Nel quadro del KSC, la verifica dei precedenti penali del personale non è un controllo generalizzato delle risorse umane né un adempimento da eseguire automaticamente prima di un audit. Il suo perimetro deve derivare da una base specifica, dallo status dell’organizzazione e dalle mansioni e autorizzazioni effettive della persona. Un processo avviato raccogliendo certificati, anziché qualificando preventivamente i ruoli, può comportare sia l’esclusione di soggetti interessati dal requisito, sia un trattamento privo di fondamento dei dati relativi a condanne penali. Occorre quindi stabilire innanzitutto chi possa essere sottoposto a verifica e in forza di quale presupposto; successivamente, separare le responsabilità per l’acquisizione delle informazioni, la valutazione dell’esito e la decisione sull’accesso; infine, limitare le registrazioni ai dati necessari per dimostrare la conformità.
Il punto di partenza è il perimetro, non il certificato
La decisione di verificare i precedenti penali non dovrebbe partire dalla richiesta di documenti al personale. La direzione deve prima confermare lo status dell’organizzazione nel sistema KSC e individuare la disposizione specifica da cui discende l’obbligo nei confronti di determinate persone. Il semplice richiamo alla NIS2, la preparazione a un audit o l’implementazione di un sistema di gestione della sicurezza delle informazioni non giustificano l’estensione del controllo a tutti i dipendenti, collaboratori e fornitori.
I confini del processo devono essere definiti separatamente per ogni fonte del requisito. La direttiva NIS2, la legge polacca sul KSC nella versione vigente, le disposizioni attuative, la regolamentazione settoriale, le condizioni contrattuali e le regole interne di autorizzazione degli accessi non costituiscono fonti equivalenti. Per ciascuna occorre determinare l’ambito organizzativo, personale e temporale: chi è interessato dal requisito, per quale ragione, da quale momento, con quali eventuali eccezioni e in quali circostanze sia necessaria una nuova valutazione. Progettare la procedura prima di concludere questa analisi può portare sia a escludere persone soggette all’obbligo, sia a trattare senza un valido fondamento dati relativi a condanne penali.
La qualificazione dovrebbe concludersi con una nota sintetica, approvata dal responsabile della conformità. Il documento dovrebbe indicare lo status dell’organizzazione, la base giuridica, la data e il quadro normativo considerato, i ruoli inclusi e le eccezioni motivate. La categoria generica di “personale IT” non è sufficientemente precisa. Occorre stabilire se il requisito comprenda gli amministratori con privilegi elevati, gli addetti alla gestione degli incidenti, il personale dei fornitori e i sostituti che svolgono periodicamente tali attività. Devono inoltre essere definiti il responsabile dell’analisi giuridica e la scadenza del riesame, in particolare dopo modifiche normative, variazioni del perimetro operativo o cambiamenti nel modello di accesso.
La definizione del perimetro della verifica dovrebbe rientrare nel progetto “SZBI conforme alla legge sul KSC: come definire perimetro, responsabili e piano di implementazione”. Il campo di applicazione del sistema, le responsabilità di processo e i ruoli privilegiati devono derivare dalla stessa mappa organizzativa. Solo su questa base è possibile stabilire responsabilmente se, alla luce del quadro normativo vigente, l’obbligo si applichi all’organizzazione, quale disposizione consenta di acquisire informazioni sui precedenti penali e per quali categorie di personale ciò sia ammissibile.
Chi rientra nella verifica
Il perimetro personale non è determinato dal titolo della posizione né dalla forma contrattuale. Sono decisivi il contenuto del requisito applicabile e il suo confronto con le mansioni, le autorizzazioni e l’impatto effettivo della persona sulla sicurezza del servizio. La qualificazione dovrebbe considerare l’accesso logico e fisico, la possibilità di modificare configurazioni, il coinvolgimento nella gestione degli incidenti, l’influenza sulla continuità operativa e i privilegi temporanei o di emergenza. I ruoli non collegati al servizio, al sistema, al sito o al perimetro protetto indicato dalla disposizione non dovrebbero essere sottoposti preventivamente al controllo.
Lo strumento decisionale principale è una matrice dei ruoli gestita congiuntamente dal process owner, dal responsabile della sicurezza delle informazioni e dalle risorse umane, con il coinvolgimento del responsabile della conformità. La matrice dovrebbe essere integrata con la gestione delle identità e degli accessi e con la segregazione dei compiti. Un semplice elenco dei dipendenti non è sufficiente. Servono anche registri degli account privilegiati, degli accessi amministrativi, fisici e di emergenza e dei soggetti esterni che accedono effettivamente ai sistemi o ai processi inclusi nel perimetro.
| Categoria di persona | Tipologia di accesso | Presupposto per l’inclusione | Momento della verifica | Responsabile della decisione | Gestione del fornitore |
|---|---|---|---|---|---|
| Personale interno | Accesso amministrativo, privilegiato, fisico o di emergenza | Disposizione applicabile, valutata rispetto alle attività del ruolo | Prima dell’autorizzazione e in caso di modifica del ruolo; nuovamente, se previsto dal relativo presupposto | Responsabile della conformità insieme al process owner | Non applicabile |
| Componente di un organo societario o persona incaricata con altra forma contrattuale | Influenza decisionale od operativa sul perimetro interessato | Esclusivamente una base giuridica applicabile | Prima del conferimento dell’incarico o dell’accesso | Organo competente per la nomina oppure direzione | Non applicabile |
| Amministratore di un fornitore o subfornitore | Accesso amministrativo remoto o locale, anche temporaneo | Disposizione applicabile oppure requisito contrattuale correttamente definito | Prima dell’abilitazione e dopo una modifica del perimetro dei servizi | Responsabile del servizio o del contratto | Definizione dell’obbligo, delle evidenze di attuazione, delle regole per il diniego dell’accesso e della supervisione dei subfornitori |
Un amministratore tecnico del fornitore può disporre di privilegi più ampi rispetto a un responsabile interno, pur non essendo un dipendente dell’organizzazione. Una qualificazione fondata soltanto sulla tipologia contrattuale potrebbe quindi escludere una persona con un impatto significativo sulla sicurezza. Ciò non significa, tuttavia, che l’amministratore esterno debba essere automaticamente sottoposto allo stesso iter previsto per un dipendente. Il perimetro dei dati, la modalità di attestazione del soddisfacimento del requisito e la responsabilità della valutazione devono derivare da una base giuridica ammissibile o da un contratto adeguatamente strutturato. Gli accessi temporanei e di emergenza devono essere valutati in funzione delle attività potenzialmente eseguibili, non della frequenza prevista di utilizzo.
La matrice dovrebbe includere dipendenti, componenti degli organi societari, collaboratori contrattualizzati con altre formule, amministratori esterni e personale di fornitori e subfornitori, ma esclusivamente entro i limiti del requisito applicabile. Deve essere riesaminata in seguito a modifiche dell’architettura delle autorizzazioni, del perimetro del servizio, del fornitore o della normativa. Il numero di ruoli privilegiati e di soggetti esterni con accesso effettivo determina la scala del processo e costituisce un dato di ingresso per pianificare gli investimenti descritti nell’articolo “Quanto costa implementare NIS2 e uKSC: come predisporre il budget per audit, documentazione, formazione e misure di sicurezza evitando errori costosi”.
Dove si generano costi e rischi
Il rischio principale non deriva dall’acquisizione tecnica delle informazioni sui precedenti penali, ma dall’avvio del controllo senza una base univoca, una finalità definita e un perimetro limitato. I dati relativi a condanne penali e reati sono soggetti a uno specifico regime di trattamento. Il consenso ordinario dell’interessato o una disposizione generica nella policy delle risorse umane non dovrebbero essere considerati automaticamente sufficienti per giustificarne l’acquisizione. Prima di scegliere la modalità di verifica occorre determinare quali informazioni siano effettivamente richieste dalla disposizione applicabile, quali persone siano interessate e chi sia responsabile della valutazione dell’esito.
I costi aumentano quando l’organizzazione richiede documenti completi a tutto il personale, ne conserva copie senza un periodo di conservazione definito, li trasmette tramite posta elettronica ordinaria oppure li mette a disposizione di risorse umane, responsabili gerarchici, funzione sicurezza e auditor senza separare le autorizzazioni. Ogni copia aggiuntiva incrementa gli oneri connessi alla protezione dei dati, al controllo degli accessi, alla gestione delle richieste e alla cancellazione sicura. La direzione dovrebbe pertanto monitorare non soltanto il numero di verifiche eseguite, ma anche il numero di persone autorizzate ad accedere ai documenti e i periodi effettivi di conservazione.
Un secondo fattore di rischio è l’assenza di criteri per valutare l’esito. Le informazioni emerse durante il controllo non possono condurre a una decisione improvvisata del responsabile né a una valutazione scollegata dal requisito applicabile al ruolo. Le risorse umane possono acquisire correttamente il documento, ma il processo resta inadeguato se non è stato definito chi ne valuti la rilevanza, su quale base venga assunta la decisione di autorizzazione e se sia necessario conservarne una copia. La procedura dovrebbe stabilire il percorso di escalation e il Piano di reazione nel piano di controllo: come definire le azioni quando il processo supera i limiti.
La registrazione dell’avvenuta verifica deve essere distinta dalla conservazione del contenuto del documento. A seconda della base applicabile e degli obblighi probatori, può essere sufficiente registrare la data della verifica, il relativo perimetro, la persona autorizzata alla valutazione, l’esito della qualificazione e la decisione sull’accesso, senza conservare l’intero contenuto del certificato. Qualora la copia sia necessaria, devono essere definiti i destinatari, le misure di sicurezza e il termine di cancellazione. Questa impostazione coniuga la minimizzazione dei dati con l’esigenza di dimostrare la conformità, evitando di sostituire l’analisi giuridica con una raccolta documentale “per ogni evenienza”.
Il processo: dalla qualificazione all’autorizzazione
Il processo deve iniziare prima dell’acquisizione delle informazioni sui precedenti penali. In primo luogo, il process owner qualifica il ruolo, individua la base giuridica vigente e definisce il perimetro della verifica richiesta. L’organizzazione informa quindi la persona circa finalità, modalità e regole di trattamento dei dati, seleziona una fonte di informazioni ammissibile e ne verifica l’identità. I successivi gate decisionali comprendono la valutazione dell’esito, la decisione di autorizzazione, l’assegnazione dei privilegi e la creazione della registrazione di controllo.
Per ogni attività devono essere indicati il responsabile, gli input necessari, la scadenza e le modalità operative in caso di documento mancante, superamento del termine o esito che richieda chiarimenti. Una verifica formale non equivale infatti a una decisione operativa. Le risorse umane possono informare il dipendente, acquisire il documento e confermare la completezza dei dati, ma non dovrebbero decidere autonomamente in merito all’accesso a un sistema o a un’infrastruttura.
La decisione finale dovrebbe spettare al ruolo aziendale designato, generalmente il proprietario del sistema o il responsabile dell’area operativa interessata, con il coinvolgimento della funzione sicurezza. Se l’esito è ambiguo o il perimetro ammissibile del trattamento dei dati solleva dubbi, il caso deve essere sottoposto alla funzione legale o alla protezione dei dati. Questa separazione delle responsabilità evita sia l’assegnazione automatica dell’accesso dopo la semplice presentazione del documento, sia interpretazioni discrezionali da parte del responsabile gerarchico.
I criteri decisionali devono essere approvati prima che si presenti il primo caso problematico. La procedura dovrebbe precisare chi valuta le situazioni ambigue, quali informazioni possano essere considerate, se sia consentito limitare il perimetro dell’accesso e come documentare la motivazione senza divulgare il contenuto a una platea più ampia. Una persona appena assunta, per esempio, può completare la formazione e le attività organizzative, ma non dovrebbe ricevere un account privilegiato né accedere all’ambiente protetto fino all’assunzione della decisione. L’eventuale accesso temporaneo richiede un’autorizzazione distinta, un perimetro limitato, una scadenza e una supervisione. Non può essere utilizzato per aggirare il controllo.
Un esito negativo richiede un piano di reazione definito in anticipo: sospensione delle autorizzazioni, escalation verso i decisori designati, nomina di un sostituto, valutazione degli effetti sulla continuità operativa e chiusura controllata del caso. La logica deve essere la stessa adottata nei piani di reazione: un evento definito attiva una risposta, una responsabilità e una registrazione assegnate. Per l’assunzione e il cambio di ruolo può essere utile il riferimento Come predisporre il processo di onboarding per un nuovo quality engineer o responsabile ISO, in particolare per la definizione dei gate decisionali e la conferma delle responsabilità.
La registrazione di controllo dovrebbe consentire di ricostruire la qualificazione del ruolo, la base e il perimetro della verifica, la data di conferma dell’identità, la fonte delle informazioni, la persona incaricata della valutazione, la decisione, la data di attribuzione delle autorizzazioni e l’eventuale escalation. Devono inoltre essere definiti gli eventi che determinano una nuova valutazione, in particolare la modifica del ruolo o del perimetro di accesso, nonché le modalità di revoca delle autorizzazioni in caso di cessazione del rapporto. Gli indicatori più significativi dell’efficacia del processo sono il tempo intercorrente tra qualificazione e decisione, il numero di accessi concessi prima della conclusione della verifica richiesta e il numero di escalation causate da documenti mancanti o da esiti ambigui.
Documentazione e nuova verifica
La documentazione del processo deve consentire di ricostruire i presupposti e gli effetti della decisione, non creare un archivio di informazioni sui precedenti penali. La registrazione dovrebbe chiarire perché il ruolo sia stato sottoposto a verifica, quando sia avvenuto il controllo, chi abbia deciso e quale sia stato l’esito operativo: concessione, limitazione o diniego dell’accesso. Ciò non implica automaticamente la necessità di conservare una copia del documento di origine. La decisione di conservarla deve essere distinta dalla conservazione dei metadati e fondata sulla base giuridica vigente, sulla finalità del trattamento e sul principio di limitazione della conservazione.
Un insieme coerente di registrazioni dovrebbe comprendere:
- la matrice dei ruoli con la motivazione del perimetro;
- il registro delle verifiche eseguite;
- le autorizzazioni al trattamento e le regole di accesso;
- i periodi di conservazione approvati;
- il protocollo di escalation;
- le evidenze dell’adempimento degli obblighi da parte dei fornitori.
Questi elementi richiedono un responsabile comune, il controllo delle versioni e il collegamento con la gestione documentale del sistema di gestione della sicurezza delle informazioni. La loro dispersione tra risorse umane, sicurezza e acquisti rende più difficile dimostrare la completezza del processo. Il repository dovrebbe contenere modelli, decisioni di sistema e storico delle modifiche alle regole, mentre i dati riferiti ai singoli casi devono essere accessibili soltanto alle persone autorizzate. Un utile riferimento organizzativo è Come costruire un repository interno delle conoscenze sulla qualità senza perdere l’esperienza del team.
Il record può contenere le date di qualificazione del ruolo, verifica e decisione, il riferimento alla base applicata, la data di concessione dell’accesso e quella del riesame pianificato. Se è sufficiente attestare l’avvenuta verifica e il relativo esito operativo, la copia del certificato non dovrebbe essere conservata “per ogni evenienza”. Il meccanismo di cancellazione deve comprendere anche gli allegati ai messaggi, le cartelle di lavoro e le risorse dei fornitori. L’efficacia del controllo può essere misurata attraverso la percentuale di ruoli per i quali esiste una motivazione aggiornata dell’inclusione nel processo e il numero di record conservati oltre il periodo approvato.
Le scadenze per una nuova verifica non dovrebbero essere stabilite secondo un calendario arbitrario. La frequenza può derivare dalla disposizione vigente, dalla natura del ruolo, dalle condizioni contrattuali o da una valutazione documentata del rischio. Indipendentemente dal riesame periodico, la procedura dovrebbe indicare gli eventi che attivano una nuova valutazione, in particolare il cambio di posizione, l’estensione delle autorizzazioni, il rientro nel ruolo dopo un’interruzione o una modifica significativa dei requisiti normativi o contrattuali. L’aggiornamento delle informazioni non richiede necessariamente l’acquisizione ciclica dell’intero documento. Il processo dovrebbe prevedere una modalità lecita e proporzionata di conferma dello stato, ogni volta coerente con la base giuridica vigente e con il perimetro dei dati che l’organizzazione può trattare.
Verifica della preparazione all’audit
La valutazione della preparazione non dovrebbe iniziare verificando semplicemente l’esistenza di una procedura, ma ricostruendo casi reali. Il campione dovrebbe includere almeno un dipendente assunto in un ruolo soggetto a verifica, una persona che abbia cambiato ruolo, un amministratore esterno e un caso di accesso di emergenza. Per ciascun caso, l’auditor dovrebbe seguire l’intera sequenza: dalla base giuridica vigente e dalla qualificazione del ruolo, passando per l’acquisizione delle informazioni e la decisione di autorizzazione, fino alle autorizzazioni effettivamente attive.
Il test minimo comprende il confronto tra l’elenco dei ruoli e il registro degli accessi, la verifica della completezza delle decisioni, della tempestività dei controlli, della limitazione degli accessi alle registrazioni e della correttezza della loro conservazione. Occorre inoltre simulare l’assenza del documento, un esito ambiguo o un ritardo nella verifica. L’organizzazione dovrebbe dimostrare di saper sospendere l’accesso, attivare l’escalation e individuare la persona autorizzata a decidere. La frequenza dell’audit interno del sistema di gestione della sicurezza delle informazioni e la soglia di escalation dovrebbero essere commisurate al rischio e ai requisiti derivanti dalla base attualmente vigente, non soltanto al calendario degli audit.
Le non conformità di sistema più frequenti si generano nelle interfacce tra i processi. Tra queste rientrano l’assenza di una base dimostrata, la discrepanza tra l’elenco delle posizioni e le autorizzazioni effettive, l’omissione dei subfornitori, la concessione dell’accesso prima del completamento del controllo, la mancata definizione del periodo di conservazione o l’assenza di un percorso di escalation documentato. Una registrazione corretta da parte delle risorse umane non è sufficiente se un amministratore esterno mantiene un account attivo dopo la modifica del perimetro contrattuale o ottiene un’estensione dei privilegi senza una nuova qualificazione.
La direzione dovrebbe ricevere informazioni aggregate, non il contenuto dei dati relativi alle condanne. Sono utili: la percentuale di accessi attivi soggetti a controllo per i quali esiste una decisione aggiornata, il numero di accessi concessi prima del completamento della verifica, la puntualità dei riesami e il numero di non conformità suddivise per causa sistemica. Gli indicatori devono supportare decisioni in merito a risorse, correzioni ed escalation, secondo l’approccio descritto nell’articolo Come definire KPI di processo per la direzione, affinché il sistema qualità non si riduca a semplici tabelle.
Essere pronti per l’audit significa poter dimostrare non soltanto l’esistenza della procedura, ma anche la proporzionalità del suo perimetro, la coerenza delle decisioni e l’efficacia operativa. I risultati del test dovrebbero confluire nell’audit interno del sistema di gestione della sicurezza delle informazioni e nel riesame di direzione, indicando il responsabile dell’azione, il termine per colmare la lacuna e la valutazione dell’impatto sugli accessi attivi.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
