Introduzione

Misurare lo stato di conformità non è solo un obbligo regolatorio: è uno strumento operativo per ridurre i rischi, orientare investimenti e dimostrare diligente governance. Questo articolo propone un set di KPI selezionati, esempi di dashboard e una proposta di frequenze di reporting per tre livelli aziendali: operativo, direzionale e board.

Principi guida per scegliere KPI utili

  • Rilevanza: ogni KPI deve riflettere un obbligo normativo o un rischio concreto (es. tempo di ripristino dopo un incidente).
  • Misurabilità: preferire indicatori quantitativi con definizioni univoche e fonti dati tracciabili.
  • Azionabilità: il KPI deve suggerire azioni concrete (es. aumentare test di backup, aggiornare policy).
  • Frequenza adeguata: evitare rumore operativo o report troppo rari per decisioni tempestive.
  • Soglia e tolleranza: definire livelli di allerta chiari (verde/giallo/rosso) e le azioni corrispondenti.

KPI fondamentali (descrizione, metodo di misura, fonte dati suggerita)

  1. Tempo medio di ripristino (MTTR) - Disponibilità e resilienza
  • Descrizione: tempo medio tra rilevazione incidente e ripristino del servizio critico.
  • Metodo: somma dei tempi di ripristino diviso per numero di incidenti rilevanti nel periodo.
  • Fonte: ticketing, SIEM, registri di incident response.
  1. Tempo medio di rilevamento (MTTD)
  • Descrizione: tempo medio tra evento dannoso e sua identificazione.
  • Metodo: somma dei tempi di rilevamento diviso per numero di eventi rilevati.
  • Fonte: SIEM, log, strumenti di detection.
  1. Percentuale di asset critici coperti da inventario e classificazione
  • Descrizione: quota di asset identificati e classificati come critici rispetto al totale stimato.
  • Metodo: asset critici in inventory / totale asset critici previsti.
  • Fonte: CMDB, asset management.
  1. Percentuale di conformità alle policy di patching
  • Descrizione: quota di sistemi che rispettano le finestre di patch previste.
  • Metodo: sistemi aggiornati / totale sistemi soggetti a patch.
  • Fonte: strumenti di gestione delle patch, endpoint management.
  1. Percentuale di backup verificati con successo
  • Descrizione: quota di backup che superano test di ripristino programmati.
  • Metodo: backup verificati / backup programmati.
  • Fonte: tool di backup, report test di ripristino.
  1. Numero di vulnerabilità critiche non mitigate oltre soglia
  • Descrizione: vulnerabilità con severity alta/critica non risolte oltre SLA interno.
  • Metodo: conteggio vulnerabilità > soglia di tempo.
  • Fonte: vulnerability scanner, gestione ticket.
  1. Percentuale di personale formato su privacy e sicurezza
  • Descrizione: quota di dipendenti che hanno completato formazione obbligatoria.
  • Metodo: partecipanti / totale dipendenti target.
  • Fonte: LMS, HR.
  1. Incidenti segnalati alle autorità e tempi di notifica
  • Descrizione: numero e percentuale di eventi notificati entro i termini richiesti (secondo procedure interne).
  • Metodo: notifiche effettuate entro soglia / notifiche totali.
  • Fonte: registro notifiche, incident response.
  1. Compliance checklist per requisiti normativi chiave
  • Descrizione: stato (completo/parziale/non conforme) delle attività richieste da normative (es. DPIA, analisi di rischio, controlli tecnici e organizzativi).
  • Metodo: percentuale di requisiti completati.
  • Fonte: audit, gap analysis.

Dashboard e visualizzazioni consigliate

Livello operativo (team SOC, IT, compliance operativo)

  • Focus: dettagli, trend giornalieri/settimanali, azioni aperte.
  • Widget consigliati: elenco incidenti aperti con priorità e MTTR, numero di patch in attesa, vulnerabilità oltre SLA, interruzioni/impact by service.
  • Frequenza reporting: giornaliera per SOC, settimanale per team IT.

Livello direzionale (CISO, CFO, risk manager)

  • Focus: trend mensili, KPI aggregati per servizio/business unit, esposizione al rischio residuo.
  • Widget: MTTR e MTTD trend, percentuale asset critici protetti, stato test backup, stato conformità per normative principali.
  • Frequenza reporting: mensile.

Livello board (Alta direzione, CDA)

  • Focus: quadro sintetico, rischi residui e impatto sul business, decisioni strategiche.
  • Widget: heatmap rischio (probabilità x impatto), indicatori di business continuity, stato readiness per obblighi normativi, esposizione finanziaria stimata del rischio.
  • Frequenza reporting: trimestrale o su richiesta per eventi rilevanti.

Esempio di soglie e azioni (modello verde/giallo/rosso)

  • Verde: KPI entro target operativo. Azione: monitoraggio standard.
  • Giallo: KPI vicino limite. Azione: escalation operativa, piano correttivo a 30 giorni.
  • Rosso: KPI fuori soglia. Azione: escalation dirigenziale, intervento immediato e report formale al board.

Ruoli e responsabilità nel processo di reporting

  • Owner del KPI: persona responsabile della definizione, raccolta dati e qualità del KPI.
  • Data steward: garantisce integrità delle fonti di dato.
  • Consumer: destinatari del report (SOC, CISO, CFO, Board).
  • Audit interno: verifica periodica della correttezza dei KPI e delle metriche.

Consigli pratici per l'implementazione

  • Definire una nomenclatura condivisa (es. MTTR definito come tempo dalla prima evidenza all'effettivo ripristino).
  • Automatizzare estrazione e trasformazione dei dati (ETL) per ridurre errori manuali.
  • Conservare la storia dei KPI per analisi trend e dimostrare miglioramento continuo.
  • Collegare KPI a SLA contrattuali e obblighi regolatori per evidenziare gap.
  • Testare dashboard con esempi reali prima di distribuirle a livelli dirigenziali.

Conclusione

Un set bilanciato di KPI, dashboard differenziate per livello e una chiara catena di responsabilità trasformano la reportistica di conformità da esercizio formale a leva strategica. Iniziando da pochi indicatori ben definiti e ampliando progressivamente il perimetro si ottengono risultati sostenibili e dimostrabili.