Monitoraggio continuo della conformità

1) Cos'è il monitoraggio continuo della conformità

• Ridurre i controlli manuali e il fattore umano.
• Riduce le violazioni TTD/MTTR.
• Assicurarsi che lo stato sia in qualsiasi momento.
• Accelerare l'implementazione delle modifiche con policy-as-code.

2) Portata (scope) CCM

Accessibilità e identità (IAM/IGA): ruoli ridondanti, accessibilità senza proprietario.
Dati e privacy: Retence/TTL, occultamento, Legale Hold, DSAR-SLA.
Infrastruttura/cloud/IaC: deriva di configurazione, crittografia, segmentazione.
Prodotto/codice/CI-CD: segreti nei repository, SCA/SAST/DAST, licenze OSS.
Transazioni/AML: sanzione/screening RR, regole di anomalie, TR/SAR.
Operazioni: registri di verifica, backup e ripristino, vulnerabilità.

3) Architettura mirabile CCM

1. Raccolta dei segnali: agenti e connettori (cloud, database, logi, SIEM, IAM, CI/CD, DLP, posta/archivio chat).

2. Regolazione e arricchimento: Bus di eventi (Kafka/Bus) + ETL/ELT nelle vetrine Compliance.

3. Criteri-come-codice (CaC): repository YAML/Rego/Criteri con versioni, test e gelosie.

4. Motore regole (stream/batch) - Calcola le violazioni, la priorità e il rischio-scansione.

5. Orchestrazione: ticketing/SOAR + escalation RACI, auto-rimediazione, estratto SLA.

6. Evidence/WORM: manufatti invariati (loghi, istantanee di configure, report).

7. Dashboard e report: heatmap, KPI/SLO, scarichi regolatori.

4) Criteri-come-codice: mini-schemi

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Controlli normativi standard

6) Metriche e SLO

Coverage:% di sistemi/dati sotto monitoraggio (obiettivo 90%).
Controllori MTTD/MTTR: tempo medio fino al framework/risoluzione.
Drift Rate: deriva di configurazioni/mes.
False Positive Rate: percentuale di falsi funzionamenti secondo le regole.
Check-Out Time: tempo di preparazione evidence (obiettivo: orologio).
DSAR SLA:% chiuso in tempo; La mediana della risposta.
Access Hygiene: percentuale di diritti obsoleti Chiusura delle violazioni SoD.

7) Processi (SOP) CCM

1. Identificazione dei requisiti della matrice «regolamentazione e controllo della metrica ».
2. Progettazione di regole policy-as-code, test, PR/review, versioning.
3. Espande la convalida staging, quindi prod con la feature flag.
4. Monitoraggio e alert di priorità (sec/impatto), rumore, deduplicazione.
5. Remediation → playbook auto + ticket ai proprietari; Escalation SLA.
6. Evidence → le foto periodiche; WORM/immutability; dashboard hash.
7. Rivalutazione, sintonizzazione trimestrale delle regole, analisi FPR/TPR, A/B comparazioni.
8. Formazione del controllo, delle istruzioni e delle cartelle di esclusione (waivers).

8) Ciclo di vita dell'alert

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Per ogni passo, il proprietario, la durata, le misure adottate, gli artefatti delle prove.

9) Integrazioni

GRC - requisiti, rischi, controlli, campagne di riabilitazione, conservazione di manufatti.
SIEM/SOAR - Correlazione eventi, playbook automatici.
IAM/IGA - certificazione, SoD, RBAC/ABAC, ciclo di vita della disponibilità.
CI/CD/DevSecOps - gate di corrispondenza, SAST/DAST/SCA, segreto-scan.
Data Platform - vetrine «Compliance», catalogo/lineage, maschera.
DLP/EDRM - etichette di sensibilità, disabilitazione, registri.
Ticketing/ITSM - SLA, escalation, report su proprietari e comandi.

10) Dashboard (set minimo)

Compliance Heatmap.
SLA Center (DSAR/AML/PCI/SOC2, scadenze).
Access & SoD (ruoli tossici, accessibilità dimenticata).
Retention & Deletion (violazioni TTL, blocchi Legali Hold).
Infra/Cloud Drift (incongruenze IaC/reali).
Incidents & Findings (trend di ripetizione, efficacia remediation).

11) Esempi di regole (SQL/pseudo)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Ruoli e RACI

13) Gestione delle eccezioni (waivers)

Richiesta formale con giustificazione e data di scadenza.
Valutazione dei rischi e controlli di compensazione.
Promemoria di revisione automatica.
Riflesso nel report (trasparenza per il revisore).

14) Privacy e sicurezza in CCM

Riduce al minimo i dati nelle vetrine e nei fogli (revisione PII).
Separazione dei doveri, privilegi minori.
Immutability (WORM/S3 Object Lock) для evidence.
Crittografia dei report (catene hash).
Controllo dell'accesso e registrazione degli artefatti.

15) Assegno fogli

Avvio CCM

• La matrice «regolamentazione del controllo della metrica» è concordata.
• Sorgenti di segnale chiave collegate.
• I criteri sono descritti in codice, coperti da test e gelosia.
• Inclusi i dashboard e gli alert; definito da SLO/SLA.
• L'archivio evidence (immutability) è configurato.
• I proprietari sono addestrati; è stato definito il processo waivers.

Prima dell'udienza

• Le versioni dei criteri e le modifiche sono aggiornate.
• Effettuato dry-run selezioni evidence.
• Rimediazione e eccezioni chiuse.
• Sono state compresse le metriche Coverage/MTTD/MTTR/Drift.

16) Antipattern

Controlli di verifica anziché controlli costanti.
Regole rumorose senza priorità e deduplicazione.
Regole senza versioning o test.
Monitoraggio senza proprietari e SLA.
Evidence nelle posizioni modificabili/senza fissaggio hash.

17) Modello di maturità CCM (M0-M4)

M0 Manuale: controlli sporadici, report in Excel.
M1 Strumentale: telemetria parziale, regole singole.
M2 Display automatico: controlli costanti, SLO di base e alert.
M3 Orchestrated: SOAR, auto-rimediazione, «audit-ready» in qualsiasi giorno.
M4 Continuous Assurance - Controlli SDLC/Vand + Controllo automatico.

18) Articoli wiki collegati

Automazione della compilazione e del reporting

Legale Hold e congelamento dei dati

Privacy by Design e minimizzazione dei dati

Grafici per la conservazione e l'eliminazione dei dati

Controllo e certificazione PCI DSS/SOCC 2

Incidente-gestione e forenseria

Totale

CCM è il polso di conformità dell'organizzazione: i criteri sono espressi dal codice, i segnali scorrono in continuazione, le violazioni sono visibili istantaneamente, le prove vengono raccolte automaticamente e il controllo diventa una routine operativa anziché un incendio.