Esiste una responsabilità formalmente assegnata per la sicurezza informatica? *

Il management riceve report periodici sul livello di sicurezza informatica? *

Esistono policy di sicurezza documentate e comunicate all’organizzazione? *

La sicurezza informatica è integrata nei processi di gestione del rischio aziendale? *

Sono definiti ruoli e responsabilità per la gestione degli incidenti informatici? *

Esiste un inventario aggiornato degli asset IT (server, endpoint, applicazioni)? *

I sistemi informatici sono gestiti con un processo strutturato di patch management? *

Le infrastrutture di rete sono segmentate per ridurre l’impatto di eventuali attacchi? *

Le configurazioni dei sistemi sono gestite attraverso standard di sicurezza definiti? *

Sono utilizzati strumenti per monitorare la sicurezza dell’infrastruttura IT? *

È utilizzata l’autenticazione multifattore (MFA) per l’accesso ai sistemi critici? *

Gli accessi ai sistemi sono gestiti secondo il principio del least privilege? *

Esiste un processo strutturato per la gestione degli account utente (creazione, modifica, revoca)? *

Gli accessi privilegiati sono monitorati e controllati? *

Gli accessi ai sistemi vengono revisionati periodicamente? *

Sono utilizzati strumenti di protezione endpoint (antivirus, EDR)? *

Sono implementati sistemi di monitoraggio per rilevare attività sospette? *

Esiste un processo strutturato di vulnerability management? *

Sono effettuati periodicamente penetration test o security assessment tecnici? *

L’organizzazione dispone di strumenti o servizi per la rilevazione delle minacce informatiche? *

Esiste un piano di incident response formalizzato? *

Sono definiti ruoli e procedure per la gestione degli incidenti cyber? *

L’organizzazione dispone di procedure di backup strutturate? *

I backup vengono testati periodicamente? *

Esiste un piano di business continuity o disaster recovery? *

È stata effettuata una valutazione formale del rischio cyber dell’organizzazione? *

La sicurezza informatica è allineata a standard o normative (ISO 27001, NIS2, ecc.)? *

La sicurezza dei fornitori IT o dei partner tecnologici viene valutata? *

Sono previsti programmi di formazione sulla sicurezza per i dipendenti? *

L’organizzazione monitora periodicamente il livello di rischio cyber? *

Negli ultimi 12 mesi il tema della sicurezza informatica è stato discusso a livello di direzione aziendale? *

La vostra azienda ha ricevuto richieste di valutazione cyber da parte di clienti, partner o assicurazioni? *

Negli ultimi 24 mesi la vostra organizzazione ha sperimentato uno di questi eventi? *