▸ Governance e Compliance
Panoramica del Servizio
Il servizio di Governance e Compliance di Dognet Technologies supporta le organizzazioni nel percorso verso la conformità ai principali framework normativi e standard di sicurezza informatica—NIS2, PCI-DSS e ISO 27001—attraverso un approccio concreto e operativo che trasforma i requisiti regolatori in controlli tecnici e organizzativi implementabili, verificabili e mantenibili nel tempo. Non vendiamo checklist da spuntare per superare un audit: costruiamo sistemi di gestione della sicurezza che funzionano e che reggono all’esame di auditor accreditati perché riflettono controlli realmente implementati, non solo documentati.
Governance e Compliance
In un contesto in cui la Direttiva NIS2 è diventata obbligatoria per un’ampia platea di organizzazioni italiane, in cui le sanzioni per non conformità possono raggiungere il 2% del fatturato globale, e in cui i partner commerciali e i clienti enterprise richiedono sempre più spesso certificazioni ISO 27001 come prerequisito contrattuale, la compliance non è più un’opzione ma un requisito competitivo.
NIS2 — Direttiva sulla Sicurezza delle Reti e dei Sistemi Informativi
La Direttiva NIS2 (recepita in Italia con D.Lgs. 138/2024) estende gli obblighi di sicurezza informatica a oltre 10.000 organizzazioni italiane nei settori essenziali e importanti, imponendo misure di gestione del rischio, obblighi di notifica degli incidenti e responsabilità diretta del management. Il nostro percorso NIS2 si articola in: gap analysis rispetto ai requisiti dell’art. 21 (misure di gestione dei rischi di cybersecurity); implementazione dei controlli mancanti (politiche di sicurezza, gestione degli incidenti, continuità operativa, sicurezza della supply chain, autenticazione multi-fattore, cifratura, vulnerability management); preparazione della documentazione richiesta per la notifica all’autorità competente (ACN); e formazione del management sulle responsabilità personali previste dalla direttiva.
PCI-DSS — Payment Card Industry Data Security Standard
Lo standard PCI-DSS v4.0 è obbligatorio per qualsiasi organizzazione che gestisce, processa o memorizza dati di carte di pagamento, indipendentemente dalle dimensioni. La non conformità espone a sanzioni contrattuali da parte dei circuiti di pagamento, all’aumento delle commissioni di processing e, in caso di breach, a responsabilità dirette per le frodi generate. Il nostro percorso PCI-DSS include: scoping dell’ambiente dei dati di carta (CDE), gap analysis rispetto ai 12 requisiti PCI-DSS v4.0, implementazione tecnica dei controlli mancanti (segmentazione di rete, crittografia, logging, vulnerability management, penetration testing), preparazione della documentazione per il Self-Assessment Questionnaire (SAQ) o per il Report on Compliance (RoC) con QSA accreditato.
ISO 27001:2022 — Sistema di Gestione della Sicurezza delle Informazioni
La certificazione ISO 27001 è lo standard internazionale per i Sistemi di Gestione della Sicurezza delle Informazioni (ISMS) e rappresenta la dimostrazione più riconosciuta a livello globale di un approccio maturo e sistematico alla sicurezza informatica. Il nostro percorso di implementazione ISO 27001 copre: definizione dello scope dell’ISMS e del contesto organizzativo; valutazione del rischio informatico secondo la metodologia ISO 27005; selezione e implementazione dei controlli dell’Annex A (aggiornato nella versione 2022 con 93 controlli organizzati in 4 domini); sviluppo della documentazione obbligatoria (politiche, procedure, statement of applicability); preparazione e supporto durante l’audit di certificazione con ente accreditato; e mantenimento del sistema con audit interni e riesame della direzione.
Approccio Integrato
Per organizzazioni soggette a più framework, implementiamo un approccio di compliance integrata che mappa i requisiti comuni tra NIS2, PCI-DSS e ISO 27001, implementando controlli condivisi una volta sola ed evitando la duplicazione degli sforzi. La maggior parte dei controlli tecnici—vulnerability management, logging e monitoring, gestione degli accessi privilegiati, cifratura, incident response—è richiesta da tutti e tre i framework con requisiti largamente sovrapponibili. Un’implementazione integrata riduce i costi e i tempi rispetto a percorsi separati per ogni standard.
Deliverable
Gap analysis documentata con mapping verso i requisiti normativi applicabili; piano di implementazione con milestones, responsabilità e budget stimato; set completo di policy, procedure e documentazione tecnica; evidence package per audit interni ed esterni; formazione del personale sui requisiti e sulle responsabilità; e supporto continuativo per il mantenimento della conformità e la gestione degli audit periodici.
