Maturità · Protezione dei dati sensibili e crittografia avanzata

Questo quadro di riferimento valuta il modo in cui un’organizzazione identifica, classifica e protegge i propri dati sensibili, e come gestisce i meccanismi crittografici che li proteggono. Copre la classificazione dei dati, la cifratura a riposo, in transito e in uso, la gestione del ciclo di vita delle chiavi e dei segreti, le tecniche di anonimizzazione e pseudonimizzazione, la condivisione sicura con terzi, nonché l’anticipazione delle evoluzioni crittografiche. Non si tratta di un controllo tecnico di configurazione, ma di una valutazione delle pratiche di gestione e governance.

In pratica, questi temi sono difficili da presidiare perché la conoscenza è dispersa. La cifratura è decisa dai team infrastruttura, la classificazione dalle funzioni di business, le chiavi da amministratori talvolta esterni. Tre domande bastano a rivelare lo scostamento: sapete quali basi dati contengono dati sensibili, e da quando questo inventario non viene riesaminato? Chi può tecnicamente accedere a una chiave di produzione, e questo accesso è tracciato? Cosa succede se un fornitore detiene sia i dati cifrati sia le chiavi?

Un punto di contesto è necessario. La transizione verso la crittografia post-quantistica è avviata: le autorità di sicurezza, tra cui l’ANSSI, raccomandano l’ibridazione dei meccanismi e la costruzione di un inventario crittografico per preparare le migrazioni. Questo sposta il tema dal registro tecnico a quello del programma di trasformazione, con un inventario da costituire, dipendenze dai fornitori da qualificare e una traiettoria pluriennale da finanziare. Molte organizzazioni hanno preso conoscenza del tema senza aver ancora avviato l’inventario, che ne è il presupposto.

La diagnosi di maturità risponde a una domanda diversa da un audit di conformità. L’audit conclude con uno scostamento o una conformità rispetto a un requisito. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione precisa che fa passare al livello superiore: passare da una classificazione documentata a una classificazione applicata, da una rotazione manuale delle chiavi a una rotazione automatizzata e tracciata. Il risultato non è un verdetto, è una traiettoria quantificata, confrontabile tra business unit e nel tempo.

In Datamensio, il quadro di riferimento è pronto all’uso e modificabile. L’IA adegua gli ambiti, riformula le domande secondo il vostro vocabolario interno, affina i livelli seguendo la logica CMMI, oppure costruisce una declinazione a partire dalla vostra politica di sicurezza e dai vostri standard crittografici esistenti.