Giornalismo utile per capire, gestire e far crescere un’impresa.
CercaUna valutazione utile va oltre la richiesta di certificati: verifica come vengono protetti i dati, cosa succede in caso di incidente e se il ripristino del servizio è adeguato alla criticità dei tuoi processi.
Integrare un servizio SaaS in un processo critico significa dipendere da un fornitore esterno per la gestione dei dati e la disponibilità operativa. Prima di stipulare il contratto, è opportuno confrontare i suoi controlli e impegni con le reali esigenze dell’azienda. Una presentazione commerciale o una certificazione, da sole, non spiegano cosa accadrà durante un’interruzione né quanto tempo richiederà il ripristino.
Questa checklist aiuta a organizzare la valutazione. Non sostituisce una revisione giuridica o tecnica specifica: i requisiti applicabili dipendono dal settore, dai dati trattati e dalla giurisdizione, aspetti che qui non sono definiti.
Inizia dall’uso che verrà fatto del servizio. Individua i processi che ne dipendono, i dati che vi saranno inseriti e le aree dell’azienda che sarebbero coinvolte se il sistema non fosse disponibile o se le informazioni andassero perse.
La profondità della valutazione deve essere proporzionata a tale dipendenza. Un SaaS che gestisce un’attività secondaria può richiedere una revisione diversa da quella di un servizio che concentra informazioni sensibili o che, in caso di guasto, interrompe una funzione essenziale. Annota anche se esistono alternative temporanee, come procedure manuali o strumenti di riserva, e chi potrebbe attivarle.
Chiedi informazioni concrete sul ciclo di vita dei dati: dove vengono archiviati ed elaborati, chi può accedervi, come viene limitato l’accesso e quali misure sono adottate per proteggere le informazioni durante la trasmissione e l’archiviazione. Chiarisci anche cosa succede ai dati al termine del contratto, compresi i tempi e le modalità di restituzione o cancellazione documentati dal fornitore.
Per quanto riguarda gli accessi, chiedi se sono disponibili l’autenticazione a più fattori, le autorizzazioni basate sui ruoli e i registri delle attività. Non basta che una funzionalità esista: è importante sapere se si applica al servizio oggetto del contratto, chi la gestisce e quali evidenze può fornire il fornitore. Se lo strumento si integra con altri sistemi, includi anche queste connessioni nella revisione.
Richiedi la procedura scritta per rilevare, indagare e gestire gli incidenti di sicurezza. Verifica se individua i responsabili, i canali di contatto e le fasi di escalation, e se spiega come viene comunicato un incidente ai clienti.
Chiarisci le condizioni e i tempi di notifica che il fornitore si impegna a rispettare. Non dare per scontato che una risposta generica soddisfi qualsiasi obbligo dell’azienda: l’ambito dipende dal contratto, dal tipo di incidente e dalle norme applicabili. Se il fornitore presenta metriche o esempi di incidenti precedenti, distingui questi dati dagli obiettivi futuri e chiedi a quale periodo e servizio si riferiscono.
Una politica di backup, da sola, non dimostra che i dati possano essere ripristinati nei tempi necessari all’attività. Chiedi:
Chiedi al fornitore di spiegare i suoi obiettivi di ripristino. L’RTO descrive il tempo obiettivo per ripristinare un servizio; l’RPO indica il punto obiettivo di ripristino dei dati, ossia la quantità di informazioni che potrebbe non essere recuperabile a seconda dello scenario. Confrontali con ciò che l’azienda può tollerare e verifica se si tratta di impegni contrattuali, obiettivi operativi o stime soggette a condizioni.
Esamina l’accordo sul livello di servizio (SLA) e individua come definisce la disponibilità, il periodo di misurazione, le esclusioni e le modalità di comunicazione o compensazione in caso di mancato rispetto degli impegni. Un dato sulla disponibilità, preso isolatamente, non basta a valutare l’impatto: è importante sapere come viene misurato e quali situazioni sono escluse dal calcolo.
La continuità aziendale e il ripristino tecnologico sono aspetti correlati, ma distinti. La prima riguarda il mantenimento delle funzioni essenziali durante l’interruzione; il secondo, il ripristino di sistemi e dati. Chiedi se il fornitore dispone di procedure documentate per entrambi, chi ne è responsabile e quando sono state testate. È inoltre opportuno individuare le attività che, durante un incidente, resteranno a carico dell’azienda, come informare i propri team o attivare processi alternativi.
Per ogni garanzia importante, richiedi documentazione aggiornata e applicabile al prodotto che intendi acquistare. A seconda dei casi, può includere politiche di sicurezza, rapporti di audit o certificazioni, risultati dei test di ripristino, registri delle modifiche e procedure per la gestione degli incidenti. Verifica l’ambito, la data e ogni eventuale riserva riportata nel documento: un’evidenza relativa a un’altra piattaforma o entità del fornitore potrebbe non coprire il servizio valutato.
Registra le risposte e i documenti ricevuti. Se una risposta è incompleta, contraddittoria o non verificabile, annotala come un’incertezza da chiarire, anziché considerarla una garanzia.
Riassumi i risultati in una matrice semplice: requisito, risposta del fornitore, evidenza, impatto per l’azienda e azione da intraprendere. Dai priorità alle lacune che potrebbero esporre dati importanti, interrompere processi essenziali o rendere difficile il ripristino. Questa classificazione permette di confrontare i fornitori e decidere quali aspetti debbano essere risolti prima della stipula del contratto o dell’integrazione.
La revisione non termina con la firma. Se cambiano l’uso del servizio, i dati trattati o le condizioni del fornitore, verifica nuovamente che le garanzie siano ancora adeguate. In caso di dipendenza critica, concorda anche chi controllerà le evidenze e con quale frequenza.
Una guida pratica per definire, misurare e valutare le prestazioni dei processi automatizzati. Impara a stabilire le baseline, a selezionare le metriche di sforzo, qualità e costo e a calcolare il ROI realistico per decidere se mantenere, regolare o annullare l'automazione.
Leggi
Una strategia di backup efficace inizia dando priorità alle informazioni e decidendo quanta perdita e quanto tempo di interruzione l’azienda può tollerare. In questo modo si definiscono la frequenza, l’archiviazione e i test di ripristino.
Leggi
Organizza gli accessi di dipendenti e fornitori in quattro fasi: identificare account e responsabili, rafforzare l’autenticazione, limitare i permessi e revocare gli accessi quando non sono più necessari.
Leggi