Sapere cosa c’è, cosa dipende da cosa e dove intervenire prima.
L’Assessment IT trasforma informazioni distribuite tra persone, fornitori e documenti in un quadro unico. Serve alla direzione per comprendere rischi, dipendenze e priorità prima di approvare nuovi interventi.
Molte aziende conoscono i singoli componenti, ma non il sistema nel suo insieme.
Le credenziali possono essere in mano a più soggetti, i contratti in amministrazione, le configurazioni presso i fornitori e le procedure nella memoria di una persona. Finché tutto funziona, questa frammentazione resta poco visibile. Diventa critica durante un guasto, una migrazione, un cambio di fornitore o un incidente.
Le domande a cui l’assessment deve rispondere.
- Quali sistemi e servizi sono realmente critici per l’operatività?
- Chi ne è responsabile e chi possiede accessi, documentazione e competenze?
- Quali dipendenze possono fermare processi, sedi o reparti?
- Backup e ripristino sono definiti e testati rispetto alle esigenze aziendali?
- I fornitori hanno perimetri, escalation e livelli di servizio comprensibili?
- Quali rischi richiedono un intervento immediato e quali possono essere pianificati?
- Quali contratti, licenze o tecnologie devono essere riesaminati?
- Quali decisioni sono bloccate per mancanza di informazioni?
Un perimetro modulato sul contesto.
- infrastruttura on-premise, cloud e connettività;
- identità, accessi e privilegi;
- endpoint e gestione delle postazioni;
- applicazioni, integrazioni e flussi dati critici;
- cybersecurity e gestione del rischio;
- backup, ripristino e continuità operativa;
- fornitori, contratti, licenze e rinnovi;
- organizzazione, ruoli, escalation e documentazione;
- progetti in corso e debito tecnico;
- indicatori e modalità di reporting alla direzione.
L’Assessment IT non è un penetration test, una certificazione o una verifica legale di conformità. Quando sono necessarie attività specialistiche, queste vengono definite e affidate a competenze adeguate.
Come viene svolto.
-
Definizione del mandato
Obiettivi, perimetro, persone da coinvolgere e informazioni disponibili.
-
Raccolta delle evidenze
Interviste, documenti, contratti, inventari, configurazioni e output degli strumenti già presenti.
-
Analisi e classificazione
Rischi, dipendenze, obsolescenze, responsabilità non chiare e decisioni aperte.
-
Restituzione alla direzione
Quadro sintetico, priorità, motivazioni e alternative.
-
Roadmap iniziale
Azioni, sequenza, responsabilità e prerequisiti.
Gli output utili non sono un elenco di tecnologie, ma strumenti per decidere.
- executive summary per la direzione;
- mappa sintetica dell’ambiente e delle dipendenze;
- registro delle criticità con priorità e motivazione;
- elenco delle decisioni da assumere;
- quick win e misure di contenimento;
- roadmap iniziale con responsabili e prerequisiti;
- elenco delle informazioni mancanti da recuperare;
- proposta di governance successiva, solo quando necessaria.
L’assessment non obbliga a cambiare tutti i fornitori.
Le azioni possono essere eseguite dalle risorse interne, dai partner già presenti o da specialisti selezionati. Il valore dell’assessment sta nel rendere chiaro cosa fare, perché, in quale ordine e con quali evidenze di completamento.
Quando l’azienda ha bisogno di continuità, l’attività può proseguire con un mandato di IT Manager esterno.
Domande frequenti
Quanto dura un Assessment IT?
Dipende dal numero di sedi, sistemi, fornitori, applicazioni e persone coinvolte. La durata viene definita dopo un primo confronto e un perimetro esplicito.
È necessario fornire accessi amministrativi?
Solo quando indispensabili e con modalità concordate. Molte informazioni possono essere raccolte tramite evidenze prodotte dai responsabili tecnici. Accessi e dati devono essere gestiti secondo principio di necessità e tracciabilità.
Riceverò un documento tecnico?
La restituzione include sia il livello decisionale sia gli elementi tecnici necessari a motivare le priorità. Forma e dettaglio dipendono dal perimetro definito.
L’assessment verifica la conformità GDPR?
Può analizzare misure e responsabilità tecniche pertinenti, ma non sostituisce una valutazione legale o il lavoro del DPO e degli altri professionisti coinvolti.