Aree di competenza / Sicurezza e governo / 4.2
IT Governance, Compliance & Project Management
Fare bene, e poterlo dimostrare.
Un sistema sicuro e un sistema di cui si può dimostrare la sicurezza non sono la stessa cosa. La differenza sembra burocrazia, finché qualcosa non accade: in quel momento servono le prove di che cosa era stato deciso, quando, da chi e perché, e senza quelle prove la competenza reale è indistinguibile dalla fortuna.
Per questo trattiamo la governance come la memoria del lavoro tecnico, non come il suo contrario. Applichiamo le norme di gestione che contano per voi, dalla continuità operativa al rischio, organizziamo i cambiamenti in modo tracciabile, prepariamo audit ed evidenze nei formati che le autorità richiedono, e gestiamo i progetti con metodi che rendono visibili avanzamento e decisioni. Combattiamo la parte inutile della burocrazia, e rendiamo sostenibile quella che serve.
Un soggetto NIS2 può partire dalla reportistica verso l’autorità; un’amministrazione dall’impostazione di un sistema di gestione certificabile. Le normative recenti rendono obbligatorio ciò che le organizzazioni serie facevano già: noi lo rendiamo sostenibile.
Quattro gruppi di competenza
Ogni gruppo ha un dettaglio tecnico per chi lo vuole.
- 4.2.a
Sistemi di gestione e norme ISO
Un’organizzazione che si può verificare.
Applichiamo le norme ISO di qualità, continuità, rischio, ambiente ed energia ai vostri processi reali. Il sistema di gestione descrive ciò che fate davvero.
Dettaglio tecnico
Il gruppo comprende i sistemi di gestione e le norme ISO. In produzione: applicazione di ISO 9001 per la qualità, ISO 22301 per la continuità operativa, ISO 31000 per il rischio, ISO 14001 e ISO 50001 per ambiente ed energia. In progetto: ISO/IEC 20000 per i servizi IT e ISO/IEC 27005 per l’analisi del rischio di sicurezza.
- 4.2.b
Governo dei servizi IT
Servizi IT definiti, cambiati e misurati con metodo.
Governiamo i cambiamenti ai sistemi con un processo valutato e tracciato. E sappiamo portare il governo completo dei servizi IT, dal catalogo agli indicatori.
Dettaglio tecnico
Il gruppo comprende il governo dei servizi IT. In produzione: change management con advisory board. In progetto: ITIL 4, COBIT, CMDB e configuration management, IT asset management, service catalog con SLA e OLA, KPI IT e balanced scorecard, capacity e demand management.
- 4.2.c
Rischio, audit e conformità
Il lavoro tecnico reso dimostrabile.
Analizziamo l’impatto delle interruzioni, prepariamo audit ed evidenze e produciamo la reportistica per le autorità. Ciò che è stato fatto diventa dimostrabile.
Dettaglio tecnico
Il gruppo comprende rischio, audit e conformità. In produzione: business impact analysis, audit interno e gestione delle evidenze, reportistica di conformità verso ACN e altre autorità, governo delle licenze open source. In progetto: third-party risk management, contract e license management, modello organizzativo 231, Codice dei contratti pubblici. La reportistica è richiamata nel dominio 5.2, il rischio fornitori nel dominio 4.1.
- 4.2.d
Progetti, architettura d’impresa e cambiamento
Progetti visibili, decisioni tracciate.
Gestiamo i progetti con metodi che rendono visibili avanzamento e decisioni. E sappiamo accompagnare le persone nel cambiamento che un nuovo sistema porta con sé.
Dettaglio tecnico
Il gruppo comprende gestione dei progetti, architettura d’impresa e cambiamento. In produzione: Scrum e Kanban. In progetto: PMBOK e PRINCE2, enterprise architecture con TOGAF e ArchiMate, gestione del cambiamento organizzativo.
Per il lettore tecnico
Esiste una differenza tra un sistema gestito bene e un sistema di cui si può dimostrare che è gestito bene. Il giorno in cui qualcosa accade, nessuno accetta la parola di chi ha lavorato correttamente: servono le prove di che cosa era stato deciso, quando, da chi e sulla base di quale valutazione. Il dominio rende il lavoro tecnico dimostrabile, e lo fa integrando governo e conformità nel modo di lavorare invece di sovrapporli a posteriori.
Il dominio lavora su quattro gruppi. I sistemi di gestione e le norme ISO comprendono in produzione l’applicazione di ISO 9001, ISO 22301 per la continuità operativa, ISO 31000 per il rischio, ISO 14001 e ISO 50001, e in progetto ISO/IEC 20000 e ISO/IEC 27005. Il governo dei servizi IT comprende in produzione change management con advisory board, e in progetto ITIL 4, COBIT, CMDB, asset management, catalogo dei servizi con SLA e OLA, indicatori e gestione della capacità. Il rischio, l’audit e la conformità comprendono in produzione business impact analysis, audit interno e gestione delle evidenze, reportistica di conformità verso le autorità e governo delle licenze open source, e in progetto gestione del rischio dei fornitori, gestione di contratti e licenze, modello organizzativo 231 e procedure del Codice dei contratti pubblici. I progetti e l’architettura d’impresa comprendono in produzione Scrum e Kanban, e in progetto PMBOK e PRINCE2, enterprise architecture con TOGAF e ArchiMate e gestione del cambiamento organizzativo.
Il principio progettuale è che la parte utile della governance va resa sostenibile e quella inutile va combattuta: ogni documento deve servire a una decisione o a una prova.
Il dominio rende dimostrabili le misure realizzate dal dominio 4.1. La reportistica verso le autorità è richiamata dal dominio 5.2, che produce le evidenze operative in esercizio; i vincoli di residenza del dato si definiscono con il dominio 2.2.
Parliamo del vostro sistema
Raccontateci il requisito di servizio: che cosa deve funzionare, entro quanto, e che cosa succede quando qualcosa si rompe. La tecnologia la scegliamo dopo.