Le imprese chiedono a chi fornisce servizi di cybersecurity un livello di affidabilità misurabile, documentabile e coerente con rischi reali. Una checklist operativa aiuta a evitare lacune costose: contratti chiari, coperture assicurative adeguate, SLA coerenti con i rischi, processi di incident response testati e requisiti di audit verificabili. Ogni voce deve essere concreta, collegata a responsabilità, tempi e prove a supporto.
L’obiettivo è costruire un’offerta che regga a gare, due diligence e verifiche di clienti regolati. Il perimetro di questa checklist è pragmatico: si concentra su requisiti legali aspetti assicurativimodelli di SLA gestione degli incident e requisiti di audit. Ogni elemento include indicazioni operative e controlli minimi per ridurre ambiguità, con un linguaggio contrattuale e tecnico allineato alle aspettative aziendali.
Requisiti legali e contrattuali non negoziabili
La base è un contratto che delimiti servizi, limiti e responsabilità. Indicare con precisione ambito e confini: cosa è incluso, cosa è opzionale, cosa è escluso. Inserire clausole su riservatezza trattamento dati, conservazione dei log e trasferimenti transfrontalieri, con allegati tecnici che esplicitino controlli e standard. Definire un regime di responsabilità e limitazioni coerenti con i rischi; prevedere obblighi del cliente (es. hardening, patching) per evitare attribuzioni improprie. Introdurre clausole di cooperazione in caso di incident e un calendario di revisione tecnica periodica, oltre a un meccanismo di change management e penali calibrate su KPI misurabili.
Assicurazioni: coperture e clausole da verificare
Una polizza cyber coerente con i servizi erogati è un requisito crescente. Verificare massimali, franchigie e retroattività inclusi danni indiretti e costi di ripristino. Allineare la polizza di professional liability alle clausole contrattuali, evitando disallineamenti su responsabilità in solido o subappalto. Inserire certificati assicurativi nell’offerta e comunicare condizioni di notifica sinistri e tempi di reporting. Controllare esclusioni tipiche (attacchi di guerra, atti di dipendenti, fornitori terzi) e predisporre addendum specifici per servizi MSSP o di incident response. Stabilire una procedura interna per la gestione sinistri con referenti, check di evidenze e criteri di attivazione.
Modelli di SLA: struttura, KPI e penali
Uno SLA efficace lega capacità operative a risultati misurabili. Strutturarlo in tre livelli: disponibilità (uptime), tempo di presa in carico (MTTA) e tempo di risoluzione o mitigazione (MTTR). Definire classi di priorità con finestre orarie e canali supporto; includere finestre di manutenzione e esclusioni chiare. Esempi di KPI: uptime 99,9% per piattaforme, MTTA 15 minuti per alert critici, MTTR 4 ore per containment. Collegare penali proporzionali all’impatto e prevedere service credit automatici. Inserire un annex con metriche metodi di misurazione, strumenti di observability e frequenza dei report, oltre a un processo di revisione trimestrale.
Incident response: playbook, comunicazioni e prove
La gestione degli incident richiede un playbook per scenari ricorrenti (ransomware, compromissioni e-mail, esfiltrazioni, DDoS). Ogni scenario deve definire ruoli, escalation, evidenze da raccogliere, containment e comunicazioni interne/esterne. Stabilire un canale di contatto 24/7 e criteri per dichiarare la gravità. Integrare le fasi di forensics e preservazione della catena di custodia, con moduli di consenso e checklist legale. Pianificare esercitazioni almeno annuali su tabletop e test tecnici, con lesson learned e aggiornamento dei controlli. Prevedere un registro incident condiviso, RACI documentato e raccordo con assicurazione e consulenti legali.
Audit, attestazioni e tracciabilità
I clienti richiedono evidenze di conformità e controllo. Predisporre un pacchetto di attestazioni che includa report di vulnerability assessment test di penetration periodici, inventario asset e baseline di configurazione. Fornire accesso a audit trail, change log e ticketing con metriche su SLA. Mantenere un calendario di audit interni ed esterni, con gestione delle non conformità e azioni correttive. Documentare segregazione dei ruoli, gestione privilegi e controllo accessi, oltre a un data retention plan per log di sicurezza. Prevedere diritti di audit del cliente con preavviso, scope concordato e canoni per giornate uomo.
Controlli tecnici minimi per l’onboarding
Prima dell’erogazione, verificare un set di controlli minimi: asset inventory aggiornato, EDR attivo sugli endpoint coperti, gestione patch con finestre concordate, backup cifrati e test di ripristino, MFA per accessi amministrativi, segregazione dei tenant e logging centralizzato. Richiedere al cliente policy minime (password, hardening, onboarding/offboarding) e definire un modello di accesso per fornitori e terze parti. Integrare sistemi di alerting con soglie e SOP, assicurando runbook per operazioni ricorrenti. Collegare questi controlli agli SLA e al playbook di incident, con evidenze iniziali e checklist firmata da entrambe le parti per garantire tracciabilità.
