ISO 27001: allenare chi approva un cambiamento, prima della prossima emergenza

Prepararsi alla decisione

Un aggiornamento urgente arriva durante una giornata di lavoro intensa. Il gruppo IT chiede una finestra per intervenire, mentre il responsabile del servizio teme di interrompere le attività. La discussione si concentra sull’orario e trascura le domande decisive: che cosa succede se rimandiamo? Quali funzioni potrebbero fermarsi? Come riconosceremo un intervento riuscito? Chi può decidere se qualcosa va storto?

Questo approfondimento propone un laboratorio formativo per affrontare proprio quel momento. Il riferimento generale è ISO/IEC 27001:2022, standard per i sistemi di gestione della sicurezza delle informazioni. La scheda pubblica ISO ne descrive l’impostazione fondata sulla gestione del rischio e sul miglioramento del sistema. Il laboratorio illustrato è una proposta originale DM Web Solution, non un modulo ufficiale ISO né una riproduzione del testo della norma. [1]

Un secondo riferimento è NIST SP 800-40 revisione 4, pubblicata nell’aprile 2022. La guida presenta la gestione delle patch come manutenzione preventiva e comprende identificazione, priorità, acquisizione, installazione e verifica. Sottolinea inoltre la necessità di collegare le esigenze tecniche agli obiettivi dell’organizzazione. È una guida operativa: non introduce un nuovo obbligo ISO o una scadenza generalizzata per le imprese italiane. [2]

Un laboratorio condiviso

La proposta formativa riunisce chi esegue la modifica, chi utilizza il servizio e chi possiede l’autorità per approvarla. Nelle aziende più piccole alcuni ruoli possono coincidere. Ciò che conta è rendere esplicite le responsabilità, evitando che una decisione importante emerga soltanto da una conversazione informale. Il gruppo lavora su un caso concreto, opportunamente privato di credenziali e informazioni riservate non necessarie.

Il primo esercizio consiste nel descrivere il servizio dal punto di vista aziendale. Non basta scrivere “aggiornamento server”. Occorre indicare quali attività dipendono dal sistema, quali persone potrebbero essere coinvolte e quali conseguenze produrrebbe un’indisponibilità. Una descrizione comprensibile permette al responsabile di processo di contribuire alla valutazione senza dover interpretare dettagli tecnici che non gli competono.

Il secondo esercizio confronta il rischio del cambiamento con quello del rinvio. Il gruppo distingue le informazioni accertate dalle ipotesi: presenza del prodotto, configurazione, esposizione, indicazioni del produttore e conseguenze possibili. Se un elemento è sconosciuto, viene registrato come tale. La formazione dovrebbe premiare la capacità di formulare domande pertinenti, non la sicurezza con cui qualcuno riempie un vuoto informativo.

Collaudo e recupero

Consideriamo uno scenario ipotetico: un aggiornamento interessa un’applicazione utilizzata per preparare le spedizioni. L’IT propone l’intervento prima dell’apertura del magazzino. Il responsabile operativo chiarisce che in quella fascia vengono importati ordini e preparate etichette. Il gruppo può quindi individuare prove pertinenti: accesso all’applicazione, importazione di un ordine di test e produzione di un documento campione.

Un altro esercizio riguarda il recupero. La frase “abbiamo il backup” deve diventare una descrizione utilizzabile: che cosa può essere recuperato, da chi, con quali prerequisiti e quali conseguenze sui dati modificati nel frattempo? Non tutti gli interventi permettono lo stesso ritorno alla situazione precedente. Il laboratorio deve far emergere queste differenze prima che il piano venga considerato adeguato.

La simulazione introduce poi un imprevisto. Dopo l’aggiornamento il sistema risponde, ma una funzione essenziale non produce il risultato atteso. I partecipanti devono decidere chi valuta il problema, chi comunica agli utenti e quale condizione fa interrompere il tentativo di correzione. Le regole devono essere proporzionate al servizio, con un riferimento decisionale disponibile durante l’intervento.

Verificare l’apprendimento

L’elaborato finale può essere una scheda breve: obiettivo, servizi coinvolti, rischio del rinvio, prove previste, responsabilità, condizioni di recupero ed esito. La scheda non serve a dimostrare che ogni evento fosse prevedibile. Serve a conservare un ragionamento comprensibile e a permettere il riesame delle decisioni, soprattutto quando persone e fornitori cambiano nel tempo.

La verifica dell’apprendimento consiste nel proporre un secondo cambiamento con caratteristiche diverse. Il gruppo deve adattare le domande, scegliere controlli utili e motivare la decisione. Per la direzione, il beneficio atteso è una maggiore qualità del coordinamento: meno approvazioni generiche, meno collaudi basati soltanto sull’assenza di errori visibili e più chiarezza su chi deve intervenire quando il risultato non corrisponde alle attese.