${[
{ titolo:'Scoping — Definizione del perimetro ISMS (§4.3)', freq:'Una tantum + revisione annuale', come:'Definire esattamente quali informazioni, sistemi, sedi e processi rientrano nell\'ISMS. Documentare chiaramente cosa è incluso ed escluso e la motivazione. Il perimetro può essere tutta l\'azienda o solo una divisione.', docs:'Documento di scoping ISMS', warn:'Un perimetro troppo ristretto può essere contestato dall\'ente di certificazione' },
{ titolo:'Risk Assessment (§6.1.2)', freq:'Annuale + aggiornamento su eventi', come:'1) Inventariare tutti gli asset informativi (hardware, software, dati, persone, sedi). 2) Identificare le minacce e vulnerabilità per ogni asset. 3) Calcolare il rischio (probabilità × impatto). 4) Classificare: rischi accettabili vs da trattare. Usare la sezione "Rischi" di questo gestionale.', docs:'Inventario asset, registro rischi, matrice di valutazione', warn:'Documentare il metodo di valutazione del rischio e applicarlo coerentemente' },
{ titolo:'Risk Treatment Plan — Piano di trattamento (§6.1.3)', freq:'Annuale, aggiornamento continuo', come:'Per ogni rischio non accettabile scegliere: Mitigare (implementare controllo), Trasferire (assicurazione), Evitare (eliminare attività), Accettare (con firma del responsabile). Documentare l\'azione, il responsabile, la scadenza e il rischio residuo atteso.', docs:'Piano di trattamento rischi (RTP)', warn:'' },
{ titolo:'Dichiarazione di Applicabilità — SoA (§6.1.3d)', freq:'Annuale', come:'Per tutti i 93 controlli dell\'Allegato A specificare: Applicabile/Non applicabile, Motivazione, Stato di implementazione. È il documento più importante per l\'ente certificatore. Deve essere approvato dall\'Alta Direzione.', docs:'Statement of Applicability (SoA) firmato', warn:'Ogni controllo NON applicabile deve avere una giustificazione documentata' },
{ titolo:'Politica per la Sicurezza delle Informazioni (§5.2)', freq:'Revisione annuale', come:'Documento di alto livello (1-2 pagine) firmato dall\'Alta Direzione che definisce l\'approccio dell\'organizzazione alla sicurezza. Deve essere comunicata a tutto il personale e ai fornitori rilevanti. Deve includere obiettivi e impegni specifici.', docs:'Politica ISMS firmata, evidenza comunicazione', warn:'' },
{ titolo:'Gestione degli accessi (Controllo A.5.15)', freq:'Continuo', come:'Implementare il principio del minimo privilegio: ogni utente ha solo i permessi strettamente necessari. Procedure per: on-boarding (assegnazione accessi), variazioni di ruolo, off-boarding (revoca immediata). Revisione periodica dei privilegi (almeno semestrale).', docs:'Procedura gestione accessi, matrice ruoli/permessi, log revisioni', warn:'Gli account di ex dipendenti con accessi attivi sono una NC grave' },
{ titolo:'Gestione incidenti di sicurezza (§6.1 / A.5.24-26)', freq:'A ogni incidente + test annuale piano', come:'Definire cosa costituisce un "incidente" (data breach, attacco, errore umano, guasto). Procedure di: rilevazione, classificazione, risposta, notifica (GDPR: entro 72h al Garante se breach dati personali), ripristino e lesson learned. Tenere un registro degli incidenti.', docs:'Procedura gestione incidenti, registro incidenti, modulo di notifica', warn:'Data breach dati personali: obbligo notifica al Garante entro 72 ore (GDPR Art.33)' },
{ titolo:'Business Continuity / Backup (A.8.13-8.14)', freq:'Piano definito, test semestrale', come:'Definire RPO (quanti dati posso perdere) e RTO (in quanto tempo ripristino). Implementare backup regolari (3-2-1: 3 copie, 2 media diversi, 1 offsite). Testare il ripristino periodicamente documentando i risultati. Piano di continuità operativa per i processi critici.', docs:'Piano di backup, procedure BC/DR, verbali test ripristino', warn:'Un backup non testato NON è un backup' },
{ titolo:'Formazione e consapevolezza (§7.2-7.3)', freq:'Almeno annuale per tutto il personale', come:'Formare TUTTO il personale sui rischi di sicurezza (phishing, password, dispositivi mobili, scrivania pulita). Documentare: chi ha partecipato, quando, con quale contenuto. Testare periodicamente con simulazioni phishing o quiz. Formare in modo specifico i ruoli con accesso privilegiato.', docs:'Piano formazione sicurezza, registro presenze, attestati', warn:'' },
{ titolo:'Audit interno ISMS (§9.2)', freq:'Almeno 1 ciclo per anno', come:'Auditare: conformità alla norma, conformità al SoA, efficacia dei controlli implementati. L\'auditor deve essere competente e indipendente. Documentare con checklist, rapporto di audit e registro NC. Seguire le azioni correttive fino alla chiusura.', docs:'Programma audit, checklist ISO 27001, rapporti di audit', warn:'' },
].map(a=>`
${a.come}
${a.docs?`
Documenti richiesti: ${a.docs}
`:''}
${a.warn?`
⚠ ${a.warn}
`:''}
`).join('')}