Conformità domini PA / valutazione e lacune
La conformità di un dominio PA non è uno stato che si dà per acquisito: va misurata. dotNice verifica lo stato area per area, individua la lacuna tipica e definisce il rimedio, producendo un fascicolo che regge a un controllo invece di una dichiarazione.
Molti enti danno la conformità del proprio dominio per acquisita perché è stata impostata una volta. Ma la conformità è uno stato che cambia: una chiave smette di firmare, un fornitore modifica una configurazione, un'evidenza non viene aggiornata. Una valutazione misura lo stato reale area per area, distingue il conforme dal parziale dal non conforme, e per ogni lacuna indica il rimedio — così la conformità diventa un fascicolo difendibile e non una dichiarazione che cade alla prima verifica.
La valutazione parte dallo stato di fatto: per ogni area si verifica se l'obbligo è soddisfatto, con quale evidenza e con quale data. È diverso dal sapere quali sono le regole: qui conta cosa è effettivamente in essere oggi sul dominio dell'ente, non cosa dovrebbe esserci in teoria.
Le non conformità ricorrono: un DNS non firmato, una posta non autenticata, una titolarità non aggiornata, un'evidenza scaduta. dotNice riconosce le lacune tipiche e le distingue da quelle specifiche dell'ente, così l'attenzione va dove c'è davvero un'esposizione e non su un elenco indistinto.
Ogni lacuna si chiude con un rimedio concreto e si dimostra con una prova: un record da pubblicare, una configurazione da correggere, un documento da aggiornare. Il risultato è un fascicolo che la direzione può portare a un controllo interno o a una verifica, con lo stato di ciascuna area e cosa serve per renderla conforme.
Modello operativo
La conformità di un dominio PA si riconduce a poche aree valutabili, ognuna con un modo di verificarne lo stato, una lacuna che ricorre e un rimedio. Lette insieme trasformano "siamo conformi" in un fascicolo misurato. La matrice è lo strumento con cui direzione e ufficio legale vedono, per area, dove l'ente è e cosa manca.
| Area | Come si verifica | Lacuna tipica | Rimedio |
|---|---|---|---|
| Titolarità | Dati ente, RTD, atti | RTD non aggiornato | Aggiornare titolarità |
| Sicurezza DNS | Stato DNSSEC e firma | Zona non firmata | Attivare DNSSEC |
| Posta autenticata | SPF, DKIM, DMARC | DMARC a p=none | Applicare il rifiuto |
| Monitoraggio | Avvisi e registro modifiche | Nessuna evidenza recente | Attivare monitoraggio |
Daresti per scontata la conformità del tuo dominio davanti a un controllo? Misurala area per area prima che lo faccia qualcun altro.
Richiedi una valutazione di conformitàContesto direzionale
La conformità del dominio è una decisione di rischio e responsabilità. La direzione dell'ente dovrebbe arrivare al primo confronto sapendo quali aree si presumono conformi, quali evidenze esistono e con quale data, e quale sarebbe l'esposizione se un controllo trovasse una lacuna. Significa anche distinguere una non conformità formale da una che è anche un rischio tecnico reale. Il modulo registra quali aree sono presidiate e quali dotNice deve ancora misurare.
Assegnare presto i responsabili rende la valutazione azionabile. L'RTD e la direzione possiedono la responsabilità di conformità; l'IT possiede DNS e posta; l'ufficio legale possiede titolarità e adempimenti documentali. Un'area può risultare conforme nella percezione interna ma priva di evidenza aggiornata: è la lacuna che la valutazione fa emergere, e dotNice coordina questi ruoli senza sostituirli.
Qualificazione
Per RTD, CIO, CISO e ufficio legale, il punto di partenza utile è una decisione concreta più che una richiesta generica. Dovrebbe indicare quali aree si presumono conformi, quali evidenze esistono, quali lacune sono note e quale esposizione comportano. Con questi elementi dotNice distingue una valutazione circoscritta da una misurazione completa, da un intervento su un'area non conforme o dalla produzione delle evidenze mancanti — e raccomanda con chiarezza cosa misurare, correggere e documentare.
La valutazione dà il massimo quando chi richiede sa descrivere lo stato percepito: quali aree si ritengono a posto, quali evidenze sono disponibili, chi possiede le azioni tecniche e quale gruppo approva il passo successivo. Una richiesta è qualificata quando indica le aree e lo stato di evidenza. Il risultato è una decisione circoscritta — un fascicolo di conformità con lacune, rimedi e responsabili — non un catalogo di servizi.
Il costo dell'attesa va nello stesso registro. Una conformità presunta ma non misurata diventa un rilievo in un controllo, e una non conformità tecnica — DNS non firmato, posta falsificabile — è anche un'esposizione reale nel frattempo. Quantificare l'impatto — rilievo formale, rischio tecnico, fascicolo da ricostruire — è ciò che trasforma la conformità da affermazione a decisione con un responsabile e una scadenza.
Percorso operativo
La valutazione è una sequenza ordinata: misurare lo stato per area, individuare le lacune, definire i rimedi, produrre le prove. Contatta il gruppo dotNice per misurare la conformità del dominio, chiudere una lacuna nota o costruire il fascicolo pronto per la verifica.
Contatti
Descrivi quali aree si ritengono conformi, quali evidenze esistono e quali lacune sono note. Un CIO o la direzione dell'ente può usare il modulo di richiesta per qualificare una valutazione e prepararla. La richiesta è presa in carico dagli specialisti dotNice e instradata al gruppo competente.