Un'esercitazione senza obiettivi concordati in anticipo conclude sempre che è andata bene. Questo programma vi dà dodici scenari, gli inject scanditi sull'orologio, cinque misure cronometrate rispetto ai vostri obiettivi e un fascicolo di evidenze costruito per essere consegnato all'autorità di vigilanza senza una conversazione di accompagnamento.
Strutturato sulle norme ISO 22361:2022 e ISO 22320:2018, che sono documenti di linee guida: nulla è certificabile rispetto a esse, e non siamo un organismo di certificazione.
Pagamento sicuro con Stripe. Fattura con IVA emessa automaticamente.
Download immediato dopo il pagamento. Il link resta valido nel tempo.
Rileggetelo con attenzione. Le entità finanziarie devono:
Un test tecnico di ripristino non assolve il secondo obbligo. E attenzione a dove stanno le parole: «almeno una volta l'anno» regge soltanto il primo obbligo. Il Regolamento non fissa alcuna frequenza per i piani di comunicazione in caso di crisi. Testare entrambi ogni anno è una scelta di policy difendibile, non un minimo di legge, e la cartella di lavoro la registra come scelta vostra.
Per le entità diverse dalle microimprese, i piani di test devono inoltre includere scenari di attacco informatico e di passaggio dall'infrastruttura primaria alla capacità ridondante. La scheda pluriennale verifica tutto questo anno per anno e segnala il vuoto quando un obbligo resta scoperto.
Tre cose, e nessuna è un aggettivo.
Criteri di superamento fissati prima. Obiettivi e criteri misurabili si stabiliscono in fase di progettazione, nella cartella di lavoro. Decidere a posteriori se è andata bene non è valutazione: è ricordo.
Cinque misure al cronometro. Dalla rilevazione alla dichiarazione di crisi. Dalla dichiarazione a un team riunito con il quorum. Al primo rapporto di situazione. A una dichiarazione di attesa approvata. All'organo di gestione. Ciascuna confrontata con il vostro obiettivo, ciascuna superata o non superata, senza aggettivi.
Il colpo di scena. Ogni scenario porta un inject che invalida il piano su cui il team si è assestato: anche i backup sono cifrati, il fornitore raddoppia la stima, la corruzione dei dati è anteriore all'ultimo backup. Senza, un team che ha provato le battute recita la prova.
Sei documenti Word più la cartella di lavoro: la policy del programma di esercitazioni con il piano pluriennale, la libreria dei dodici scenari, la guida per il direttore dell'esercitazione e il facilitatore con le regole di sicurezza, i fascicoli di briefing per giocatori, osservatori e cellula di controllo, i criteri di valutazione con le schede osservatore, e il modello di relazione after-action con il fascicolo di evidenze.
Dentro la cartella di lavoro Excel: la libreria degli scenari con l'obbligo che ciascuno documenta, il progettista dell'esercitazione che deriva il dettaglio dallo scenario scelto, il calendario dei 60 inject su orologio reale, le cinque misure cronometrate con obiettivo e risultato, il registro dei rilievi con lo stesso schema dei rilievi da incidente reale, il programma pluriennale su 12 trimestri con i controlli di copertura dell'articolo 11(6), e il generatore di frasi per la relazione finale.
Il documento 06 struttura un fascicolo che risponde alla domanda senza bisogno di una conversazione: il piano di esercitazione approvato, lo scenario, i partecipanti, le registrazioni degli osservatori, i tempi rilevati, la relazione after-action, i rilievi e le evidenze della loro chiusura. In copertina, una nota di una pagina che dichiara quale dei due obblighi dell'articolo 11(6) l'esercitazione documenta.
I rilievi usano lo stesso schema di quelli da incidente reale, così le azioni correttive delle esercitazioni confluiscono nello stesso registro e nessuno mantiene due contabilità parallele. Se poi un incidente vero arriva, il percorso di notifica è quello descritto nella nostra pagina sulla segnalazione degli incidenti DORA.
Le regole di sicurezza del documento 03 esistono perché delle esercitazioni hanno davvero ritardato risposte a incidenti reali: nessuno riusciva a distinguere le due cose. Quindi: ogni messaggio con il prefisso concordato, nessun contatto con clienti reali, nessuna trasmissione reale all'autorità, nessuna modifica in produzione senza rollback approvato, e una parola d'ordine di arresto su cui tutti sono istruiti prima di iniziare.
Questo programma verifica i piani; non li scrive. Se il piano di gestione delle crisi e i piani di comunicazione dell'articolo 14 non esistono ancora, partite dal pacchetto di gestione delle crisi, di cui questo programma è il naturale complemento.
Serve anche il piano? Vedi il pacchetto di gestione delle crisi →
Per il primo obbligo, forse. Per il secondo, no. L'articolo 11(6) richiede separatamente di testare i piani di comunicazione in caso di crisi, e un test tecnico di failover non mette alla prova una dichiarazione di attesa, un circuito di approvazione o un portavoce. Programmatelo come esercitazione a sé e l'obbligo diventa facilissimo da documentare.
No. «Almeno una volta l'anno» regge soltanto il primo obbligo, cioè i piani di continuità operativa ICT e i piani di risposta e ripristino ICT. Per i piani di comunicazione in caso di crisi il Regolamento non fissa alcuna frequenza. Testare entrambi ogni anno è una scelta di policy difendibile, non un minimo di legge, e la cartella di lavoro la documenta esattamente in questi termini.
No, e nulla può esserlo. ISO 22361:2022 e ISO 22320:2018 sono documenti di linee guida, non norme di requisiti: non contengono una clausola di conformità e non c'è nulla che un organismo di certificazione possa verificare. Il programma è strutturato sul loro processo, e lo intendiamo alla lettera. Non siamo un organismo di certificazione.
Un walkthrough o un'esercitazione di sola comunicazione, sì. Un tabletop, meglio di no: il valore sta negli inject consegnati sull'orologio da qualcuno che non gioca, e in un osservatore a cui è vietato aiutare. La guida del facilitatore è scritta perché il ruolo possa essere ricoperto da una persona interna.
Non se seguite le regole di sicurezza del documento 03: tutto con il prefisso concordato, nessun contatto con clienti reali, nessuna trasmissione reale all'autorità, nessuna modifica in produzione senza un rollback approvato, e una parola d'ordine di arresto su cui tutti sono istruiti. Sono esistite esercitazioni che hanno ritardato la risposta a incidenti veri perché nessuno distingueva le due cose; le regole servono a impedirlo.
Questa pagina è un supporto professionale, non una consulenza legale. · Versione inglese