CYBERSICUREZZA, DATI, PRODOTTI DIGITALI
NORMATIVA SUL DIGITALE COME: GDPR E ISO 27001, NIS 2 E DORA, CYBER RESILIENCE ACT, AI ACT E ISO 42001, DATA ACT.
Ti aiutiamo a trovare le soluzioni tecniche, legali e organizzative più adatte per proteggere i tuoi dati, i tuoi sistemi e il tuo know-how aziendale, e per soddisfare i requisiti che riguardano i prodotti digitali che immetti sul mercato
COMPLIANCE APPLICATA AL DIGITALE
La sicurezza non è più una questione dell’ufficio informatico o di unico interesse del CISO. Riguarda i dati che l’azienda tratta, i sistemi su cui opera, i fornitori da cui dipende e i prodotti che immette sul mercato, con obblighi che ricadono direttamente sugli amministratori dell’azienda.
Le conseguenze della mancata compliance possono comportare sanzioni per l’azienda e gli amministratori, penali contrattuali, danni reputazionali.
Ti affianchiamo nell’individuazione, nella messa a terra e nel mantenimento delle misure obbligatorie e volontarie necessarie a contenere il rischio, con un impianto di compliance digitale integrata invece di proporti, per esempio, una consulenza per la NIS 2, una per il Cyber Resilience Act e una per l’utilizzo dell’Intelligenza Artificiale: per esperienza, un unico risk assessment e un unico impianto di misure costituiscono la base di governo più solida per tutte le tematiche digitali.
PROTEGGERE L’AZIENDA
Proteggere i dati trattati, i sistemi su cui l’azienda opera, gli incidenti, i fornitori e le responsabilità di chi governa. Gli ambiti che seguono sono esempi ricorrenti, spesso sovrapposti tra loro: nella maggior parte dei casi le stesse misure rispondono a più requisiti contemporaneamente, ed è questa la ragione per cui conviene un impianto unico.
Modelli organizzativi
Progettazione, messa a terra e mantenimento dei modelli per la protezione dei dati e la tutela del know-how, con esperti legali e informatici insieme.
Esternalizzazione del Responsabile Privacy
Aggiornamento del modello e della documentazione, audit periodici, report sullo stato di conformità con la cadenza concordata.
ISO 27001
Dalla progettazione del sistema alla certificazione, in coordinamento con il consulente IT interno o di fiducia. Possibile anche l'esternalizzazione del ruolo di Responsabile del Sistema di Gestione.
NIS 2
Verifica dell'applicabilità, gap analysis, piano di adeguamento, ruoli di governo e obblighi di notifica.
DORA
Per i soggetti finanziari e i loro fornitori tecnologici: rischio informatico, fornitori critici, registro degli accordi, test di resilienza.
Intelligenza artificiale nei processi aziendali e ISO 42001
Classificazione dei casi d'uso interni, valutazione dei rischi, ruoli e supervisione umana, fino al sistema di gestione ISO 42001 quando serve un impianto certificabile.
Incident response
Team informatico, legale e organizzativo per gestire l'incidente, gli obblighi di notifica e la comunicazione verso clienti e autorità.
Digital forensic
Acquisizione di prove in ambiente digitale conformi ai requisiti della ISO 27037, utilizzabili in giudizio.
PROTEGGERE IL PRODOTTO
Proteggere ciò che l’azienda immette sul mercato. Qui gli obblighi non si soddisfano con un documento: incidono sulla progettazione, sulla documentazione tecnica e sulla catena di fornitura, con tempi lunghi e scadenze fissate.
Cyber Resilience Act
Impatto sul portafoglio prodotti, requisiti di sicurezza da incorporare fin dalla progettazione, gestione delle vulnerabilità lungo il ciclo di vita, documentazione tecnica e conformità CE, responsabilità del produttore, dei fornitori di componenti e dei distributori.
Requisiti di cybersicurezza dalla normativa di prodotto
Altri obblighi normativi potrebbero applicarsi alla singola famiglia di prodotto sovrapponendosi al CRA (per esempio, in materia di apparecchiature radio e di macchine)
Intelligenza artificiale incorporata nei prodotti e AI Act
Classificazione dei casi d'uso, valutazione dei rischi, ruoli lungo la catena del valore, informazioni agli utilizzatori e documentazione tecnica.
Data Act
Dati generati da prodotti connessi e servizi collegati: chi può accedervi, a quali condizioni, con quali presidi contrattuali verso utenti e terze parti.
Tecnologie distribuite e asset digitali
Qualificazione degli asset e delle attività, obblighi in materia di cripto-attività, e il rapporto tra immutabilità del registro e protezione dei dati personali.
Tutela del know-how
Protezione delle informazioni riservate e del patrimonio tecnico con misure organizzative, contrattuali e tecniche coerenti tra loro, non affidate al solo accordo di riservatezza.