Cybersecurity e resilienza

La domanda che ordina il lavoro

Cosa deve poter ricontrollare un revisore fra un anno. Questo cambia l’ordine delle cose: prima si stabilisce quali evidenze devono esistere e dove vivono, poi si mettono i controlli che le producono, e solo alla fine si scrive la documentazione, che a quel punto descrive qualcosa che esiste invece di promettere qualcosa che dovrà esistere.

Sulla resilienza

La misura non è il piano, è la prova: quanto tempo serve davvero per ripristinare, chi lo sa fare senza leggere il manuale, e quando è stato provato l’ultima volta. Un piano non provato è un documento.

Cosa resta in mano al cliente

L’elenco delle evidenze con dove si trovano e chi le produce, i controlli attivi, e il registro di cosa è stato provato e con quale esito. Non un attestato: il materiale con cui un revisore lavora.

Come si controlla

Un revisore esterno rifà il percorso senza chiedere niente a noi: parte dall’elenco delle evidenze, apre il controllo che le produce, e trova nel registro la data dell’ultima prova e il suo esito. Se un passaggio esiste solo perché lo diciamo noi, non è un’evidenza.