Un assessment di cybersecurity e compliance può richiedere giorni o settimane. Nel frattempo l’infrastruttura continua a cambiare: un backup può fallire, i privilegi possono essere modificati, possono entrare nuovi servizi o comparire vulnerabilità. La fotografia costruita attraverso interviste, questionari, documenti e fogli Excel rischia quindi di arrivare al termine del lavoro già parzialmente superata.
NOMA, Normative Operation Management Appliance, nasce per ridurre questa distanza. La piattaforma sviluppata da NeuraFense organizza rischi, controlli, asset, incidenti ed evidenze in un solo ambiente e, quando tecnicamente possibile, collega la base informativa alle fonti operative.
Indice degli argomenti
Dalla conformità dichiarata ai dati dei sistemi
La piattaforma integra controlli, registri di rischio e degli asset, evidenze, workflow per gli incidenti, assegnazioni e viste differenziate per i livelli operativo e direzionale. I connettori acquisiscono informazioni dai sistemi aziendali e aggiornano la base informativa; copertura e frequenza dipendono però dalla sorgente e dalla configurazione adottata.
La Spider Map traduce queste informazioni in una vista radar dello stato dei controlli rispetto al framework applicato. Non assegna automaticamente una conformità, ma mette in evidenza le aree che richiedono verifica o intervento. Il modello distingue chiaramente tra evidenze tecniche, valutazioni organizzative e responsabilità decisionale, che resta comunque in capo alle persone.
NOMA produce report executive destinati al board e report di dettaglio per CIO e CISO, così da offrire ai diversi ruoli una lettura coerente dello stesso quadro informativo.
Un pilota operativo con fonti eterogenee
NOMA è attualmente impiegata come progetto pilota in ambiente produttivo, con moduli dedicati alla gestione dei requisiti previsti dalla direttiva NIS2. La piattaforma integra connettori verso baramundi per la gestione degli endpoint, firewall FortiGate, Active Directory on-premises, Microsoft Entra ID, Google Cloud Platform e Veeam Backup & Replication.
Una delle principali sfide affrontate durante lo sviluppo è stata l’integrazione di fonti eterogenee all’interno di un modello di analisi comune. La normalizzazione di informazioni tecniche provenienti da sistemi diversi richiede infatti di distinguere ciò che può essere rilevato automaticamente da ciò che deve essere verificato sul piano organizzativo o documentale. Un passaggio delicato, perché evita di attribuire ai dati tecnici un significato o un valore di conformità che, da soli, non sono in grado di esprimere.
Meno raccolta manuale, più tempo per l’analisi
Tra i benefici operativi evidenziati nel progetto figura la disponibilità di una base informativa direttamente collegata ai sistemi in esercizio, anziché costruita attraverso attività di ricostruzione periodica. Questo approccio consente di organizzare in modo più efficace la raccolta delle evidenze, ridurre le attività ripetitive e aumentare la visibilità sui cambiamenti rilevati attraverso le fonti integrate.
La Spider Map supporta l’identificazione delle aree NIS2 che richiedono ulteriori verifiche o approfondimenti. I report generati automaticamente forniscono al management una sintesi immediata dello stato complessivo, mentre mettono a disposizione di CIO e CISO il livello di dettaglio necessario per pianificare verifiche e azioni correttive. L’obiettivo dichiarato è ridurre il tempo dedicato alla raccolta manuale delle informazioni, destinandolo ad attività di analisi e gestione delle criticità.
La valutazione dei benefici si basa su KPI operativi quali il tempo impiegato per la raccolta delle evidenze, la preparazione della reportistica, la disponibilità delle informazioni e la copertura delle fonti integrate.
Una piattaforma modulare con una roadmap di sviluppo
NOMA affianca alle attività di assessment una base informativa che può essere aggiornata in modo continuo, seguendo l’evoluzione dell’infrastruttura IT. Moduli e connettori sono progettati per essere riutilizzati e adattati a contesti diversi, supportando differenti fonti dati, framework normativi, ruoli organizzativi e processi operativi. L’efficacia di questo approccio resta tuttavia strettamente legata alla qualità dei dati raccolti e all’ampiezza delle integrazioni disponibili.
La roadmap di sviluppo prevede l’estensione del supporto a framework e normative quali ISO 9001, ISO 27001 e GDPR. Le release future includeranno inoltre funzionalità basate sull’intelligenza artificiale, pensate per consentire l’interrogazione della piattaforma in linguaggio naturale e il recupero rapido delle evidenze durante attività di audit o richieste provenienti dal management. La candidatura precisa tuttavia che queste evoluzioni sono ancora in fase di pianificazione e non sono attualmente disponibili.
Il progetto ha vinto ai Digital360 Awards 2026 nella categoria “Information & Cybersecurity”.
Partecipa alla community