Software
Il sistema vive qui, non in una cartella condivisa.
Sotto ci sono le domande che mi fanno davvero, e dove sta la risposta dentro il software.
Da dove si parte
«Il registro ce l’abbiamo, l’ha fatto il consulente due anni fa.»
È quasi sempre così, ed è quasi sempre un file Word in una cartella condivisa. Il giorno dopo la consegna ha cominciato a invecchiare: è cambiato un fornitore, è entrato un gestionale nuovo, si è aperta una sede. Nessuno è tornato indietro ad aggiornarlo, e non perché non volesse: perché aggiornare un documento morto non serve a niente.
Qui il registro non è il documento finale. È la fonte da cui esce tutto il resto.
La domanda che fa un’autorità
«Chi tratta quali dati, e con che rischio?»
Ogni trattamento è una scheda: finalità e basi giuridiche, dati e interessati, chi li tocca, dove finiscono, quanto si conservano. Il rischio non lo dichiara nessuno: esce da fattori oggettivi — volume dei dati, tipo di interessati, esposizione, chi vi accede. Si può forzare il risultato, ma bisogna motivarlo, e le regole sono le stesse per tutti i trattamenti.
La domanda di ogni lunedì mattina
«Dove sono le informative aggiornate?»
Non stanno da nessuna parte, perché non si conservano: si generano. Scegli i trattamenti da includere e l’informativa esce impaginata, in PDF e in Word. Nessun blocco vuoto — se non c’è un DPO la sezione DPO non compare. Se domani cambia un trattamento, l’informativa cambia con lui.
Con lo stesso meccanismo escono il contratto con i fornitori, le lettere di autorizzazione al personale, le nomine ad amministratore di sistema, il mansionario e il registro intero.
La domanda che arriva in gara
«Chi dei nostri fornitori ha firmato, e chi va verificato?»
È il punto in cui quasi tutte le aziende sono scoperte, ed è anche il primo che guarda chi fa un audit.
Il rischio, calcolato
Da che dati tratta, per quanti interessati, con quale accesso alla tua rete: ne esce una fascia — basso, medio, alto, critico. Serve a decidere da chi cominciare.
Il contratto, firmato qui
Esce con gli allegati già compilati sui dati reali, parte per email e torna firmato. Su ogni riga si vede se c’è la firma o no.
La verifica periodica
Il fornitore compila e firma il questionario su una pagina sua, senza doversi registrare. Il link scade, e a metà strada parte un sollecito.
La domanda che si fa di corsa
«È successo qualcosa. Dove lo scrivo?»
Una violazione e una richiesta di accesso hanno un registro tutte e due, e una traccia che regge a distanza di anni.
Per la violazione: che cosa è successo, quali dati, quante persone, se hai notificato al Garante e — se no — perché no, scritto quel giorno e non ricostruito sei mesi dopo. Per i diritti: protocollo, data di arrivo, come hai identificato chi chiedeva, la proroga se è servita, l’esito e se hai risposto nei termini.
Le richieste possono anche arrivare da sole, già compilate, dal modulo pubblico.
La domanda della direzione
«A che punto siamo, e chi ci sta lavorando?»
Una percentuale di maturità in cima, e sotto l’elenco di quello che manca, ordinato per importanza. Ogni non conformità diventa un’attività con un responsabile e una scadenza, e chi la riceve prende un’email quando la data si avvicina.
Non ricevi un elenco di problemi. Ricevi un piano con delle date.
La domanda di un cliente
«Dove sono le vostre informative?»
A un indirizzo pubblico, costruito dai dati del registro: chi è il titolare, chi è il DPO, quali trattamenti fai, le informative, i diritti e come si esercitano. Si accende con un interruttore e si aggiorna da sola — quindi la risposta a questa domanda è un link, non un allegato da cercare.
La domanda di quest’anno
«Ci è arrivata la NIS2. Dobbiamo comprare un altro sistema?»
No: è un interruttore. Stesso indirizzo, stesse persone, stesso accesso — cambia il vocabolario. I processi con i tempi che contano davvero: quanto puoi stare fermo, entro quanto devi ripartire, quanti dati puoi permetterti di perdere. La catena di fornitura, che è il capitolo su cui le aziende hanno meno di tutto. I novantatré controlli della ISO 27001 con la dichiarazione di applicabilità, e quelli dell’Agenzia per la Cybersicurezza Nazionale. Gli incidenti, con le scadenze della direttiva.
Chi rientra nella NIS2 deve dimostrare un sistema di gestione, non comprare un firewall. Ed è lo stesso posto in cui c’è già la privacy.
La domanda che arriva sempre
«I miei dipendenti vedranno i dati dei colleghi?»
No. Il dipendente vede la bacheca dei documenti in lettura, la propria formazione e la propria scheda: nient’altro. Non è una voce di menù nascosta, è un blocco vero — nemmeno conoscendo l’indirizzo esatto di una pagina si arriva ai dati di un collega.
Si entra senza password: un link personale via email, che vale poche ore e si usa una volta sola. Non ci si registra da soli — entra soltanto chi è stato censito.
Un gruppo con più società entra una volta sola. Cruscotto, gap analysis, piano e formazione di tutto il gruppo, con le linguette per scendere nella singola società — e i dati che restano separati.
L’ultima domanda
«E come si prende?»
Insieme a un progetto
Il software è compreso. Il sistema ce lo metto io, popolato con i tuoi dati: il primo giorno lo trovi già pieno, non vuoto.
Da sola
Hai già un sistema e ti serve un posto dove tenerlo vivo, invece di rincorrere versioni di file su una cartella condivisa.
Come si comincia
1 · Una call
Mi racconti come sei messo e che cosa hai già. Mezz’ora.
2 · Il sistema, popolato
Porto dentro quello che c’è, anche se oggi sta in file e cartelle. Quello che manca lo raccogliamo con moduli guidati per reparto, senza riunioni.
3 · Il primo giro insieme
Leggiamo la gap analysis e ne usciamo con il piano.