Glossario della compliance

Definizioni in linguaggio chiaro dei termini usati nella compliance, nella privacy, nella cybersicurezza e nella resilienza operativa.

Normative e standard

AI Act: L’AI Act stabilisce obblighi proporzionati al rischio per sistemi di IA, modelli di IA per finalità generali e organizzazioni che li sviluppano o utilizzano.
CER: La direttiva CER rafforza la resilienza di infrastrutture e servizi essenziali rispetto a rischi fisici, cyber e di dipendenza dalla catena di fornitura.
CIS Controls: I CIS Controls sono un elenco pratico e prioritizzato di difese — inventario, accessi, backup, monitoraggio — usate per ridurre i rischi più comuni.
COSO: COSO definisce componenti e principi per il controllo interno, la reportistica e la gestione del rischio, spesso usati insieme a SOX e all’audit interno.
CRA: Il Cyber Resilience Act impone requisiti di sicurezza lungo il ciclo di vita dei prodotti connessi, dalla progettazione al supporto post-vendita.
DORA: Il Digital Operational Resilience Act è il regolamento europeo che richiede alle entità finanziarie di gestire e dimostrare la resilienza dei servizi ICT, dei fornitori terzi, dei test e degli incidenti.
GDPR: Il GDPR disciplina il trattamento dei dati personali nell’Unione europea e richiede accountability, misure di sicurezza adeguate e la dimostrazione della conformità.
GPAI: Un modello GPAI è progettato per svolgere una vasta gamma di compiti e può essere integrato in molti sistemi a valle, con obblighi specifici nell’AI Act.
IA ad alto rischio: Un sistema di IA ad alto rischio, ad esempio in ambiti sanitari o di infrastrutture critiche, richiede gestione del rischio, dati, trasparenza, sorveglianza umana e evidenze di conformità.
ISO 22301: ISO 22301 specifica come pianificare, attuare e migliorare un sistema di continuità operativa in grado di resistere e riprendersi dalle interruzioni.
ISO 27001: ISO 27001 definisce i requisiti per istituire, mantenere e migliorare un sistema di gestione della sicurezza delle informazioni basato sul rischio.
ISO 31000: ISO 31000 fornisce principi e un processo per identificare, valutare, trattare e monitorare i rischi in modo integrato nella governance.
ISO 9001: ISO 9001 definisce i requisiti per un sistema di gestione della qualità basato su processi, evidenze e miglioramento continuo.
Modello 231: Il Modello 231 definisce processi, controlli, protocolli e flussi informativi per prevenire i reati che possono comportare la responsabilità amministrativa dell’ente.
NIS2: NIS2 è la direttiva europea che rafforza la gestione del rischio cyber, la sicurezza della catena di fornitura e la notifica degli incidenti per le organizzazioni essenziali e importanti.
NIST CSF: Il NIST Cybersecurity Framework organizza la cybersicurezza in funzioni pratiche — Identify, Protect, Detect, Respond, Recover — usate per valutare e migliorare la postura di sicurezza.
NIST SP 800-53: NIST SP 800-53 definisce una libreria di controlli tecnici, operativi e di governance che le organizzazioni adattano in base al rischio e al perimetro.
PCI DSS: PCI DSS definisce requisiti tecnici e organizzativi per proteggere i dati delle carte, dalla rete all’accesso, fino a monitoraggio e test.
Soggetto essenziale: I soggetti essenziali, insieme ai soggetti importanti, rientrano nel perimetro NIS2: devono gestire il rischio cyber, la supply chain e la notifica degli incidenti, con supervisione rafforzata.
SOX: Sarbanes-Oxley impone alle società quotate negli USA di dimostrare controlli interni affidabili sulla reportistica finanziaria, con responsabilità del management.

Privacy

Base giuridica: Ogni trattamento GDPR deve poggiare su una base giuridica, ad esempio consenso, contratto, obbligo di legge, interesse legittimo o interesse pubblico.
Data breach: Un data breach è una violazione di sicurezza che comporta distruzione, perdita, modifica o accesso indebito a dati personali, con possibili obblighi di notifica.
Data Processing Agreement: L’accordo di nomina definisce istruzioni, misure di sicurezza, sub-responsabili e obblighi di assistenza tra titolare e responsabile del trattamento.
Diritto all’oblio: Il diritto all’oblio consente all’interessato di chiedere la cancellazione dei dati quando non sono più necessari o il trattamento non è più lecito, salvo eccezioni.
DPIA: La DPIA analizza necessità, proporzionalità e rischi di un trattamento potenzialmente ad alto rischio, individuando le misure per ridurli.
DSAR: Una Data Subject Access Request è una richiesta dell’interessato per accedere ai dati personali o esercitare altri diritti previsti dal GDPR.
EDPB: L’European Data Protection Board garantisce un’applicazione coerente del GDPR tra gli Stati membri e adotta linee guida e pareri.
Garante Privacy: Il Garante per la protezione dei dati personali vigila sull’applicazione del GDPR in Italia, riceve reclami e può imporre misure e sanzioni.
Legal hold: Il legal hold impedisce di alterare o cancellare documenti e evidenze quando un procedimento, un’indagine o un obbligo di conservazione lo richiedono.
Minimizzazione dei dati: La minimizzazione impone di raccogliere e conservare solo i dati adeguati, pertinenti e limitati a quanto necessario per le finalità dichiarate.
PII: PII indica dati che, da soli o combinati, permettono di identificare un individuo; nel GDPR il concetto più ampio è quello di dato personale.
Privacy by design: Privacy by design richiede di incorporare misure privacy — minimizzazione, sicurezza, limiti di conservazione — prima che un trattamento parta, non dopo.
Responsabile del trattamento: Il responsabile del trattamento opera su istruzione del titolare, con un accordo che definisce ambito, misure di sicurezza e obblighi di assistenza.
RoPA: Il Registro delle attività di trattamento documenta finalità, categorie di dati, soggetti coinvolti, tempi di conservazione e misure applicate ai trattamenti.
SCC: Le Standard Contractual Clauses sono un meccanismo contrattuale per trasferire dati personali verso Paesi terzi con garanzie appropriate.
Sub-processor: Un sub-processor, o subfornitore, interviene nella catena di trattamento e deve essere autorizzato e vincolato a obblighi equivalenti a quelli del responsabile.
Titolare del trattamento: Il titolare del trattamento determina perché e come i dati personali vengono trattati e resta responsabile della conformità al GDPR.

Resilienza e operatività

BCM: Il Business Continuity Management comprende analisi, piani, test, formazione e miglioramento continuo per resistere alle interruzioni.
BCP: Il Business Continuity Plan descrive ruoli, procedure e risorse per continuare a operare durante e dopo un incidente, un disastro o un’interruzione ICT.
BIA: La Business Impact Analysis identifica processi critici, dipendenze e conseguenze nel tempo, e alimenta obiettivi come MTPD, RTO e RPO.
CSIRT: Un Computer Security Incident Response Team coordina analisi, contenimento, ripristino e comunicazioni durante un incidente cyber.
Disaster Recovery: Il Disaster Recovery è la parte tecnica della continuità: backup, siti alternativi e procedure per riportare ICT e dati entro RTO e RPO.
Funzione critica o importante: Nelle norme di resilienza, soprattutto DORA, le funzioni critiche o importanti sono processi e servizi da mappare, proteggere e testare con evidenze.
ICT: ICT indica infrastrutture, sistemi, reti, applicazioni e servizi che elaborano, trasmettono o conservano informazioni.
Incident response: La risposta all’incidente definisce ruoli, tempi di notifica, evidenze e comunicazioni per gestire eventi cyber, operativi o privacy.
KRI: I Key Risk Indicator monitorano segnali anticipatori — ritardi, incidenti, dipendenze — così il trattamento del rischio non arriva troppo tardi.
MTPD: Il Maximum Tolerable Period of Disruption indica oltre quale durata di interruzione le conseguenze per l’organizzazione diventano inaccettabili.
OT: OT indica sistemi di controllo industriale e impianti: va governata insieme all’IT perché un incidente può fermare servizi essenziali.
Penetration test: Un penetration test verifica se vulnerabilità tecniche e organizzative possono essere sfruttate, e produce evidenze e findings da trattare.
RPO: Il Recovery Point Objective definisce fino a quale punto nel tempo i dati devono poter essere recuperati dopo un incidente o un’interruzione.
RTO: Il Recovery Time Objective definisce la durata massima accettabile dell’interruzione prima che un servizio o un processo debba essere ripristinato.
SLA: Uno SLA definisce disponibilità, tempi di ripristino e altre misure contrattuali, utili per governare fornitori ICT e funzioni critiche.
SOC: Un Security Operations Center osserva log e allarmi, indaga gli incidenti e coordina il contenimento, spesso insieme a SIEM e CSIRT.
Tabletop: Una tabletop simula un incidente con partecipanti, tempi e decisioni, senza attaccare i sistemi, per allenare ruoli, comunicazioni e raccogliere evidenze.
TLPT: Il Threat-Led Penetration Testing simula minacce realistiche contro funzioni critiche per verificare la resilienza tecnica, operativa e organizzativa.

Sicurezza

AES-256: AES-256 è uno standard di cifratura usato per proteggere i dati a riposo: senza la chiave, il contenuto resta illeggibile anche se il file viene copiato.
CSRF: Il Cross-Site Request Forgery sfrutta una sessione già aperta: i token CSRF e SameSite cookie servono a bloccare queste richieste contraffatte.
DLP: Il Data Loss Prevention monitora e blocca trasferimenti di informazioni riservate via email, cloud o dispositivi, a supporto di privacy e segreto aziendale.
eIDAS: eIDAS disciplina l’identificazione elettronica e i servizi fiduciari, inclusi firme elettroniche, sigilli e marcature temporali, nell’Unione europea.
HMAC: HMAC combina una funzione hash e una chiave segreta per firmare log e metadati, così un’alterazione diventa rilevabile.
IAM: IAM copre come le persone e i sistemi si identificano, ottengono accessi e li perdono: directory, MFA, ruoli e recensioni degli account.
JWT: Un JSON Web Token trasporta identità e permessi in forma firmata, così un’API può verificare chi sta chiamando senza rinviare ogni volta la sessione.
MFA: La Multi-Factor Authentication richiede almeno due fattori indipendenti, ad esempio password e codice temporaneo, per ridurre il rischio di accessi non autorizzati.
Minimo privilegio: Il minimo privilegio riduce il danno di un account compromesso o di un errore: ruoli, permessi e revisioni periodiche devono restare allineati al lavoro reale.
OTP: Una OTP consente un accesso o una conferma puntuale senza riusare la stessa segreta; sui portali fornitori riduce il rischio di link condivisi.
PAM: Il Privileged Access Management protegge amministratori, chiavi e sessioni elevate, registrando chi ha fatto cosa sui sistemi critici.
RBAC: Il Role-Based Access Control assegna autorizzazioni a ruoli predefiniti anziché a singoli utenti, facilitando il principio del minimo privilegio.
SIEM: Un SIEM centralizza log ed eventi di sicurezza per correlare segnali, rilevare anomalie e supportare le indagini sugli incidenti.
SOC 2: SOC 2 è un’attestazione su controlli di un service organization, usata per valutare fornitori cloud e SaaS rispetto a trust criteria definiti.
SoD: La separazione dei compiti evita che la stessa persona richieda, approvi ed esegua un’azione critica: è un controllo classico di audit e SOX.
TOTP: TOTP genera password temporanee sull’app di autenticazione: è il meccanismo più comune della 2FA dopo username e password.
Zero Trust: Zero Trust richiede verifica continua di identità, dispositivo e contesto prima di ogni accesso, invece di considerare sicura la rete aziendale.

Ruoli e autorità

ACN: L’Agenzia per la Cybersicurezza Nazionale coordina e rafforza la cybersicurezza italiana e svolge funzioni rilevanti nell’attuazione nazionale della NIS2.
Autorità di controllo: Un’autorità di controllo — Garante, ACN, autorità finanziaria — può ispezionare, chiedere evidenze e sanzionare: i registri operativi servono anche a lei.
CISO: Il Chief Information Security Officer guida la strategia di cybersecurity, coordina la gestione del rischio e rende conto della postura di sicurezza al management.
CRO: Il Chief Risk Officer coordina il registro dei rischi, i trattamenti e il reporting all’organo di gestione, spesso insieme a CISO e compliance.
DPO: Il DPO informa e consiglia l’organizzazione sugli obblighi privacy, monitora la conformità e funge da punto di contatto con l’autorità di controllo.
ENISA: ENISA supporta gli Stati membri con linee guida, esercitazioni e cooperazione operativa, e ha un ruolo nel quadro NIS2 e nella certificazione cyber.
Internal auditor: L’audit interno esamina se i controlli funzionano, raccoglie evidenze e riporta findings al management, senza sostituire i controlli di prima linea.
OdV: L’Organismo di Vigilanza monitora l’efficacia e l’osservanza del Modello 231, riceve segnalazioni e propone aggiornamenti quando necessario.
Organo di gestione: L’organo di gestione — consiglio, CdA o direzione — deve conoscere rischi, incidenti e attestazioni: molte norme gli assegnano responsabilità esplicite.

Governance e GRC

Appetito al rischio: L’appetito al rischio, definito dall’organo di gestione, guida quali rischi trattare, accettare o evitare, e quanto rischio residuo è tollerabile.
Attestazione: Un’attestazione impegna chi la firma su controlli, rischi o incidenti: va collegata a evidenze, non a una dichiarazione isolata.
Audit trail: Un audit trail registra azioni rilevanti in modo ordinato e, se firmato, immutabile: è la base per ricostruire decisioni ed evidenze in audit.
Due diligence: La due diligence esamina un fornitore, un’acquisizione o un partner: perimetro, obblighi, gap e prove, prima di assumere un rischio contrattuale.
ERM: L’Enterprise Risk Management integra rischi strategici, operativi, cyber e di compliance in un quadro unico, con appetito al rischio e reporting al board.
ESG: ESG raggruppa impatti ambientali, diritti e lavoro, e qualità della governance: in ambito IT si traduce in controlli, fornitori ed evidenze dimostrabili.
Finding: Un finding documenta una lacuna o una non conformità, con gravità, responsabile, scadenza e evidenza di chiusura: è il ponte tra scoperta e remediation.
Gap analysis: Una gap analysis mostra cosa manca — policy, evidenze, responsabilità — rispetto a un framework, e alimenta il piano di remediation.
GRC: GRC collega decisioni, rischi e obblighi normativi in un sistema unico, così controlli ed evidenze non restano silos separati.
ISMS: Un ISMS, tipicamente secondo ISO 27001, organizza policy, rischi, controlli e miglioramento continuo della sicurezza delle informazioni.
Lex specialis: Lex specialis spiega, ad esempio, perché DORA può prevalere sulla NIS2 per le entità finanziarie: si applica il quadro più specifico, non un doppio obbligo identico.
RACI: La matrice RACI rende visibili i ruoli su un processo o un controllo, riducendo i vuoti di responsabilità tra compliance, IT e linee di business.
Registro dei rischi: Il registro dei rischi tiene insieme descrizione, inerente e residuo, piano di trattamento, scadenze ed evidenze: è lo strumento operativo del CRO.
Remediation: La remediation è il piano concreto — azione, responsabile, scadenza, evidenza — che porta un rilievo da aperto a chiuso in modo dimostrabile.
Rischio inerente: Il rischio inerente descrive esposizione e impatto come se i presidi non ci fossero: serve a capire quanto i controlli devono ridurre.
Rischio residuo: Il rischio residuo è ciò che resta una volta applicati i presidi: se supera l’appetito, serve ulteriore trattamento o un’accettazione formale.
Tre linee di difesa: Le tre linee di difesa distinguono chi opera, chi supervisiona il rischio e chi fornisce assurance indipendente, evitando che i controlli si autocertifichino.
Whistleblowing: Il whistleblowing consente di segnalare condotte illecite con tutele per il segnalante: nel Modello 231 è un presidio tipico, collegato all’OdV.