Framework di conformità

Cert-IX Compliance ti consente di monitorare il tuo programma di sicurezza rispetto a framework riconosciuti. Ogni framework è rappresentato come un insieme strutturato di controlli; registri il tuo stato su ciascun controllo, alleghi le evidenze a supporto, metti in luce le lacune e ottieni una vista aggregata di quanto un framework sia avanzato. Poiché la maggior parte delle organizzazioni deve rispondere a più di uno standard, i controlli possono essere mappati tra framework, così i requisiti sovrapposti condividono lo stesso stato e le stesse evidenze.

Funzionalità Beta

Il monitoraggio dei framework di conformità è una funzionalità Beta ed è in continua evoluzione. I framework disponibili, i contenuti dei controlli e il comportamento della mappatura possono cambiare tra una release e l'altra. Usalo per organizzare e documentare il tuo programma, non come sostituto di un audit di certificazione formale.

Come funziona il monitoraggio dei framework

Un framework in Cert-IX è una gerarchia di controlli — i singoli requisiti che uno standard si aspetta tu soddisfi — raggruppati nel modo in cui quello standard li organizza (per esempio, ISO 27001 raggruppa i controlli in temi, mentre NIST CSF li raggruppa in Funzioni). Lavorare su un framework segue uno schema coerente:

1. Aggiungi il framework al tuo workspace, dalla libreria integrata o come definizione personalizzata.
2. Definisci l'ambito — i sistemi, i team e le sedi a cui il framework si applica — così lo stato dei controlli riflette solo ciò che rientra nell'ambito.
3. Valuta ogni controllo e registrane lo stato (vedi Stato del controllo).
4. Allega le evidenze che dimostrano che il controllo è in atto.
5. Monitora le lacune dove i controlli sono parziali o assenti e seguile fino alla remediation.

Il risultato è una vista di completamento per framework costruita a partire dallo stato dei suoi controlli, anziché da un singolo numero inserito a mano. I risultati provenienti da altre parti della piattaforma possono alimentare la tua valutazione: i risultati delle vulnerabilità di Gestione delle vulnerabilità riguardano i controlli tecnici, e i controlli di hardening CIS, STIG e PCI-DSS dello scanner agent Bitenforcer forniscono evidenze concrete per i controlli relativi alla configurazione. Vedi Scanner Agents per capire come vengono eseguiti questi controlli.

Framework integrati

I seguenti framework sono disponibili nella libreria di Cert-IX. Tutto ciò che non è elencato qui può comunque essere monitorato come framework personalizzato.

Framework	Come è organizzato	Cosa copre
NIST CSF	Funzioni → Categorie → Sottocategorie	Gestione del rischio di cybersecurity basata sui risultati
ISO/IEC 27001:2022	93 controlli dell'Annex A distribuiti su 4 temi	Sistema di gestione della sicurezza delle informazioni (ISMS)
SOC 2	5 Trust Services Criteria	Impegni di sicurezza e privacy dei fornitori di servizi
CIS Controls	18 controlli, raggruppati per Implementation Group	Misure di sicurezza prioritizzate e prescrittive
NIS2	Misure di gestione del rischio e obblighi di segnalazione	Riferimento base UE per soggetti essenziali e importanti

NIST Cybersecurity Framework (CSF)

Il NIST CSF descrive risultati di cybersecurity organizzati in Funzioni — Identify, Protect, Detect, Respond e Recover, con l'aggiunta di Govern in CSF 2.0. Ogni Funzione si articola in Categorie e Sottocategorie, che si mappano in modo naturale su controlli monitorabili. Poiché il CSF è basato sui risultati anziché prescrittivo, funziona bene come vista di alto livello sulla maturità del programma.

ISO/IEC 27001

ISO/IEC 27001 è lo standard internazionale per un sistema di gestione della sicurezza delle informazioni. L'attuale revisione 2022 definisce 93 controlli dell'Annex A organizzati in quattro temi:

• Controlli Organizzativi
• Controlli relativi alle Persone
• Controlli Fisici
• Controlli Tecnologici

note

Documentazione precedente e strumenti più datati citano spesso "114 controlli su 14 domini". Quella struttura appartiene all'edizione 2013 ritirata. Cert-IX monitora l'attuale revisione 2022 (93 controlli, 4 temi).

SOC 2

SOC 2 si basa sui Trust Services Criteria dell'AICPA. Il criterio Security (i Common Criteria) è obbligatorio; gli altri quattro sono inclusi in base agli impegni che assumi verso i clienti:

• Security
• Availability
• Processing Integrity
• Confidentiality
• Privacy

CIS Controls

Il Center for Internet Security pubblica un insieme prioritizzato e prescrittivo di misure di sicurezza. La versione 8 raggruppa 18 controlli in Implementation Group — IG1, IG2 e IG3 — così le organizzazioni più piccole possono iniziare con l'igiene cibernetica essenziale (IG1) e aggiungere ulteriori misure man mano che il programma matura. Le mappature CIS si allineano inoltre strettamente con i controlli di hardening eseguiti dall'agent Bitenforcer.

NIS2

NIS2 (Direttiva (UE) 2022/2555) stabilisce misure di base per la gestione del rischio di cybersecurity e obblighi di segnalazione degli incidenti per i soggetti essenziali e importanti che operano nell'UE. Monitorarlo in Cert-IX aiuta le organizzazioni che operano nell'UE a organizzare le misure che NIS2 richiede — gestione del rischio, sicurezza della supply chain, gestione degli incidenti e prontezza nella segnalazione.

Framework personalizzati

Quando uno standard non è presente nella libreria integrata, o quando devi monitorare obblighi interni, contrattuali o specifici di settore, crea un framework personalizzato. Ne definisci la struttura e i controlli, poi li valuti, li documenti e li mappi esattamente come un framework integrato. Gli usi comuni includono:

• Obblighi normativi come requisiti HIPAA, PCI DSS o GDPR.
• Impegni di sicurezza verso i clienti o contrattuali.
• Baseline e policy di sicurezza interne.

suggerimento

Se monitori già un framework integrato, riutilizza i suoi controlli quando ne definisci uno personalizzato e mappa gli elementi che si sovrappongono — eviterai di ri-documentare lo stesso lavoro. Vedi Mappatura tra framework.

Lavorare con i controlli

Stato del controllo

Ogni controllo porta con sé uno stato che descrive quanto bene è soddisfatto all'interno dell'ambito che hai definito:

Stato	Significato
Implemented	Il controllo è pienamente in atto e documentato.
Partially Implemented	Il controllo è in atto ma presenta lacune.
Not Implemented	Il controllo non è ancora in atto.
Not Applicable	Il controllo è fuori ambito ed escluso dalle aggregazioni.

Responsabilità e ambito

I controlli possono essere assegnati a responsabili, in modo che la responsabilità sia chiara, e l'ambito di ciascun framework determina a quali sistemi, team e sedi si applicano i suoi controlli. Contrassegnare un controllo come Not Applicable lo rimuove dalla vista di completamento del framework anziché conteggiarlo a tuo sfavore.

Evidenze

Le evidenze sono ciò che dimostra che un controllo è realmente in atto — documenti, esportazioni di configurazione, link a policy o riferimenti a risultati presenti altrove nella piattaforma. Le evidenze sono allegate allo specifico controllo che supportano, così un revisore di audit può risalire da ogni affermazione alla sua prova. Dove un controllo è tecnico, i risultati della scansione delle vulnerabilità o dei controlli di hardening degli agent costituiscono evidenze solide e verificabili.

Mappatura tra framework

Standard diversi richiedono spesso la stessa misura di sicurezza di fondo: autenticazione a più fattori, revisioni degli accessi, cifratura a riposo, logging e così via. La mappatura tra framework collega i controlli che esprimono lo stesso requisito su framework differenti. Quando i controlli sono mappati:

• Valutare o documentare un controllo mappato si riflette sugli altri, così la stessa misura di sicurezza non deve essere documentata separatamente per ogni framework.
• Una singola evidenza può soddisfare insieme i controlli mappati.
• Ottieni un quadro consolidato di dove un singolo miglioramento fa la differenza su più standard contemporaneamente.

Questo è particolarmente utile quando monitori più framework — per esempio, mappando gli elementi di controllo degli accessi di ISO 27001 ai loro equivalenti NIST CSF e CIS, così il lavoro che si sovrappone conta una sola volta.

Lacune e remediation

Tutto ciò che è al di sotto di Implemented — un controllo parziale, un controllo mancante o un controllo privo di evidenze — emerge come lacuna. Da lì puoi prioritizzare le lacune più rilevanti, assegnare un responsabile e seguirle fino alla chiusura. Le viste di completamento dei framework si aggiornano man mano che le lacune vengono affrontate, dandoti un senso continuo della prontezza anziché un'istantanea puntuale scattata solo al momento dell'audit.

Per il lato di questo flusso rivolto all'audit — risultati, revisione delle evidenze e record di audit — vedi Audit.

Best practice

1. Inizia con un solo framework. Sviluppa la pratica di valutare e documentare i controlli prima di aggiungerne altri.
2. Definisci l'ambito con cura. Un ambito accurato mantiene oneste le viste di completamento ed evita che i sistemi fuori ambito distorcano il tuo stato.
3. Assegna i responsabili presto. I controlli senza un responsabile tendono a bloccarsi.
4. Documenta man mano. Allega le evidenze quando un controllo viene implementato, non la settimana prima di un audit.
5. Mappa i controlli che si sovrappongono. Una volta che monitori più di un framework, mappare i controlli condivisi fa risparmiare la maggior parte dello sforzo ripetuto.

---

Correlati

• Panoramica sulla conformità — come si integrano tra loro le componenti dell'area Conformità.
• Matrice di conformità — visualizza affiancata la copertura dei controlli tra i framework.
• Audit — risultati, revisione delle evidenze e record di audit.
• Scanner Agents — controlli di hardening CIS/STIG/PCI-DSS di Bitenforcer che alimentano le evidenze dei controlli.