Gap analysis: quanto sei conforme, davvero
Autovalutazione su 13 norme, con un punteggio che distingue fra "lo facciamo" e "lo sappiamo dimostrare". E una simulazione che ti dice dove arrivi prima di investire.
Perché le checklist sì/no non reggono un audit
Le autovalutazioni a caselline producono numeri rassicuranti che crollano alla prima domanda dell'auditor: "me lo fa vedere?". Un controllo applicato su metà dei computer, o applicato ovunque ma senza una procedura scritta, in una checklist sì/no vale quanto uno documentato e verificato. Non è la stessa cosa, e chi valuta lo sa.
La gap analysis di Dottor Box nasce per non prendersi in giro. Misura la distanza fra la tua situazione e i requisiti di una norma, requisito per requisito, e la esprime con un indice percentuale che puoi confrontare nel tempo e fra norme diverse.
È il punto di partenza di ogni percorso di adeguamento: NIS2, GDPR, ISO 27001, DORA, i CIS Controls e le altre norme disponibili in piattaforma.
Due dimensioni per ogni requisito: copertura e maturità
Per ogni requisito non rispondi una volta, ma due. Quanto il controllo è esteso nell'organizzazione, e quanto è formalizzato e misurato.
Copertura
Quanto il controllo è esteso: su tutta l'azienda, su alcune sedi o reparti, su pochi sistemi o su nessuno. È la domanda "lo facciamo, e dove?".
Maturità
Quanto il controllo è formalizzato, documentato e misurato, su cinque livelli. È la domanda "lo sappiamo dimostrare?".
Il punteggio è una media pesata: la copertura conta per il 75%, la maturità per il 25%. Fare conta più che scrivere, ma un controllo non documentato non vale come uno documentato e verificabile. È la differenza che un auditor misura, e che il punteggio rende visibile prima che arrivi lui.
Il punteggio letto con il Framework Nazionale per la Cybersecurity
Ogni punteggio, qualunque sia la norma, si ripartisce sulle cinque funzioni del Framework Nazionale per la Cybersecurity, l'impostazione italiana costruita sul NIST Cybersecurity Framework.
Identificare
Sapere cosa hai da proteggere: asset, dati, fornitori, rischi e responsabilità.
Proteggere
Accessi, configurazioni sicure, formazione, backup e protezione dei dati.
Rilevare
Accorgersi in tempo di un'anomalia o di un attacco in corso.
Rispondere
Gestire l'incidente: contenerlo, comunicarlo, notificarlo nei tempi.
Recuperare
Tornare operativi e imparare dall'accaduto.
Molte aziende proteggono bene e non rilevano nulla. Con il punteggio per funzione lo vedi subito, e sai dove investire per primo.
"Se attivo questi servizi, dove arrivo?"
Prima di decidere su cosa spendere, puoi chiederlo alla piattaforma. Scegli uno o più servizi di Dottor Box: i requisiti che quei servizi coprono vengono portati al massimo e il punteggio si ricalcola, norma per norma e funzione per funzione.
Così la gap analysis non è solo una fotografia di dove sei, ma uno strumento per pianificare: vedi quanto salirebbe il tuo indice NIS2 attivando la qualifica dei fornitori, o quanto conterebbe per la ISO 27001 un programma di formazione con il suo registro.
Il risultato è una simulazione, non una promessa: indica il contributo di ciascun servizio ai requisiti, mentre il punteggio reale resta quello che dichiari e dimostri.
- Scegli i servizi da simulare, anche più di uno insieme
- I requisiti coperti salgono al massimo, gli altri restano invariati
- Vedi il nuovo punteggio globale e per funzione
- Confronti l'effetto su norme diverse con la stessa scelta
Un'autovalutazione che resta valida nel tempo
Catalogo versionato
Le risposte sono legate alla versione della norma. Quando un framework si aggiorna, lo storico delle tue valutazioni resta leggibile e non viene riscritto a posteriori.
Confronto fra norme
Il cruscotto mostra per ogni norma versione, numero di requisiti, risposte date e punteggi. Scopri quanto del lavoro fatto per una vale anche per un'altra.
Dal gap alle evidenze
L'autovalutazione misura; il modulo Compliance e GRC produce procedure, evidenze, audit e Dichiarazione di Applicabilità per colmare il divario.
Dottor Box è uno strumento di autovalutazione e di supporto all'adeguamento: misura, organizza e documenta. Le certificazioni le rilasciano gli enti accreditati, e la valutazione di conformità resta in capo alla tua organizzazione e alle autorità competenti.
13 norme e framework, lo stesso metodo
Leggi europee, standard internazionali certificabili e framework di buone pratiche: ognuno ha la sua pagina con requisiti, a chi si applica e i moduli che li coprono.
NIS2 · soggetti essenziali
Vigilanza preventiva e sanzioni più alte: dal gap alle evidenze.
Scopri di più ConformitàNIS2 · soggetti importanti
Misure di sicurezza, incidenti e fornitori per i soggetti importanti.
Scopri di più ConformitàGDPR
Registro dei trattamenti, nomine, misure dell'art. 32 e data breach.
Scopri di più ConformitàISO/IEC 27001
Il sistema di gestione della sicurezza delle informazioni, dalla SOA all'audit.
Scopri di più ConformitàISO/IEC 27017
I controlli di sicurezza specifici per i servizi cloud.
Scopri di più ConformitàISO/IEC 27018
La protezione dei dati personali nel cloud pubblico.
Scopri di più ConformitàNIST Cybersecurity Framework 2.0
Le sei funzioni del framework statunitense, con il nuovo Govern.
Scopri di più ConformitàDORA · Digital Operational Resilience Act
Resilienza operativa digitale per il settore finanziario e i suoi fornitori ICT.
Scopri di più ConformitàSOC 2
I Trust Services Criteria richiesti da clienti statunitensi di software e cloud.
Scopri di più ConformitàCIS Controls · IG1
L'igiene informatica di base: il punto di partenza per ogni PMI.
Scopri di più ConformitàCIS Controls · IG2
Il livello per chi gestisce dati sensibili e più sedi o reparti IT.
Scopri di più ConformitàCIS Controls · IG3
Il livello completo per organizzazioni con esperti di sicurezza dedicati.
Scopri di più ConformitàFramework CLUSIT
Il riferimento dell'Associazione Italiana per la Sicurezza Informatica.
Scopri di piùGap analysis di conformità: le domande più comuni
Che cos'è una gap analysis di conformità?
È la misura della distanza fra come lavora oggi la tua organizzazione e quello che una norma richiede. In Dottor Box si esprime con un indice percentuale per norma e per funzione di sicurezza, calcolato su copertura e maturità di ogni requisito.
Dottor Box rilascia una certificazione?
No. La piattaforma ti aiuta a capire dove sei, a costruire il sistema di gestione e a raccogliere le evidenze. La certificazione, dove prevista, la rilascia un ente di certificazione accreditato dopo il proprio audit.
Posso valutare più norme insieme?
Sì. Le norme attive sul tuo contratto compaiono per prime nel cruscotto, e i punteggi sono confrontabili perché usano lo stesso metodo e le stesse cinque funzioni.
Da quale norma conviene partire?
Se hai un obbligo, da quello: NIS2, GDPR o DORA. Se non ce l'hai, il NIST CSF 2.0 o i CIS Controls IG1 sono il punto di partenza più utile per capire da dove cominciare.
Dove la gap analysis diventa lavoro fatto
Compliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareRisk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più DimostrareDocumenti di conformità
SOA, verbali di riesame, fascicoli delle evidenze, rapporti di audit e registri.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.