763k
interventi12
scopertura29 → 19
critici0 → 0
opacità12 → 10%
gate5/5
- Concentra le risorse sugli adempimenti: la riduzione strutturale della scopertura può essere inferiore.
- L’opacità cala poco: servono più evidenze accettate.
Le 12 tappe, in ordine
- GOV-10 portare da n.v. a 3
È approvata una strategia sul rischio ICT da terze parti con una politica sull'uso di servizi ICT a supporto d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1.1 pt - GOV-07 portare da n.v. a 3
È stanziato e consuntivato un budget dedicato alla formazione continua dei componenti dell'organo di amministr…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - GOV-14 portare da n.v. a 3
Il registro delle informazioni sugli accordi con fornitori terzi di servizi ICT è completo, aggiornato e confo…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - IA-06 portare da n.v. a 3
Il personale che usa o supervisiona sistemi di IA ha un livello sufficiente di alfabetizzazione in materia di …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - AT-03 portare da n.v. a 3
Sono eseguiti periodicamente vulnerability assessment e penetration test (VAPT) su infrastruttura e applicazio…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−1.1 pt - MR-08 portare da n.v. a 3
È operativo un presidio di monitoraggio e risposta (SOC) con copertura adeguata (es. 24/7) e procedure di esca…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.7 pt - IA-02 portare da 2 a 3
Prima di adottare strumenti di difesa basati su IA è svolta una valutazione dei rischi specifici associati?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.4 pt - IGI-08 portare da n.v. a 3
Reti e ambienti operativi sono segmentati in funzione della criticità (es. separazione produzione/sviluppo, zo…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−1.1 pt - MR-01 portare da n.v. a 3
Tutti gli asset a supporto di funzioni essenziali o importanti inviano log al SIEM (o piattaforma equivalente)…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−1.1 pt - IGI-13 portare da n.v. a 3
Gli endpoint e i server sono protetti da soluzioni contro codice malevolo/EDR e solo il software autorizzato p…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - MR-02 portare da n.v. a 3
La conservazione dei log degli asset critici è di almeno 12 mesi, con eventi da registrare e periodo di conser…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - RE-02 portare da n.v. a 3
L'inventario è alimentato da strumenti di discovery automatica e riconciliato periodicamente per rilevare asse…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt
Rotta massima riduzione
Massimo calo dell’indice di scopertura per euro investito.
costo€ 915k
interventi15
scopertura29 → 18
critici0 → 0
opacità12 → 10%
gate5/5
- Privilegia gli interventi a basso costo e ampio effetto: può lasciare per ultime condizioni formali del gate.
- L’opacità cala poco: servono più evidenze accettate.
Le 15 tappe, in ordine
- GOV-10 portare da n.v. a 3
È approvata una strategia sul rischio ICT da terze parti con una politica sull'uso di servizi ICT a supporto d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1.1 pt - GOV-07 portare da n.v. a 3
È stanziato e consuntivato un budget dedicato alla formazione continua dei componenti dell'organo di amministr…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - GOV-14 portare da n.v. a 3
Il registro delle informazioni sugli accordi con fornitori terzi di servizi ICT è completo, aggiornato e confo…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - IA-06 portare da n.v. a 3
Il personale che usa o supervisiona sistemi di IA ha un livello sufficiente di alfabetizzazione in materia di …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - AT-03 portare da n.v. a 3
Sono eseguiti periodicamente vulnerability assessment e penetration test (VAPT) su infrastruttura e applicazio…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−1.1 pt - MR-08 portare da n.v. a 3
È operativo un presidio di monitoraggio e risposta (SOC) con copertura adeguata (es. 24/7) e procedure di esca…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.7 pt - IA-02 portare da 2 a 3
Prima di adottare strumenti di difesa basati su IA è svolta una valutazione dei rischi specifici associati?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−0.4 pt - IGI-08 portare da n.v. a 3
Reti e ambienti operativi sono segmentati in funzione della criticità (es. separazione produzione/sviluppo, zo…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−1.1 pt - MR-01 portare da n.v. a 3
Tutti gli asset a supporto di funzioni essenziali o importanti inviano log al SIEM (o piattaforma equivalente)…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 126k
−1.1 pt - IGI-13 portare da n.v. a 3
Gli endpoint e i server sono protetti da soluzioni contro codice malevolo/EDR e solo il software autorizzato p…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - MR-02 portare da n.v. a 3
La conservazione dei log degli asset critici è di almeno 12 mesi, con eventi da registrare e periodo di conser…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - RE-02 portare da n.v. a 3
L'inventario è alimentato da strumenti di discovery automatica e riconciliato periodicamente per rilevare asse…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~75 gg€ 90k
−0.7 pt - AT-08 portare da 2 a 3
Per ciascuna funzione sono definiti obiettivi di tempo e punto di ripristino (RTO/RPO) e sono verificati nei t…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−0.4 pt - AT-11 portare da 2 a 3
I piani di continuità operativa ICT sono testati almeno annualmente, includendo scenari di attacco informatico…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−0.4 pt - AT-14 portare da 2 a 3
Gli scenari di test sono realistici e progressivamente più complessi, includendo attacchi assistiti da IA e co…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.2 pt
Rotta bilanciata
consigliataRiduzione congiunta di scopertura, rilievi critici e opacità entro il budget di € 1.500.000.
costo€ 344k
interventi15
scopertura29 → 24
critici0 → 0
opacità12 → 0%
gate5/5
- Compromesso: nessun obiettivo è massimizzato da solo.
Le 15 tappe, in ordine
- AT-07 documentare con evidenza
I contratti con fornitori a supporto di funzioni essenziali o importanti prevedono la partecipazione e piena c…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 4k
−0 pt - AT-10 documentare con evidenza
I backup sono segregati fisicamente e logicamente dai sistemi sorgente (es. copie offline o immutabili) per re…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-02) · ~62 gg€ 6k
−0 pt - AT-01 documentare con evidenza
Esiste un programma di test di resilienza operativa digitale documentato, basato sul rischio e parte del quadr…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-01) · ~63 gg€ 12k
−0 pt - VP-13 documentare con evidenza
Nel ciclo di sviluppo delle applicazioni critiche sono integrati controlli di sicurezza (analisi del codice st…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 9k
−0 pt - MR-10 documentare con evidenza
Il processo di gestione degli incidenti ICT classifica gli incidenti secondo i criteri delle RTS e assegna ruo…perché: massimo beneficio per euro tra le opzioni rimaste · piano di lavoro (AZ-03) · ~91 gg€ 25k
−0 pt - AT-12 documentare con evidenza
I test di disaster recovery coprono tutte le funzioni essenziali o importanti, con failover effettivo verso l'…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 14k
−0 pt - IGI-10 documentare con evidenza
Esistono capacità tecniche e procedure per isolare rapidamente segmenti o sistemi compromessi?…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 14k
−0 pt - IGI-16 documentare con evidenza
Gli accessi del personale dei fornitori ai sistemi dell'entità sono nominativi, autenticati con MFA, limitati …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~10 gg€ 14k
−0 pt - GOV-10 portare da n.v. a 3
È approvata una strategia sul rischio ICT da terze parti con una politica sull'uso di servizi ICT a supporto d…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 35k
−1.1 pt - GOV-07 portare da n.v. a 3
È stanziato e consuntivato un budget dedicato alla formazione continua dei componenti dell'organo di amministr…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - GOV-14 portare da n.v. a 3
Il registro delle informazioni sugli accordi con fornitori terzi di servizi ICT è completo, aggiornato e confo…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - IA-06 portare da n.v. a 3
Il personale che usa o supervisiona sistemi di IA ha un livello sufficiente di alfabetizzazione in materia di …perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 25k
−0.7 pt - AT-03 portare da n.v. a 3
Sono eseguiti periodicamente vulnerability assessment e penetration test (VAPT) su infrastruttura e applicazio…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 56k
−1.1 pt - IA-04 portare da 2 a 3
Prestazioni e degrado nel tempo degli strumenti di difesa basati su IA sono monitorati con indicatori e soglie…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.2 pt - MR-08 portare da n.v. a 3
È operativo un presidio di monitoraggio e risposta (SOC) con copertura adeguata (es. 24/7) e procedure di esca…perché: massimo beneficio per euro tra le opzioni rimaste · stima parametrica per pilastro e criticità · ~40 gg€ 40k
−0.7 pt
Ipotesi del calcolo
dichiarate, verificabili, modificabili in Configurazione- Ogni intervento porta la domanda a 3 (Adeguato) con almeno un'evidenza accettata dalla seconda linea.
- Costi: importo dell’azione del piano quando esiste; altrimenti stima parametrica per pilastro (governance, readiness, applicativo, infrastrutturale) e criticità, modificabile in Configurazione.
- Durate: scadenza dell’azione del piano quando esiste; altrimenti stima per pilastro. La rotta scadenza esclude interventi che non finiscono entro la data.
- Nessun nuovo incidente, rilievo di audit o aggiornamento normativo nel periodo: se accadono, i trigger riaprono le domande e le rotte vanno ricalcolate.
- Calcolo eseguito con il motore euristico e la libreria normativa 2026.10.0, con le soglie dei verdetti configurate dall’istituzione.
- Le rotte sono un supporto alla decisione: la scelta e l’approvazione restano agli organi competenti e sono registrate.
Proponi una rotta
resta nel diario con impronta SHA-256Diario delle decisioni
proposte, approvazioni e rifiutiNessuna decisione registrata.