Quando manca una prova di controllo, la conclusione non può essere riempita con un « conforme » di comodo. Può tuttavia essere necessario prendere una decisione operativa prima che la prova arrivi. Un registro provvisorio collega l’elemento mancante alla conclusione che ne dipende, distingue le verifiche alternative da quelle richieste, assegna un responsabile e indica una scadenza precisa di raccolta. La guida sull’approvazione della sicurezza e sul rischio residuo tratta la decisione complessiva; qui il risultato è una riga di decisione per ciascuna evidenza non disponibile, non una nuova approvazione del sistema.
Il NIST SP 800-53A mostra che una valutazione di controllo può richiedere esame, intervista e test. Una risposta verbale non ha automaticamente la stessa portata di un registro o di un test. L’ISO presenta la ISO/IEC 27001 come norma di sistema di gestione della sicurezza; la pagina pubblica non fornisce un modulo obbligatorio per ogni prova mancante. Il registro descritto qui è un metodo editoriale di tracciabilità. Eventuali obblighi specifici vanno verificati nel contratto, nella norma o nel settore applicabile.
Chiarire quale prova manca davvero
« Manca la documentazione » è troppo generico. Specificare il controllo, l’attività, il periodo, il sistema e l’oggetto atteso. Potrebbe mancare la prova che una revisione degli accessi sia stata eseguita a giugno, pur esistendo una procedura; potrebbe mancare il risultato di un ripristino, pur esistendo un piano di backup; potrebbe mancare la versione firmata di un’autorizzazione, pur essendo visibile una configurazione tecnica. Ciascuno di questi vuoti indebolisce una conclusione diversa.
La prima domanda è se la prova è assente, non reperibile, incompleta, scaduta o non applicabile. Un file che esiste ma riguarda un altro ambiente non dimostra il controllo della produzione. Un log cancellato secondo una regola di conservazione può rendere impossibile una verifica storica, senza dimostrare che l’attività non sia stata svolta. Una certificazione relativa a un’altra società del gruppo non colma automaticamente il vuoto sul servizio acquistato. Registrate il motivo dichiarato della mancanza e la fonte di tale informazione.
Indicate anche che cosa non potete concludere. Se manca il verbale della revisione degli amministratori, non potete affermare che gli accessi fossero stati riesaminati in quel periodo. Potete forse verificare lo stato attuale degli accessi, ma quello non dimostra che la revisione passata sia avvenuta. Separare la conclusione storica da quella attuale evita di trasformare una verifica alternativa in una prova retroattiva.
La riga minima del registro
Create una riga per l’elemento mancante o per un gruppo davvero omogeneo di elementi. Datele un ID stabile e collegatela al dossier o al controllo. Non copiate segreti e dati personali superflui nel registro; indicate un riferimento all’archivio protetto. Il modello qui sotto può essere adattato, ma ogni campo deve rispondere a una domanda decisionale.
| Campo | Significato pratico | Esempio fittizio |
|---|---|---|
| Controllo e periodo | Che cosa era da verificare? | Riesame admin del secondo trimestre |
| Prova attesa | Quale oggetto avrebbe sostenuto la conclusione? | Verbale con elenco, esiti e approvazione |
| Stato | Assente, incompleta o non reperibile? | File non reperibile nell’archivio |
| Conclusione colpita | Che cosa non si può dichiarare? | Esecuzione nel trimestre non dimostrata |
| Verifica alternativa | Che cosa può essere constatato adesso? | Accessi attuali e revoche recenti |
| Decisione temporanea | Continuare, restringere o fermare? | Accesso limitato per trenta giorni |
| Responsabile e data | Chi raccoglie o sostituisce la prova, entro quando? | Owner IAM, data specifica nel registro |
| Riesame | Chi controlla il risultato e chiude? | Revisore sicurezza diverso dall’owner |
Una scadenza « appena possibile » non è operativa. Scrivete la data e, se serve, un controllo intermedio. La scadenza deve essere coerente con il rischio e con il tempo necessario a produrre una nuova prova; non è automaticamente trenta giorni come nell’esempio. Se un obbligo esterno stabilisce un termine, usate il termine applicabile e citatene la fonte. Il registro interno non può riscriverlo.
Esempio seguito: revisione degli accessi privilegiati
Una società fittizia deve approvare una modifica importante a un sistema. Il suo processo richiede di verificare che gli amministratori della produzione siano stati riesaminati nel trimestre precedente. La procedura esiste, ma il verbale del trimestre non si trova. La responsabile IAM afferma che la revisione è stata fatta; non può indicare il file né i singoli esiti. L’esaminatore annota la dichiarazione come informazione da verificare, non come prova di esecuzione.
La conclusione colpita è precisa: « il riesame trimestrale è stato completato e gli accessi non necessari sono stati rimossi ». Senza verbale o altra traccia affidabile, non può essere sostenuta per il periodo passato. La modifica può tuttavia essere valutata sotto condizioni diverse. Il team estrae l’elenco attuale degli amministratori, verifica le autorizzazioni con i responsabili dei ruoli e disabilita due account non più necessari. Questa attività riduce l’esposizione corrente, ma non ricostruisce la revisione passata.
Il decisore ammette temporaneamente la modifica solo sul perimetro già verificato. Chiede alla responsabile IAM di ricercare il verbale entro una data determinata e, se non emerge, di eseguire una nuova revisione documentata di tutti gli accessi privilegiati pertinenti. Assegna un revisore sicurezza distinto per verificare gli esiti e per aggiornare la conclusione. La decisione riporta ciò che è stato constatato, ciò che resta ignoto, il motivo dell’operatività provvisoria e la condizione di ritiro. Non scrive « conforme con riserva » senza spiegare a quale requisito si riferisca.
Se alla scadenza la nuova prova manca, la decisione provvisoria non continua per inerzia. Il decisore sceglie se restringere altri accessi, sospendere una parte del cambiamento o accettare un rischio residuo secondo la governance applicabile, con una nuova motivazione. Se il verbale originale ricompare, il revisore ne controlla data, popolazione e contenuto; il solo ritrovamento del file non assicura che il controllo fosse adeguato. Questa sequenza rende visibile la differenza tra documento recuperato e conclusione validata.
Scegliere verifiche alternative senza scambiarle con la prova originale
Una verifica alternativa dovrebbe rispondere a una domanda limitata. Un’intervista può chiarire chi aveva il compito di riesaminare; un log può mostrare che alcuni accessi sono stati revocati; un test può mostrare come funziona oggi il controllo; un campione di ticket può suggerire il comportamento del processo. Nessuno di questi elementi dimostra necessariamente che tutte le attività previste si siano svolte nel periodo mancante. Annotate quale parte della conclusione ciascuna verifica supporta e quale resta aperta.
Evitate prove circolari. Se la stessa persona che dichiara di aver effettuato la revisione prepara una nuova tabella senza log o approvazioni indipendenti, la tabella può essere utile per ricostruire eventi ma non diventa automaticamente una conferma indipendente. Quando possibile, cercate fonti generate dal sistema, destinatari della revisione, notifiche e decisioni archiviate. La procedura di audit di sicurezza aiuta a definire il mandato del revisore e l’accesso alle fonti, mentre il registro tiene traccia della scelta concreta fatta durante l’incertezza.
La portata della verifica alternativa determina la forza della decisione temporanea. Un test su un account può sostenere la configurazione di quell’account; non assicura che tutti gli account siano coperti. Una configurazione attuale può ridurre il rischio futuro ma non fornire evidenza storica. Se manca una prova di backup, un ripristino su un ambiente di test può mostrare che una copia utilizzabile esiste ora; non dimostra ogni copia prodotta nei mesi precedenti. Dichiarare questi limiti nel registro rende la decisione difendibile.
Collegare la decisione al rischio reale
La gravità di una prova mancante non dipende dal numero di pagine del documento. Se manca la conferma di un controllo che impedisce modifiche non autorizzate a un servizio critico, il rischio può richiedere una restrizione immediata. Se manca una firma su una procedura già dimostrata da configurazione e log, il vuoto può essere soprattutto documentale, pur restando da correggere. Descrivete il percorso di danno, il controllo e la conseguenza della sua possibile assenza prima di assegnare una priorità.
Una decisione provvisoria può avere diverse forme: limitare gli utenti, sospendere una funzione, aggiungere una sorveglianza, ottenere una seconda approvazione, rinviare il rilascio o proseguire per una finestra breve. Specificare che cosa cambia davvero. « Monitoraggio rafforzato » deve dire quale evento sarà osservato, da chi, con quale frequenza e che cosa accade dopo un’anomalia. Una misura compensativa non è equivalente al controllo originario per definizione; può soltanto ridurre parte dell’esposizione mentre la prova viene raccolta o il controllo ripristinato.
Il proprietario del sistema porta il bisogno operativo, il proprietario del controllo spiega che cosa è stato attuato, il revisore valuta le prove, il decisore accetta o rifiuta il rischio residuo nel proprio mandato. In una piccola organizzazione alcuni ruoli possono coincidere, ma il registro deve renderlo visibile. Un’autovalutazione non verificata non acquista indipendenza perché è stata caricata in un software. La politica di sicurezza aziendale può indicare deleghe e soglie, da applicare al caso concreto.
Gestire più prove mancanti senza diluire la conclusione
Tre allegati mancanti possono indicare un unico problema di archiviazione o tre controlli non dimostrati. Non chiudete tutto con un’unica azione « aggiornare il repository » se le conclusioni riguardano accessi, backup e gestione delle vulnerabilità. Raggruppate solo le evidenze che condividono controllo, periodo, proprietario e prova di chiusura. Un registro con identificativi separati aiuta a vedere quali riserve restano aperte quando un documento è recuperato.
Un contatore di prove mancanti non misura automaticamente il rischio. Una sola prova cruciale può bloccare un’approvazione, mentre molte prove periferiche possono avere effetto limitato. All’opposto, un accumulo di piccoli vuoti può indicare che il processo di raccolta non funziona e che la fiducia nelle conclusioni precedenti va riesaminata. Guardate la distribuzione dei vuoti per proprietario, sistema e periodo. Se il medesimo controllo perde sempre la sua evidenza, correggete il processo di produzione e conservazione, non soltanto il singolo dossier.
Anche la qualità dei log di sicurezza e della loro conservazione richiede attenzione. In questo registro, una prova scaduta va etichettata come tale: esiste, ma la sua data o il cambiamento del sistema impedisce di usarla per la conclusione corrente. Chiedete una nuova osservazione e conservate la vecchia prova per la storia della decisione, quando le regole di conservazione lo consentono. Il catalogo dei rischi informatici può aiutare a collegare la lacuna al possibile evento, senza trasformare un documento mancante in un incidente già avvenuto.
Riesaminare e chiudere la decisione provvisoria
Alla data prevista, il revisore controlla che la nuova evidenza copra controllo, sistema, popolazione e periodo richiesti. Se è parziale, aggiorna la conclusione e lascia aperta la parte non provata. Se è sufficiente, registra la verifica, la decisione finale e la rimozione delle restrizioni provvisorie quando appropriate. Non sostituite la riga originale: la cronologia deve mostrare che per un intervallo l’organizzazione ha operato con un’informazione incompleta e quali condizioni ha applicato.
Una scadenza mancata attiva una nuova decisione. Il proprietario spiega il motivo del ritardo e propone un piano; il decisore valuta se l’esposizione è ancora accettabile. L’assenza ripetuta della prova può richiedere di testare direttamente il controllo, di modificare la procedura o di fermare un’attività. Una proroga senza nuova valutazione nasconde l’invecchiamento della premessa originale. Le decisioni dovrebbero essere ricercabili per sistema e proprietario, così che le approvazioni successive non ignorino una riserva ancora aperta.
Il registro è utile quando un terzo può ricostruire la sequenza: prova attesa, motivo della mancanza, conclusione sospesa, verifiche alternative con limiti, scelta temporanea, persona responsabile, data esatta e risultato finale. Non trasforma l’ignoto in certezza. Permette di lavorare in modo proporzionato, mantenendo visibile dove la conoscenza finisce e dove comincia una decisione consapevole.
Controllare la data e la qualità della nuova evidenza
Quando arriva un file, confrontate la sua data di produzione con il periodo che doveva coprire. Un verbale creato oggi può documentare una revisione corrente, ma non dimostra automaticamente che la stessa attività sia avvenuta tre mesi fa. Se si tratta di una ricostruzione storica, indicate quali log o comunicazioni contemporanee la sostengono. Se il documento è stato modificato, mantenete la versione originale e la cronologia delle modifiche quando le regole interne lo consentono. La qualità della prova dipende dalla relazione con l’evento, non solo dall’esistenza del file.
Controllate anche il perimetro. Una prova di accesso a un ambiente di test non chiude la riserva sulla produzione; un rapporto del fornitore può escludere una funzione comprata dall’organizzazione. Se la prova è un campione, chiedete come è stato scelto e quali elementi sono rimasti fuori. La conclusione finale può essere limitata al perimetro realmente osservato. È meglio una decisione circoscritta e vera che un « tutto risolto » impossibile da sostenere.
Rendere visibile il tempo trascorso sotto condizione
Il registro dovrebbe mostrare quanto tempo una decisione è rimasta provvisoria e quante volte è stata prorogata. Non per produrre una graduatoria automatica, ma per individuare riserve che diventano permanenti senza un nuovo giudizio. Una mancata evidenza ripetuta può indicare un problema di responsabilità o di archiviazione, non solo un ritardo occasionale. Il responsabile di sicurezza può esaminare tali casi insieme ai cambi di sistema e ai rilievi d’audit, chiedendo se la procedura di raccolta debba essere riprogettata.
La scadenza e il proprietario non sono dettagli amministrativi: rappresentano la promessa verificabile che l’incertezza sarà ridotta. Se l’azione non è più possibile, ad esempio perché i log storici sono stati cancellati legittimamente, chiudete la ricerca impossibile e decidete su basi nuove. Registrate la perdita di conoscenza, eseguite le verifiche correnti disponibili e valutate se rafforzare la conservazione futura. Non mantenete aperta indefinitamente un task che nessuno può completare, né cancellate il limite dalla storia.