Risorse informatiche: guida pratica ISO 42001 con esempi
Il controllo A.4.5 dell'Appendice A chiede di individuare, documentare e mantenere adeguate le risorse di sistema e informatiche che servono al ciclo di vita dell'IA. Ecco come tradurlo in pratica, con l'esempio di Azienda Italiana S.p.A.
Cosa prevede il punto A.4.5
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.4.5, dedicato alle risorse di sistema e informatiche: capacità di calcolo, ambienti, reti e infrastrutture che permettono a un sistema di IA di funzionare. La norma chiede di individuarle, documentarle e mantenerle adeguate lungo tutto il ciclo di vita.
Il controllo si applica a chiunque sviluppi o gestisca sistemi di IA: vale per il cluster cloud che alimenta il chatbot di assistenza clienti come per l'ambiente che esegue lo screening dei CV. Il controllo non impone tecnologie specifiche, ma chiede che ogni risorsa sia identificata, assegnata a un proprietario e verificata nel tempo. Senza risorse informatiche dimensionate e sotto controllo, ogni promessa di qualità e sicurezza resta sulla carta.
In questa guida pratica vediamo come Azienda Italiana S.p.A. ha censito le proprie risorse di sistema e informatiche, collegando il controllo A.4.5 alla documentazione delle risorse (A.4.2), al tooling (A.4.4), alle risorse umane (A.4.6) e alla gestione dei fornitori cloud (A.10). Il risultato è un inventario snello, con una mappa che mostra a colpo d'occhio proprietari e scadenze di verifica.
In sintesi, la norma vuole vedere:
- Inventario infrastrutture e ambienti IA
- Capacità di calcolo dimensionata e misurata
- Ambienti di test separati da produzione
- Proprietario nominale per ogni risorsa IT
- Piano di continuità per i servizi IA
Esempio di controllo tecnico per il punto A.4.5
In questa guida pratica il primo esempio riguarda il chatbot di assistenza clienti: Azienda Italiana S.p.A. mantiene un inventario delle risorse di sistema e informatiche che elenca istanze cloud, ambienti di sviluppo, test e produzione, rete e sistemi di autenticazione. Ogni voce ha un proprietario, una capacità dichiarata e la data dell'ultima verifica; quando il volume delle conversazioni cresce, il dimensionamento viene rivisto prima che il servizio degradi.
Controllo tecnico collegato: per lo screening dei CV, il consumo delle GPU è monitorato con soglie di allarme: se l'utilizzo supera l'ottanta per cento per oltre un'ora, scatta un ticket automatico a IT Operations. Gli ambienti di test sono separati dalla produzione con credenziali dedicate, così un esperimento su un nuovo modello non può toccare i dati reali dei candidati.
Risorse informatiche: mappa operativa
| Risorsa | Sistema | Proprietario | Verifica |
|---|---|---|---|
| Cluster cloud conversazionale | Chatbot | IT Operations | Mensile |
| Ambienti dev, test e produzione | Entrambi | IT Operations | Trimestrale |
| GPU per lo scoring dei CV | Screening CV | IT Operations | Mensile |
| Rete e segmentazione accessi | Entrambi | Security Officer | Trimestrale |
| Backup e ripristino servizi IA | Entrambi | IT Operations | Semestrale |
La mappa mostra che ogni risorsa informatica ha un proprietario e una scadenza di verifica: è la prima evidenza che l'auditor chiede per il controllo A.4.5, prima ancora di entrare nel dettaglio tecnico.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.4.5
Esempio reale di come documentare le risorse di sistema e informatiche: l'inventario adottato da Azienda Italiana S.p.A. per entrambi i sistemi di IA, estratto da questa guida pratica.
Inventario delle risorse di sistema e informatiche
Metodo
Censimento per sistema; una scheda per risorsa informatica; capacità dichiarata e misurata; proprietario nominale; verifica a scadenza fissa; aggiornamento a ogni rilascio o cambio di fornitore.
Estratto
| ID | Risorsa | Sistema | Capacità | Scadenza |
|---|---|---|---|---|
| INF-01 | Cluster cloud | Chatbot | 12 nodi attivi | 31/07/2026 |
| INF-02 | Ambiente di test isolato | Entrambi | Dedicato | 30/09/2026 |
| INF-03 | GPU di scoring | Screening CV | 4 schede | 31/07/2026 |
| INF-04 | Segmentazione di rete | Entrambi | 3 zone | 30/09/2026 |
| INF-05 | Backup servizi IA | Entrambi | Giornaliero | 31/12/2026 |
| INF-06 | Monitoraggio carichi | Entrambi | Soglia 80% | 31/08/2026 |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| IT Operations Manager | Tiene l'inventario, monitora la capacità e gestisce gli scostamenti |
| Security Officer | Cura segmentazione, accessi e separazione degli ambienti |
| AI Compliance Officer | Verifica la coerenza dell'inventario con il registro risorse |
| Direzione Generale | Approva investimenti e piano di continuità operativa |
Checklist operativa
| Controllo | Esito |
|---|---|
| Ogni risorsa informatica ha un proprietario nominale | Conforme |
| Ambienti di test separati dalla produzione | Conforme |
| Capacità misurata contro le soglie di allarme | 1 scostamento aperto |
| Inventario delle risorse informatiche allineato al registro risorse A.4.2 | Conforme |
Esito
Inventario coerente con il registro risorse; scostamenti aperti: 1; azione assegnata a IT Operations con scadenza 30/09/2026 e chiusura verificata al prossimo audit interno.
Le domande dell'audit interno sul punto A.4.5
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.4.5
Dott. Valerio Bellini
«Consiglio strategico: inventariate le risorse informatiche prima che ve le chiedano. Un inventario vivo, aggiornato a ogni rilascio, vale più di un audit passato a rincorrere server dimenticati.»
«In audit interno chiedo tre cose: inventario, proprietario e ultima misura di capacità. In audit interno, se manca l'inventario delle risorse informatiche, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Infrastrutture non censite: Server e ambienti IA fuori da ogni inventario.
- Test in produzione: Ambienti di prova non separati dai sistemi live.
- Capacità mai misurata: Nessun dato su carichi e saturazione delle GPU.
- Nessun proprietario: Risorse informatiche senza responsabile nominale.
- Continuità ignorata: Manca il piano per guasti ai servizi IA critici.