Compliance della Legge Federale 152 e VPN nel 2026: dati personali, ISPDn, requisiti di Roskomnadzor — check-list

Introduzione: perché questo tema è attuale e cosa otterrai

Il 2026 ha consolidato un fatto evidente: le reti aziendali non sono solo distribuite, ma realmente senza perimetro. I dipendenti lavorano da casa e da coworking, i fornitori accedono sporadicamente, i servizi sono parzialmente migrati al cloud e lo scambio dati avviene attraverso molteplici tunnel crittografati. In questo contesto, la conformità ai requisiti sui dati personali non è più un semplice adempimento legale, ma una disciplina ingegneristica. Qualsiasi modifica imprudente alla politica VPN può compromettere l’area di localizzazione, influire sul trasferimento transfrontaliero o violare i principi di minimizzazione del trattamento.

Questa guida è il tuo strumento operativo per una completa conformità alla Legge Federale 152 con focus sulla VPN aziendale. Partiremo dai concetti fondamentali fino ad architetture e procedure avanzate: classificheremo gli ISPDn, costruiremo un modello di minacce e una mappa dei contorni, selezioneremo protocolli e configurazioni, collegheremo i requisiti legali con le misure tecnologiche. Riceverai istruzioni passo-passo, check-list per audit, consigli sugli strumenti, casi concreti e risposte a questioni complesse come localizzazione, trasferimenti transfrontalieri e interazione con le autorità di controllo. L’obiettivo è offrirti un quadro pratico per affrontare con sicurezza valutazioni, verifiche interne ed esterne, e scalare rapidamente la maturità di sicurezza e compliance senza interrompere i processi aziendali.

Basi: concetti fondamentali (per principianti)

Termini chiave della Legge Federale 152 e il loro significato per la VPN

• Dati personali (DP) — qualsiasi informazione relativa a una persona fisica identificata direttamente o indirettamente. In ambito IT non sono solo nome e passaporto, ma anche identificatori dispositivi, login, indirizzi, metadata di sessione, registrazioni dei ticket system.
• Categorie speciali e dati biometrici — dati sensibili che richiedono misure di protezione rafforzate e basi giuridiche particolari per il trattamento.
• Titolare del trattamento dei DP — chi determina scopi e mezzi del trattamento. In gruppi aziendali possono esserci più titolari. Da ciò dipendono notifiche, framework contrattuali e architettura.
• Responsabile del trattamento (subincaricato) — soggetto che agisce su mandato del titolare. Fondamentale per definire contratti e limitazioni d’accesso in outsourcing e cloud.
• ISPDn — sistema informativo dei dati personali. Non solo un server, ma un insieme di sottosistemi, segmenti di rete, software e processi in cui i dati personali sono trattati.
• Localizzazione — registrazione primaria e conservazione dei dati dei cittadini russi sul territorio della Russia. Influisce su dove fisicamente e logicamente sono le banche dati, i backup e i punti di uscita.
• Trasferimento transfrontaliero — trasferimento di dati personali verso uno stato estero o un’organizzazione estera. Comporta notifiche, valutazione dell’adeguatezza della protezione, obblighi contrattuali e controllo tecnico dei canali.

VPN come strumento di controllo, non una panacea

La VPN è un metodo per creare un canale di comunicazione protetto sopra reti non sicure. Garantisce la riservatezza e integrità del trasporto, ma non risolve questioni di gestione delle identità, diritti, logging, minimizzazione e localizzazione. La VPN aziendale deve integrarsi nell’architettura ISPDn, essere connessa alla segmentazione e rispettare i confini giuridici del trattamento. La crittografia da sola non rende legittimo il trattamento, e rotte errate possono inavvertitamente espandere i DP oltre confine.

Protocolli e loro caratteristiche (breve)

• WireGuard — minimalista, ad alte prestazioni con uno stack crittografico moderno; ideale per automazione e scenari DevOps.
• OpenVPN — flessibile, standard maturo de facto con un ecosistema ricco e alta compatibilità.
• IPsec/IKEv2 — protocollo industriale spesso scelto per site-to-site e integrazione con apparati di rete.
• L2TP/SSTP — usati in ambienti con limitazioni di compatibilità e policy, ma vanno considerate alternative moderne per nuove implementazioni.

Roskomnadzor, FSTEC, FSB: ruoli

• Roskomnadzor — ente di supervisione per il rispetto della normativa sui dati personali, registro dei titolari, linee guida, ispezioni.
• FSTEC Russia — requisiti di protezione contro accessi non autorizzati e materiali metodologici per i livelli di sicurezza ISPDn.
• FSB Russia — regolamenta SKZI, certifica i mezzi di protezione crittografica, algoritmi GOST.

Per progettare una architettura VPN serve correlare questi ambiti: dove sono trattati i dati personali (contorni operativi e legali), quale livello di protezione ISPDn e misure applicate (organizzative, tecniche, crittografiche), e come verrà gestita la supervisione e la prova di conformità (log, procedure, report).

Approfondimento: aspetti avanzati

Mappatura dei requisiti della Legge Federale 152 sulle misure tecniche

• Legalità e minimizzazione — inventario degli scopi e basi giuridiche; a livello tecnico — segmentazione, ZTNA/SDP, divieto di tunnel ridondanti, controllo rotte, split tunneling su whitelist.
• Sicurezza del trattamento — gestione account e MFA, crittografia dei canali, controllo accessi basato sui ruoli, logging attività e operazioni amministrative, revisione periodica dei permessi.
• Localizzazione — conservazione e trattamento primario in Russia; politiche di rete: priorità ai PoP e gateway russi, divieto di accesso a storage esteri per flussi con dati personali, controllo DNS.
• Trasferimento transfrontaliero — inventario destinatari, notifica, misure contrattuali; controlli tecnici: instradamento tramite gateway approvati, tokenizzazione/pseudonimizzazione pre-trasferimento, crittografia con gestione chiavi in Russia.
• Diritti dei soggetti — processi e SLA di risposta; tecnicamente: tracciamento origine dati, registro trattamenti, chiari responsabili di sistema.

ISPDn: livelli di protezione e contorni

ISPDn ha un livello di protezione definito dalla gravità del danno e dalle minacce rilevanti. A livelli più alti, misure più rigorose: dalla segmentazione e logging a sistemi certificati e appliance crittografiche gestite. Conveniente adoperare il concetto di "contorni": utente, perimetrale, servizio, storage/analisi, amministrazione. La VPN si inserisce come gateway tra il mondo esterno e uno o più contorni. L’idea chiave: ogni contorno ha politiche di accesso proprie, audit e controllo dei percorsi.

Zero Trust e VPN classica

L’approccio classico "fidati dopo l’accesso al perimetro" nel 2026 non basta più. Zero Trust implica verifica continua dell’identità e del dispositivo, principio del privilegio minimo, microsegmentazione e decisioni contestuali. Non elimina la VPN, ma ne modifica il ruolo: VPN diventa trasporto mentre il controllo accessi sale al livello applicativo e identitario. Soluzioni ZTNA/SDP integrano o sostituiscono tunnel spessi, riducendo il rischio di esfiltrazione dati e la superficie di attacco.

Logging e prova di conformità

Compliance significa non solo fare le cose giuste, ma poterlo dimostrare. I log di autenticazione, autorizzazione, inizio/fine tunnel, modifiche politiche, accessi ai servizi target sono la base per controlli interni e rapporti con Roskomnadzor. È importante garantire correlazione end-to-end tra identità (IdP), attività di rete (VPN/SDP) e eventi applicativi (SIEM). Per dati personali di alto livello di protezione aggiungere storage immutabili e controllo integrità dei log.

Chiavi, certificati, algoritmi crittografici

Gestione chiavi è un’area critica: rotazione, conservazione, segregazione accessi amministratori, audit operazioni, verifica indipendente. Per contorni produttivi con requisiti elevati considerare l’uso di SKZI certificati e algoritmi GOST conformi alla categoria ISPDn e normative vigenti.

Pratica 1: inventario dati personali e classificazione ISPDn

Obiettivo del metodo

Raccogliere una visione completa dei flussi di dati personali, identificare titolari e responsabili, isolare gli ISPDn, classificare i livelli di protezione e documentare i confini architetturali in cui opererà la VPN.

Istruzioni passo-passo

1. Scoping degli asset: elenca i sistemi potenzialmente contenenti DP: HR, CRM, Service Desk, mail, storage file, portali partner, BI, backup, app mobili, sviluppo/test.
2. Registro dei trattamenti: per ogni sistema annota scopi, categorie DP, basi legali, tempi di conservazione, ruoli (titolare/responsabile), flussi transfrontalieri.
3. Mappa dei flussi: registra sorgenti e destinatari, protocolli, porte, tipi di cifratura, punti di uscita, servizi intermedi (proxy, broker, SASE).
4. Definizione ISPDn: raggruppa sottosistemi e reti in ISPDn, definisci proprietari e confini (L3/L7), considerando il contorno amministrativo.
5. Classificazione: valuta minacce e impatti per soggetti e titolare, assegna livello di protezione, determina blocco di misure obbligatorie (organizzative + tecniche + crittografiche).
6. Aggiornamento contratti: verifica accordi con responsabili, includi obblighi su DP, misure di sicurezza, notifiche incidenti e requisiti di localizzazione.
7. Nomina dei responsabili: definisci ruoli: proprietario ISPDn, responsabile trattamento DP, amministratore sicurezza, curatore log, referente supervisione.

Check-list degli artefatti

• Registro trattamenti DP con basi legali e tempi di conservazione indicati.
• Schema di rete e percorsi VPN con evidenza contorni di localizzazione.
• Memorandum di assegnazione livelli protezione ISPDn e elenco misure.
• Decreti di nomina responsabili e regolamenti di accesso.
• Modelli di consenso soggetti e procedure di revoca.

Pratica 2: modello minacce e scelta misure di protezione

Obiettivo del metodo

Identificare le minacce rilevanti per ISPDn e configurare VPN e controlli correlati per ridurre probabilità e impatto, rispettando Legge 152 e atti normativi di supporto.

Istruzioni passo-passo per modellazione minacce

1. Individua scenari d’attacco: compromissione credenziali, abuso privilegi, Man-in-the-Middle, instradamento fuori localizzazione, esfiltrazione via tunnel opachi, attacchi ai protocolli crittografici, supply chain.
2. Definisci obiettivi aggressore: accesso a DP, fuga massiva dati, modifica invisibile record, denial of service, detenzione backup.
3. Valuta superficie attacco: client VPN, gateway, broker accessi, IdP, servizi logging e SIEM, interfacce admin.
4. Allinea misure: per ogni scenario definisci contromisure tecniche e organizzative, associa ai livelli di protezione ISPDn.
5. Definisci metriche: tempo medio di rilevazione/risposta, quota accessi admin con MFA, percentuale traffico segmentato, errori autenticazione, esfiltrazioni bloccate/riuscite nei test.

Matrice misure (estratto)

• Compromissione account: MFA, password policy, password vault, autenticazione dispositivo, alert SIEM, accessi Just-In-Time temporanei.
• MITM/vulnerabilità tunnel: protocolli moderni, profili crittografici rigorosi, divieto cifrature deboli, pinning certificati, rotazione automatica chiavi.
• Esfiltrazione: controllo egress, DLP, proxy con categorizzazione, divieto tunnel completi per segmenti DP o whitelist rigorose, fissaggio DNS, monitoraggio anomalie.
• Privilegi: separazione ruoli amministrativi, PAM, registrazione sessioni admin, contorni amministrazione e operation distinti.
• Log e prova: raccolta centralizzata sicura log, controllo integrità, accesso separato a log, retention secondo policy.

Pratica di configurazione VPN aziendale secondo Legge Federale 152

1. Scelta protocollo: per accesso remoto WireGuard o IKEv2/OpenVPN; per site-to-site IPsec/IKEv2. Considera compatibilità, performance, supporto hardware.
2. Crittografia e chiavi: usa schemi moderni, elimina algoritmi obsoleti; imposta rotazione automatizzata chiavi e segregazione accesso materiali chiave.
3. Autenticazione: SSO via IdP aziendale, MFA obbligatoria, dispositivi con attestazione affidabile (MDM/EDR).
4. Instradamento: definisci elenco subnet/nodi destinazione; evita accesso illimitato dopo connessione; segmenta per ruoli e contorni.
5. Split-tunneling: usa con cautela. Per flussi con DP, o tunneling completo verso gateway russi o whitelist stringenti di rotte e DNS.
6. DNS e leak: fissa resolver aziendali, vieta resolver pubblici lato client, implementa DoH/DoT verso server attendibili.
7. Kill-switch: applica policy che interrompono accesso app alla rete se cade il tunnel, rilevante per sistemi con DP.
8. Logging: configura log connessioni, politiche, autenticazione e accesso subnet target; integra con SIEM; rispetta politiche di conservazione e minimizzazione.
9. Controllo dispositivi: implementa profili MDM/EDR, verifica versione OS, cifratura disco, blocco schermo, assenza root/jailbreak.
10. Test esfiltrazione: simula regolarmente tentativi di fuga dati, verifica blocchi proxy/DLP e correttezza rotte.

Pratica 3: localizzazione e trasferimento transfrontaliero

Cos’è la localizzazione in senso di rete

La localizzazione non è solo indirizzo del rack in datacenter. È una modalità di rete e processo in cui la raccolta primaria, registrazione e maggior parte delle operazioni su DP si svolgono in Russia, e i flussi cross-border sono assenti o rigorosamente regolamentati. La VPN influenza direttamente: punto di uscita, routing, risoluzione DNS, proxy — tutto deve rispettare la policy di localizzazione.

Framework passo-passo per localizzazione

1. Inventario sistemi di storage: database base, database di log, backup, code, cache, cubi BI — dove sono collocati fisicamente e logicamente.
2. Punti d’ingresso: applicazioni e API da cui provengono i DP; garantisci che la registrazione primaria avvenga in Russia.
3. Uscite e mirroring: valuta repliche e canali di backup; limita o cifra con chiavi in Russia; applica pseudonimizzazione prima dell’export.
4. Policy VPN/proxy: per utenti e servizi con DP — gateway e PoP in Russia; whitelist di indirizzi/domini; divieto di egress arbitrario.
5. Documentazione: fissa tutto nel registro trattamenti, schemi rete e regolamenti di localizzazione; concorda con DIT/IS e legali.

Trasferimento transfrontaliero: controllo e prova

• Registro flussi cross-border: destinatario, paese, scopi, base giuridica, misure protezione, tempi, categorie DP, contatto destinatario.
• Notifica e contratti: rispetta obbligo notifica preventiva e inserisci nei contratti obblighi protezione e notifiche incidenti, oltre a requisiti sul luogo di trattamento per subappaltatori.
• Misure tecniche: crittografia in transito, chiavi sotto controllo in Russia, pseudonimizzazione ove possibile, audit delle rotte.
• Monitoraggio: impostazioni SIEM per tracciare direzioni cross-border, allarmi su paesi/ASN sconosciuti, validazione periodica geolocalizzazione gateway.

Pratica 4: processi operativi, incidenti e interazione con le autorità

Fondamenta processuale

• Gestione accessi: richieste, giustificazioni, revisione periodica, revoca diritti, JIT per accessi amministrativi.
• Formazione: training regolari per admin, DevOps e utenti con focus su routing, localizzazione e gestione DP.
• Cambiamenti e release: Change Advisory per policy di rete, test routing e verifica log prima/dopo modifiche.
• Audit e controllo: controlli interni su check-list, test di fuga dati, confronto log e registri.

Incidenti: dalla classificazione alla forensics

1. Classifica: sospetto/fuga confermata DP, indisponibilità servizi, accesso non autorizzato.
2. Isola: blocco temporaneo account/tunnel, riavvio forzato chiavi/certificati, segmentazione.
3. Documenta: snapshot configurazioni, esportazione log con attestazione integrità, conservazione indipendente.
4. Comunica: informa responsabili e legale, se necessario soggetti DP e autorità nei tempi e modi previsti da policy e normativa.
5. Impara: post-mortem, aggiornamento regolamenti, esercitazioni team, revisione politiche.

Prontezza alla verifica

• Registro trattamenti e ISPDn aggiornati.
• Schema rete e VPN con annotazioni di localizzazione e percorsi cross-border.
• Log autenticazioni, politiche e accesso storage DP.
• Framework contrattuali con responsabili, policy e standard.
• Risultati audit interni e piano correzioni.

Errori tipici: cosa NON fare

• VPN condivisa senza IP dedicato: log misti e impossibilità di provare rotte per localizzazione e audit.
• Tunnel completo “così com’è”: egress incontrollato, perdita della localizzazione e trasferimento transfrontaliero non gestito.
• Mancanza di MFA e controllo dispositivi: compromissione account e facile escalation privilegi.
• Assenza registro trattamenti: incertezza di legittimità e minimizzazione, discrepanze tra documenti legali e realtà di rete.
• Log disattivati: impossibilità di provare conformità, difficoltà di forensics, alti rischi di contestazioni.
• Rotta unica per admin e utenti: fuga di chiavi admin e aumento impatti negativi.
• BYOD senza MDM: dispositivi non affidabili e fughe tramite app non controllate.
• Cifrature deboli e protocolli obsoleti: vulnerabilità crittografiche e MITM.

Strumenti e risorse: cosa usare

Layer di rete e accesso

• Server VPN: WireGuard, OpenVPN, IPsec/IKEv2 per scenari flessibili; per livelli elevati di protezione ISPDn considera soluzioni certificate con algoritmi GOST ove necessario.
• ZTNA/SDP: agenti leggeri e broker che implementano accesso a livello di app e ruolo.
• Proxy e controllo egress: categorizzazione, policy per paesi/ASN, ispezione TLS con eccezioni per servizi sensibili.

Controllo identità e dispositivi

• IAM/IdP e MFA: Single Sign-On e autenticazione multifattoriale rigorosa.
• MDM/EDR: verifica stato dispositivo, cifratura dischi, divieto root, agenti sicurezza obbligatori.
• PAM: controllo e registrazione sessioni admin, concessione privilegi temporanei.

Osservabilità e prova

• SIEM: raccolta e correlazione log VPN/SDP, IdP, app e infrastruttura di rete.
• Storage log: layer immutabili, controllo integrità, segregazione accesso.
• DLP: prevenzione fughe, specialmente ai confini e-mail e egress.

Consiglio pratico per piloti

Per piloti rapidi e POC è comodo distribuire un server VPN aziendale personale con IP dedicato per validare immediatamente rotte di localizzazione, policy egress e logging. Il servizio vpn.how è ideale: offre server VPN personali, non condivisi, con IP unici, supporta WireGuard, OpenVPN, IKEv2, L2TP, SSTP, scelta di geolocalizzazione (Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Josè, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen, Stavanger), accetta carte RF (incluso Tinkoff, Ozon), SBP, USDT/BTC, tariffe da 490 ₽ al giorno e 2490 ₽ al mese con sconti per periodi lunghi, avvio server in circa 5 minuti dopo pagamento, politica no-log. Per ambienti produttivi con elevati requisiti DP valuta infrastrutture proprietarie o VPN certificate GOST in base al livello ISPDn.

Casi e risultati: esempi reali di applicazione

Caso 1: e-commerce, team distribuito

Problema: dipendenti e fornitori connessi tramite VPN condivisa con tunnel completo, egress tramite PoP esteri, parte pipeline BI replicata su cloud esteri per analytics. Rischi: violazione localizzazione, trasferimento transfrontaliero incontrollato, carenza di evidenza accessi.

Soluzione: inventario DP e mappatura flussi; pool di accesso separati per utenti e admin; migrazione a WireGuard con SSO e MFA; controllo egress tramite gateway russi; tokenizzazione identificativi personali prima di invio a analytics; integrazione log VPN, IdP e app su SIEM; test regolari esfiltrazione.

Risultati in 90 giorni: traffico DP uscente dalla RF ridotto a 0 senza eccezioni giustificate; tempo medio concessione accessi ridotto del 40% grazie a JIT; investigazione incidenti accelerata del 55% per correlazione log; verifica authority superata senza prescrizioni, osservazioni risolte in 2 settimane.

Caso 2: azienda manifatturiera con fornitori

Problema: fornitori con accesso a sistemi interni di contabilità; dispositivi misti; logging parziale; contorno admin non separato.

Soluzione: introduzione ZTNA per accesso utente (accesso orientato a app), tunnel VPN IPsec per site-to-site; contorno amministrazione separato con PAM; profili MDM con attestazione dispositivi; logging in storage immutabile; categorizzazione egress.

Risultati: 100% azioni admin tramite sessioni PAM registrate; 0 incidenti critici in 12 mesi; onboarding fornitori accelerato del 60%; audit interno positivo e miglioramento maturità sicurezza.

Caso 3: R&D internazionale con cross-border

Problema: scambio DP con centri esteri per supporto utenti; rete tunnel complessa, log separati, localizzazione non ottimale.

Soluzione: registro flussi cross-border, abbinamento misure contrattuali; pseudonimizzazione DP prima invio; crittografia con chiavi in RF; broker centralizzato uscite con categorizzazione per paese; revisione policy DNS; implementazione SIEM con geo-alert.

Risultati: mappa trasferimenti chiara e dimostrabile; risparmio 20% canali grazie a ottimizzazione routing; neutralizzate 3 esfiltrazioni in test pilota; buona collaborazione con autorità.

FAQ: 10 domande complesse

1. Serve la VPN per essere conformi alla Legge 152?

La VPN non è di per sé un requisito della Legge 152, ma spesso necessaria come mezzo di protezione dei canali nelle connessioni remote e integrazioni. La compliance è un insieme di misure: documenti legali, processi e controlli tecnici, di cui la VPN è solo una parte.

2. WireGuard/OpenVPN bastano per contorni con requisiti elevati?

Per molti scenari sì, se configurati correttamente e con un ambiente adeguato. Per ISPDn con esigenze di SKZI certificati può essere necessario l’uso di soluzioni con algoritmi GOST e componenti certificate. La scelta dipende da classificazione ISPDn e modello di minacce.

3. Come gestire localizzazione se il team lavora dall’estero?

La conservazione e il trattamento primario dei dati dei cittadini russi devono avvenire in Russia. Il team remoto si collega a risorse in RF tramite gateway controllati con policy egress, evitando se possibile di trasferire dati oltre confine. Per scenari cross-border giustificati: registro, notifiche, misure contrattuali e tecniche.

4. Si possono conservare log con identificatori personali?

Sì, ma anche questo è trattamento di dati personali. Applica minimizzazione (pseudonimizzazione, hashing), segregazione accessi, limiti temporali, finalità e basi legali. I log devono essere protetti e la loro integrità verificabile.

5. Quando usare lo split-tunneling?

Solo con whitelist chiare di rotte e DNS. Per flussi di DP che richiedono localizzazione, usa gateway russi con tunneling completo o liste bianche rigorose. Evita tunnel completi di default verso PoP esteri.

6. Perché ZTNA è meglio della VPN classica?

ZTNA riduce la superficie di attacco: l’accesso è concesso non alla rete, ma alla singola applicazione secondo contesto e ruolo. Supporta minimizzazione e audit più semplici, riduce rischio esfiltrazione. Spesso ZTNA e VPN convivono.

7. Quanto tempo conservare i log VPN?

Dipende da politiche interne, requisiti investigativi e contrattuali. In pratica da 6 a 24 mesi per eventi chiave, sempre applicando minimizzazione e controllo accessi.

8. Serve un IP dedicato sulla VPN?

Per la compliance è comodo: semplifica prova rotte, separazione log, configurazioni egress e whitelist per servizi esterni.

9. Come lavorare con un responsabile trattamento estero?

Valuta paese e misure di protezione, formalizza contratto con obblighi su dati personali e notifiche incidenti, registra trasferimento, garantisci crittografia e log routing, applica pseudonimizzazione prima di invio.

10. Come misurare maturità compliance attorno alla VPN?

Metriche: quota accessi con MFA, percentuale traffico DP fuori RF (obiettivo 0 o eccezioni documentate), tempi onboarding/revoca accessi, copertura dispositivi MDM/EDR, completezza log e quota eventi correlati in SIEM, successo test esfiltrazione.

Conclusione: sintesi e prossimi passi

La compliance alla Legge Federale 152 nel 2026 è un lavoro ingegneristico all’incrocio tra diritto, sicurezza e operation. La VPN ha un ruolo importante, ma vincono chi costruisce il sistema: registro trattamenti, contorni ISPDn chiari, modello minacce, separazione accessi admin e utenti, rotte gestite, osservabilità e prontezza alla verifica. Parti da inventario e mappa flussi, poi classifica ISPDn e collega requisiti legali a misure tecniche. Un pilota rapido ti permette di testare ipotesi su rotte e log reali, poi procedi alla standardizzazione: ZTNA dove riduce superficie attacco, meccanismi crittografici certificati per contorni elevati, ciclo continuo di audit e miglioramento.

Piano 30-60-90

• 30 giorni: registro trattamenti, schema rete e rotte, politiche VPN base, MFA, MDM, integrazione log SIEM.
• 60 giorni: modello minacce, controllo egress e policy DNS, separazione contorni, lancio ZTNA per app prioritarie, regolamenti incidenti.
• 90 giorni: registro cross-border e framework contrattuale, test di esfiltrazione, storage immutabili log, audit interni e piano miglioramento.

L’essenziale: mantieni il controllo su dati, rotte e prova di conformità. Solo così verifiche e crescita business andranno lisce.