20 Framework Nazionale per la Cybersecurity e la Data Protection Tabella 3: Relazione dei Controlli Essenziali della tematica "Inventario dispositivi e software" con il Framework Nazionale per la Cybersecurity e la Data Protection. FUNCTION CATEGORY SUBCATEGORY CONTROLLO ID.AM-1: Sono censiti i sistemi e gli apparati fisici in uso nell'organizzazione 1 - Esiste ed è mantenuto aggiornato un inventario dei sistemi, dispositivi, software, servizi e applicazioni informatiche in uso all’interno del perimetro aziendale. ID.AM-2: Sono censite le piattaforme e le applicazioni software in uso nell'organizzazione IDENTIFY (ID) Asset Management (ID.AM): I dati, il personale, i dispositivi e i sistemi e le facilities necessari all'organizzazione sono identificati e gestiti in coerenza con gli obiettivi e con la strategia di rischio dell'organizzazione. 2 - I servizi web (social network, cloud computing, posta elettronica, spazio web, ecc...) offerti da terze parti a cui si è registrati sono quelli strettamente necessari. 3 - Sono individuate le informazioni, i dati e i sistemi critici per l’azienda affinché siano adeguatamente protetti. ID.AM-6: Sono definiti e resi noti ruoli e responsabilità inerenti alla cybersecurity per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner) DP-ID.AM-7: Sono definiti e resi noti ruoli e responsabilità inerenti al trattamento e la protezione dei dati personali per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner) 4 - È stato nominato un referente che sia responsabile per il coordinamento delle attività di gestione e di protezione delle informazioni e dei sistemi informatici. DP-ID.AM-8: I trattamenti di dati personali sono identificati e catalogati 3 - Sono individuate le informazioni, i dati e i sistemi critici per l’azienda affinché siano adeguatamente protetti. 2.3.2 Governance La tematica “Governance” raccoglie un solo Controllo Essenziale, che prescrive l’identificazione e il rispetto della normativa applicabile inerente alla cybersecurity. Sebbene il controllo, originariamente proposto nel contesto di un Framework per la Cybersecurity, non faccia esplicitamente riferimento ad elementi di data protection è evidente come, nell’ambito della definizione di un programma che abbracci anche la protezione dei dati personali, tale controllo possa e debba essere esteso all’individuazione e il rispetto della normativa inerente alla data protection. La relazione tra questo controllo e la nuova versione del Framework Nazionale rimane