Procedure AI › Conformità e postazioni
Non basta essere a posto: bisogna poterlo dimostrare
Da quando NIS2 è legge, e per chiunque abbia una certificazione da mantenere o un cliente che manda questionari, la domanda non è più «i computer sono protetti?» ma «fammi vedere che lo erano, su tutte le macchine, a quella data».
È una domanda che a mano si risponde in due modi, entrambi cattivi: si va a controllare le macchine una per una quando arriva l'audit, oppure si dichiara una cosa che nessuno ha verificato. Il secondo è quello che accade quasi sempre.
Questa verticalizzazione è la forma che il motore sa già fare. Una procedura è fatta di controlli e di tentativi: prima guarda, poi corregge, poi verifica di nuovo. Conformità vuol dire esattamente questo, su tutto il parco, a scadenza fissa. Non serve un prodotto nuovo: serve il catalogo giusto.
Cosa si controlla, e cosa si corregge da solo
Ogni riga è un controllo che gira su ogni postazione e, dove la cosa non è come deve essere, una procedura che la rimette a posto. Dove la correzione automatica sarebbe rischiosa, la procedura apre una richiesta a una persona invece di agire.
| Si verifica | Se non è a posto |
|---|---|
| Disco cifrato BitLocker, FileVault |
si attiva la cifratura e si mette al sicuro la chiave di ripristino, che è la parte che a mano non viene mai fatta bene |
| Antivirus attivo e aggiornato |
si riattiva la protezione e si aggiornano le firme; se il servizio non riparte, il caso va a una persona perché è il sintomo di qualcosa d'altro |
| Aggiornamenti di sistema |
si sbloccano gli aggiornamenti fermi e si riavvia dentro una finestra concordata, mai in mezzo alla giornata di lavoro |
| Blocco schermo | si imposta il blocco automatico dopo i minuti che avete deciso |
| Amministratori locali | si elenca chi è amministratore su quella macchina; la rimozione non è automatica, diventa una richiesta, perché togliere un permesso al momento sbagliato ferma il lavoro di qualcuno |
| Software installato | si confronta con l'elenco di quello consentito e si segnala la differenza; la disinstallazione si autorizza |
| Backup presente e recente |
si verifica che esista e che sia di ieri, non di marzo; se manca, è una richiesta urgente — ed è il controllo che si scopre di non aver fatto solo quando serve |
| Spazio e salute del disco |
si libera spazio con le pulizie approvate; se il disco dà segni di cedimento non si fa nessuna pulizia e si apre la sostituzione |
Un giro di verifiche, passo per passo
Il giro di verifiche, e la macchina che non era cifrata
Come si scopre un problema di conformità nove mesi prima dell'audit, invece di tre giorni dopo che è diventato un incidente.
- Chi lo avvia
- Nessun utente: è una campagna sul parco, lanciata dentro la finestra che avete scelto — per esempio dalle 20 alle 6. Nessuno si accorge che sta succedendo.
- Su quante macchine
- Parte su un gruppo pilota, per esempio il 10%. Se la percentuale di riuscita scende sotto la soglia, la campagna si sospende da sola e aspetta una persona, invece di propagare l'errore su tutto il parco.
- Cosa controlla
su ognuna - disco cifratoantivirus attivo e con le firme aggiornateaggiornamenti applicatiblocco schermo impostatobackup esistente e recentespazio e salute del discoTutti in sola lettura. La fotografia prima di qualunque intervento.
- Cosa trova
- Su una macchina il disco non è cifrato. È un portatile, arrivato in azienda come sostituzione d'urgenza sei mesi prima, e nessuno ha ripetuto il giro di preparazione. È il modo normale in cui una macchina esce dalle regole: non per dolo, per fretta.
- Cosa fa
- attiva la cifratura e mette al sicuro la chiave di ripristinola chiave è la parte che a mano non viene mai archiviata bene, ed è quella che serve nel giorno peggiorese il disco avesse dato segni di cedimento, non avrebbe cifrato niente: avrebbe aperto una sostituzione
- Cosa non fa
da sola - Sulla stessa macchina trova due utenti amministratori locali che non dovrebbero esserci. Non li rimuove: apre una richiesta, perché togliere un permesso alla persona sbagliata nel momento sbagliato ferma il lavoro di qualcuno.
- Cosa resta
- L'elenco di tutte le macchine con l'esito di ogni controllo, l'ora, e per quella macchina quale procedura ha corretto che cosa. Le macchine spente risultano non verificate, non «a posto».
Il risultato è un documento, non una sensazione
Ogni giro di verifiche produce la stessa cosa che un auditor chiede: l'elenco delle macchine, per ognuna l'esito di ogni controllo, la data e l'ora, e dove c'è stata una correzione quale procedura l'ha fatta.
- Le verifiche girano a scadenza — ogni notte, ogni settimana, ogni mese — non il giorno prima dell'audit.
- Una macchina spenta o fuori rete non viene dichiarata a posto: viene dichiarata non verificata, che è un'informazione diversa e vale la pena distinguerla.
- Lo storico resta. La domanda «com'era a giugno» ha una risposta.
È anche il modo meno doloroso di scoprire le cose. La prima volta che si gira questo catalogo su un parco mai verificato, il numero di macchine fuori regola è sempre più alto di quello che l'azienda si aspetta. Meglio saperlo adesso.
I quattro momenti in cui una postazione cambia stato
Sono i momenti in cui, a mano, si dimentica sempre un pezzo — e il pezzo dimenticato è quasi sempre quello che poi diventa un problema di sicurezza.
Primo giorno
Computer pronto quando la persona arriva: utenze, abilitazioni del profilo, programmi del ruolo, stampanti della sede, cifratura attiva, backup collegato. Una sequenza, non quindici richieste sparse fra tre reparti.
Cambio di ruolo o di sede
Le abilitazioni nuove si aggiungono e quelle vecchie si togliono. È il secondo pezzo che a mano non succede quasi mai, ed è il motivo per cui dopo cinque anni nessuno sa più chi può accedere a cosa.
Ultimo giorno
Accessi chiusi tutti insieme e alla stessa ora, dati del lavoro consegnati a chi subentra, macchina riportata a uno stato pulito e riassegnabile. Con l'elenco di cosa è stato chiuso, perché è la domanda che arriva dopo.
Sostituzione
Il computer nuovo viene portato allo stato del vecchio, non a uno stato generico. Il vecchio viene cancellato in modo verificabile prima di uscire dall'azienda.
Postazioni che devono essere identiche ogni mattina
Casse, chioschi, postazioni di linea, computer di sala: macchine che fanno una cosa sola, che usano in tanti e che nessuno possiede. Si sporcano, e qualcuno le cambia.
Qui la procedura non aspetta una richiesta: gira ogni notte e rimette la macchina allo stato che avete definito. Programmi che devono essere lì, impostazioni che devono essere quelle, cose che non devono esserci. Al mattino l'elenco di cosa era stato cambiato.
È la verticalizzazione più facile da far rendere, perché il risparmio si misura in fermi che non ci sono stati.
Si punta sul vostro parco e gira
Qui non c'è un progetto da avviare prima di vedere qualcosa: il catalogo delle verifiche esiste e il motore è in esercizio. L'agente sta già sulle postazioni, i controlli e le correzioni approvate si eseguono, il consenso dell'utente è gestito dove si toccano i suoi dati, e le campagne girano su tutto il parco con gruppo pilota e finestra oraria.
Il primo giro si fa in pochi giorni dall'installazione degli agenti e produce il documento con lo stato di ogni macchina. Da lì si decide cosa correggere da soli e cosa portare a una persona: è una conversazione che si fa con i numeri davanti, non con le ipotesi.
Una cosa va detta sui tempi: oggi le verifiche partono a richiesta o da una campagna pianificata. L'automatismo che le ripete ogni notte da solo è il pezzo in costruzione — e un progetto reale lo fa arrivare prima, perché le priorità le danno i casi veri.
Lo stesso motore, altri reparti
Agente, code, approvazioni e consensi sono gli stessi. Cambia il catalogo delle procedure.
Application Management
Le attività ricorrenti sui gestionali: utenze da creare, password da reimpostare, abilitazioni da modificare, dati da sistemare. È un servizio che forniamo da anni con le persone: stiamo spostando sulle procedure la parte che si ripete.
Come funziona →I processi degli altri reparti
Personale, amministrazione, acquisti, produzione. I processi delle aziende li automatizziamo da trent'anni: quello che cambia adesso non è che si automatizzino, ma chi li esegue. Qui c'è il metodo, passo per passo.
Il metodo e i reparti →Assistenza informatica
Un tecnico di primo livello sul computer di ogni persona: apre la richiesta al posto dell'utente, la risolve sul posto e, quando non basta, passa ai colleghi umani già istruito. Si attiva con un canone per postazione, senza progetto.
La verticalizzazione →Contatti
Per un primo scambio bastano dieci minuti al telefono.
- Telefono: 039 2300708
- Email: info@mauriziocaputo.it
- Sede: Via Dante Alighieri 43, 20851 Lissone (MB)