Un percorso proporzionato al contesto
La consulenza parte dai servizi e dagli impatti, non da un catalogo di strumenti. Prodigys ricostruisce asset, identità, dati, fornitori e dipendenze, valuta scenari e accompagna la scelta delle misure. I requisiti NIS2 vengono analizzati quando applicabili senza dichiarare conformità non verificata.
Il servizio collega governance e operatività. Rischi, azioni, eccezioni e incidenti hanno proprietari e scadenze. Shielded, Sentinel, Itanium e le funzioni K-ERP vengono selezionati solo quando rispondono al piano.
Scoping e inventario
Interviste, documenti e fonti tecniche ricostruiscono servizi, sedi, dati, applicazioni, reti, dispositivi, identità e fornitori. Ogni elemento viene collegato al processo che sostiene e a un proprietario.
Lacune e divergenze sono registrate. Procedure di ingresso, modifica e dismissione mantengono l'inventario. Il perimetro chiarisce inclusioni e dipendenze esterne prima di valutare i rischi.
- servizi e processi;
- asset e dati;
- identità e accessi;
- fornitori e dipendenze.
Risk assessment
Workshop costruiscono scenari di indisponibilità, alterazione, perdita e accesso improprio. Impatti e probabilità usano criteri condivisi; controlli ed evidenze vengono verificati su campioni.
Il registro collega rischio, proprietario, trattamento, scadenza e residuo. Accettazioni e rinvii mantengono motivazione. Le priorità considerano conseguenze e fattibilità, non soltanto punteggi.
- scenari e minacce;
- impatti e criteri;
- controlli esistenti;
- trattamenti e rischio residuo.
Governance e NIS2
Responsabilità di organi, dirigenti, referenti e amministratori vengono chiarite. I requisiti applicabili sono mappati su misure, evidenze e azioni. Politiche e procedure descrivono il funzionamento reale.
Il reporting sostiene decisioni su rischio, risorse e ritardi. Fornitori critici vengono inclusi con contatti, obblighi, accessi e incidenti. Le evidenze sono mantenute per verifiche e riesami.
- matrice delle responsabilità;
- mappa requisiti-evidenze;
- report di governo;
- terze parti.
Piano delle misure
Identità, privilegi, endpoint, aggiornamenti, configurazioni, rete, cifratura e monitoraggio vengono valutati sul rischio. Ogni misura ha scopo, proprietario e prova. Le eccezioni hanno durata e compensazioni.
Backup e ripristino vengono testati. Gli strumenti vengono integrati nelle code e nelle escalation, evitando alert senza presidio. La roadmap separa azioni urgenti, progetti e controlli ricorrenti.
- accessi e privilegi;
- dispositivi e configurazioni;
- monitoraggio e risposta;
- backup e continuità.
Incident response ed esercitazioni
Playbook definiscono segnalazione, triage, contenimento, comunicazione, recupero e raccolta delle evidenze. Ruoli e contatti includono responsabilità tecniche, organizzative ed esterne.
Esercitazioni su scenari realistici verificano decisioni e coordinamento. Prove di ripristino controllano dati e servizi prioritari. La retrospettiva produce azioni assegnate e aggiornamenti a procedure e formazione.
- canali e classificazione;
- playbook e contatti;
- esercitazioni;
- ripristino e lezioni apprese.
Avvio del ciclo di governo
Responsabili e operatori ricevono formazione sui propri compiti. Dashboard e registri vengono consegnati con calendario dei controlli. Le prime revisioni sono affiancate per rendere applicabili criteri ed evidenze.
Cambi di servizi, fornitori, asset o minacce attivano riesami. Il backlog rimane trasparente e lo stato viene verificato, non dichiarato. Decisioni e rischi accettati conservano data e responsabile.
- formazione per ruolo;
- calendario dei controlli;
- backlog e report;
- change e revisioni.
Consegna, governo e continuità
La consegna comprende perimetro, inventario, dipendenze, registro dei rischi, matrice dei ruoli, mappa dei requisiti, roadmap, playbook ed evidenze. Un riesame successivo verifica campioni di account, asset, configurazioni, backup, fornitori e azioni. Le differenze tra documenti e realtà diventano attività assegnate; le misure completate vengono provate. Il governo riceve un verbale con rischio residuo, ritardi e decisioni necessarie. Gli strumenti tecnici hanno referenti, procedure per alert e scadenze. La documentazione rende il presidio comprensibile anche a nuovi responsabili e prepara l'organizzazione a ripetere assessment ed esercitazioni senza ricominciare da zero.
Verifica successiva all'avvio
La verifica include una simulazione di incidente e una prova di recupero, con tempi, decisioni, comunicazioni e dipendenze. I risultati aggiornano priorità e materiali formativi. Prima di aggiungere nuovi prodotti viene chiarito quale scenario affrontano e come saranno gestiti gli eventi generati.
Il servizio non attribuisce certificazioni automatiche: restituisce evidenze, lacune, azioni e responsabilità verificabili nel contesto analizzato.
Il riesame comprende identità e account privilegiati, dispositivi fuori standard, vulnerabilità e aggiornamenti, eccezioni, backup, alert e dipendenze esterne. Per ogni campione si confrontano inventario, evidenza tecnica e conoscenza del responsabile. Le incongruenze diventano azioni e alimentano il rischio corrispondente. Viene provato il percorso di un alert dalla ricezione alla chiusura e si verifica che le persone sappiano quando escalare. I fornitori critici vengono coinvolti in prove e aggiornano contatti e procedure. Le misure dichiarate completate sono sottoposte a una verifica di efficacia; se non producono il risultato atteso, il piano viene corretto. Il governo riceve una sintesi che separa stato, efficacia e rischio residuo.
La documentazione include criteri di priorità, fonti delle evidenze, decisioni, eccezioni e date. Nuovi responsabili possono ricostruire perché una misura è stata scelta e che cosa deve essere controllato. Prima di ogni riesame vengono raccolti cambi organizzativi, tecnologici e normativi pertinenti, così il perimetro non resta fermo alla fotografia iniziale. Il servizio accompagna i primi cicli finché ruoli e strumenti risultano applicabili in autonomia.
Il riesame finale coinvolge il governo nella lettura di scenari e decisioni. Vengono presentate conseguenze delle azioni rinviate, dipendenze da fornitori e risultati delle prove, evitando sintesi prive di evidenze. Le priorità approvate alimentano budget e pianificazione e tornano nel registro con responsabili e date. La consulenza consegna anche una procedura per aggiornare il perimetro quando entra un nuovo servizio, dispositivo, sede o fornitore, mantenendo coerenti inventario, rischio e controlli.
La consegna viene provata con i referenti: ciascuno aggiorna un rischio, chiude un'azione, registra un'eccezione e consulta le evidenze. Le difficoltà vengono corrette prima di considerare autonomo il ciclo di governo.
