Come preparare i clienti a un audit di conformità a sorpresa (HIPAA, CMMC, SOC 2)

Per preparare i clienti a un audit di conformità a sorpresa, gli MSP dovrebbero contrassegnare i dispositivi in base al perimetro normativo, verificare lo stato di patch, antivirus e crittografia, applicare le baseline delle policy, confermare la conservazione dei log, rivedere gli accessi e tenere pronte le prove dei backup. Queste sei attività supportano la preparazione agli audit negli ambienti HIPAA, SOC 2 e CMMC. Collega i risultati ai requisiti applicabili a ciascun cliente e conserva le prove a supporto.

Gli audit a sorpresa sono frequenti nei settori regolamentati perché fanno emergere lacune nella documentazione, policy incoerenti e debolezze di sicurezza che le verifiche pianificate possono non rilevare. I managed service provider (MSP) dovrebbero integrare la preparazione agli audit nelle proprie operazioni di routine durante tutto l’anno, soprattutto quando supportano la conformità a HIPAA, SOC 2 e CMMC.

Gli MSP che supportano appaltatori della difesa che trattano informazioni non classificate controllate (CUI) dovrebbero inoltre collegare ciascuna attività ai controlli NIST 800-171 pertinenti.

Questo articolo illustra ogni attività, inclusi i comandi e i passaggi da eseguire nella console e le prove da conservare.

Preferisci il video? Guarda Come preparare i clienti a un audit di conformità a sorpresa (HIPAA, CMMC, SOC 2) per saperne di più.

Hai poco tempo? Ecco come gli MSP possono restare pronti per un audit CMMC

Prepararsi ad audit come HIPAA, SOC 2 e CMMC richiede molto più di processi manuali. Gli MSP hanno bisogno di strumenti che automatizzino i controlli di conformità e offrano visibilità continua su tutti gli ambienti dei clienti.

L’RMM di NinjaOne unisce gestione degli endpoint, automazione e reporting in un’unica piattaforma: aiuta gli MSP a contrassegnare i dispositivi inclusi nel perimetro, a eseguire controlli di conformità tramite script e a generare report, così le prove per gli audit restano sempre aggiornate negli ambienti dei clienti.

Checklist di preparazione agli audit per gli MSP

Usa questa checklist per verificare rapidamente il livello di preparazione agli audit negli ambienti HIPAA, SOC 2 e CMMC.

Requisiti di conformità nel 2026: cosa vale oggi

Stato di CMMC

Da ottobre 2026 è in vigore la Fase 1 di CMMC, quindi i contratti che riguardano informazioni non classificate controllate (CUI) possono richiedere un’autovalutazione di Livello 2. Il Department of War ha sospeso il 13 luglio 2026 il passaggio alla Fase 2, che prevedeva la certificazione obbligatoria di Livello 2 da parte di terzi, ed è in corso una revisione del programma. DFARS 252.204-7012 e NIST SP 800-171 Rev 2 restano applicabili, quindi le sei attività di questa checklist rimangono controlli utili sugli endpoint all’interno di un programma di conformità più ampio.

Cosa significa CMMC per gli MSP

La norma CMMC definisce gli MSP come external service provider (ESP). Un ESP che non è un cloud service provider viene valutato come parte del perimetro di valutazione del cliente e non necessita di una propria certificazione CMMC, pur potendo certificarsi volontariamente. Un ESP che è un cloud service provider e tratta CUI deve soddisfare i requisiti FedRAMP Moderate o equivalenti. Verifica il perimetro e i requisiti contrattuali di ciascun cliente prima di pianificare la raccolta delle prove.

Stato di HIPAA

L’aggiornamento della HIPAA Security Rule proposto a gennaio 2025 non è definitivo e la Security Rule attuale resta in vigore. La proposta renderebbe obbligatorie misure come l’autenticazione a più fattori e la crittografia delle informazioni sanitarie protette in formato elettronico (ePHI) a riposo e in transito: includerle fin da ora nelle tue baseline è un modo a basso rischio per prepararsi.

Stato di SOC 2

SOC 2 è un report di attestazione indipendente rispetto ai Trust Services Criteria dell’AICPA. Un report di Tipo II riguarda il funzionamento dei controlli nell’arco di un periodo di osservazione, quindi le prove devono coprire l’intero periodo.

Prerequisiti per essere pronti a un audit di conformità a sorpresa

Prima di iniziare, gli MSP dovrebbero verificare quanto segue:

• Implementazione del controllo degli accessi basato sui ruoli secondo il principio del privilegio minimo, con MFA obbligatoria.
• Soluzioni standardizzate di patch management, antivirus/EDR e backup.
• Configurazione corretta degli ambienti Microsoft 365 o Active Directory ibridi.
• Capacità di scripting mantenute (registro di sistema, CMD e PowerShell).
• Distribuzione di uno strumento RMM affidabile (come NinjaOne) in grado di distribuire script, applicare policy e raccogliere gli artefatti di conformità.

Attività 1: inventariare i dispositivi per perimetro di conformità

📌 Situazione d’uso:
Contrassegnare i dispositivi permette agli MSP di filtrarli negli strumenti RMM (come NinjaOne) per individuare rapidamente quali sistemi rientrano nel perimetro HIPAA, CMMC o SOC 2. Definire con chiarezza i sistemi inclusi nel perimetro è particolarmente importante per CMMC, dove il perimetro determina quali sistemi devono soddisfare i requisiti a tutela delle CUI.
Un corretto tagging dei dispositivi supporta anche la gestione della conformità in ambienti multi-tenant, così gli MSP possono applicare i controlli giusti a ogni cliente senza mescolare requisiti normativi diversi.

Come creare i tag di conformità nel registro di sistema:

1. Apri PowerShell come amministratore. Premi il tasto Win, digita PowerShell, quindi fai clic con il pulsante destro su Windows PowerShell e seleziona Esegui come amministratore.
2. Esegui i comandi seguenti, sostituendo i valori “True” con True o False a seconda della categoria di conformità dell’endpoint (HIPAA, CMMC, SOC 2):

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "HIPAA" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "CMMC" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "SOC2" -Value "True"

Come verificare manualmente i tag:

1. Apri il Prompt dei comandi come amministratore. Premi Win + X, quindi seleziona Prompt dei comandi (amministratore) o Windows Terminal (amministratore). Se usi Windows Terminal, assicurati di trovarti in una scheda Prompt dei comandi e non in PowerShell.
2. Esegui i comandi seguenti:

reg query HKLM\SOFTWARE\Org\ComplianceTags

3. In alternativa, apri l’Editor del Registro di sistema. Premi Win + R. Digita regedit e premi Invio.
4. Vai a: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceTags
5. Verifica che i valori dei tag di conformità previsti (ad esempio le chiavi o le voci stringa usate dalla tua organizzazione) siano presenti e corrispondano alle policy configurate. Se mancano o non sono corretti, il sistema potrebbe non essere riconosciuto come conforme durante un audit.

Attività 2: verificare lo stato di patch, AV e crittografia

Questa attività verifica che i sistemi siano aggiornati, che l’antivirus sia attivo e che la crittografia sia applicata.
Questi controlli sono allineati ai controlli NIST SP 800-171 e forniscono ai revisori la prova che gli endpoint sono adeguatamente protetti.
Passaggi
1. Apri PowerShell come amministratore. Premi il tasto Win, digita PowerShell, quindi fai clic con il pulsante destro su Windows PowerShell e seleziona Esegui come amministratore.
2. Controlla la versione del sistema operativo su ogni dispositivo incluso nel perimetro. Windows 10 ha raggiunto la fine del supporto il 14 ottobre 2025: i dispositivi che lo eseguono ancora non ricevono più aggiornamenti di sicurezza gratuiti e dovrebbero essere aggiornati o iscritti agli Extended Security Updates.
Get-CimInstance Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber
3. Verifica lo stato delle patch per gli aggiornamenti di Windows eseguendo i comandi seguenti:
a. Per vedere gli ultimi 5 aggiornamenti installati:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
b. Per elencare gli aggiornamenti disponibili, se il modulo PSWindowsUpdate è installato:
Get-WindowsUpdate -MicrosoftUpdate
c. Per generare un registro leggibile di Windows Update a partire dai file di traccia degli aggiornamenti (questo comando crea un file di log e non elenca gli aggiornamenti mancanti):
Get-WindowsUpdateLog
4. Per verificare lo stato di AV/Defender:
Get-MpComputerStatus | Select AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled
5. Per verificare la crittografia (BitLocker):
Get-BitLockerVolume | Select MountPoint, ProtectionStatus
6. Se necessario, i risultati possono essere esportati in CSV e allegati ai ticket di preparazione all’audit.

Attività 3: applicare le baseline delle policy

📌 Situazione d’uso:

Questa attività applica policy di sicurezza coerenti su tutti i sistemi, a supporto della preparazione agli audit. GPO o script possono imporre le configurazioni di conformità, tra cui la policy di blocco degli account, la lunghezza e la complessità delle password, la verifica dell’accesso agli oggetti e degli eventi di accesso, la disattivazione degli account Guest e la conservazione del registro eventi di sicurezza.

Per i sistemi aggiunti al dominio (tramite Criteri di gruppo):

1. Apri la Console Gestione Criteri di gruppo (GPMC).
2. Modifica o crea un GPO.
3. Vai a:
   • Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri account
   • Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Configurazione avanzata criteri di controllo
4. Configura le policy sulle password, il blocco degli account, lo screensaver (applicazione del timeout di inattività) e la verifica.

Per i sistemi standalone o non aggiunti al dominio (tramite criteri locali o script):

1. Premi Win + R, digita gpedit.msc e premi Invio per aprire l’Editor Criteri di gruppo locali.
2. Configura localmente le stesse policy in Impostazioni sicurezza.
3. Se i Criteri di gruppo non sono disponibili (ad esempio nelle edizioni Windows Home), applica script basati sul registro di sistema per imporre le stesse baseline.

Attività 4: verificare log, conservazione e policy di monitoraggio

Questa attività verifica che i registri degli eventi vengano generati, conservati e non sovrascritti. I revisori di solito si aspettano prove di monitoraggio continuo, tracciamento degli eventi e conservazione dei log.

Come controllare lo stato del registro di sicurezza:

1. Apri PowerShell come amministratore. Premi il tasto Win, digita PowerShell, quindi fai clic con il pulsante destro su Windows PowerShell e seleziona Esegui come amministratore.
2. Esegui il comando seguente:

Get-WinEvent -LogName Security -MaxEvents 5 | Format-List

Questo comando interroga il registro eventi di sicurezza di Windows per i 5 eventi più recenti e invia l’output alla console (schermo) in formato elenco. Il numero “5” è solo indicativo e può essere modificato in base al numero di eventi che vuoi visualizzare.

Eseguire questo comando conferma che nuovi eventi vengono effettivamente generati e registrati nel registro di sicurezza. Durante un audit, questo aiuta a dimostrare che la raccolta dei log funziona correttamente e che i log non mancano né vengono sovrascritti.

Come controllare la policy di conservazione dei log:

1. Apri il Prompt dei comandi come amministratore. Premi Win + X, quindi seleziona Prompt dei comandi (amministratore).
2. Esegui il comando seguente:

wevtutil gl Security | findstr /i “retention autoBackup

Questo comando mostra lo stato di conservazione del registro eventi di sicurezza di Windows:

• Retention: false significa che, quando il registro è pieno, gli eventi più vecchi vengono sovrascritti da quelli più recenti.
• Retention: true significa che gli eventi non vengono sovrascritti quando il registro è pieno.
• autoBackup: true significa che il registro completo viene archiviato automaticamente.

Attività 5: verificare il controllo degli accessi e il tracciamento degli utenti

Questa attività può aiutare gli MSP a documentare gli account utente, gli accessi privilegiati e le autorizzazioni RDP. Le revisioni degli accessi documentate soddisfano i requisiti di audit relativi alla governance degli account, inclusi il controllo degli accessi e le aspettative sul privilegio minimo.

Come controllare gli account utente locali:

1. Apri il Prompt dei comandi come amministratore. Premi Win + X, quindi seleziona Prompt dei comandi (amministratore).
2. Esegui il comando seguente: net user <username>

Questo comando mostra informazioni dettagliate sull’account indicato, tra cui:

• Nome utente e nome completo
• Se l’account è attivo
• Requisiti della password (scadenza, ultima impostazione, modifica obbligatoria)
• Appartenenza ai gruppi
• Percorso del profilo e directory home
• Orari di accesso consentiti

Come elencare gli utenti AD con diritti elevati:

1. Apri PowerShell come amministratore. Premi il tasto Win, digita PowerShell, quindi fai clic con il pulsante destro su Windows PowerShell e seleziona Esegui come amministratore.
2. Esegui il comando seguente:

Get-ADGroupMember -Identity "Domain Admins"

Questo comando recupera tutti i membri del gruppo Domain Admins in Active Directory, che in genere comprende gli account con il livello di privilegi più alto. Esaminare questo elenco aiuta a confermare che solo gli utenti autorizzati dispongano di diritti elevati.

Get-LocalGroupMember -Group "Remote Desktop Users"

Questo comando mostra tutti gli account appartenenti al gruppo Remote Desktop Users sulla macchina locale. Chiunque faccia parte di questo gruppo può accedere al sistema da remoto tramite Remote Desktop Protocol (RDP). I revisori controllano spesso questo elenco per assicurarsi che solo gli utenti approvati dispongano di accesso remoto, poiché autorizzazioni RDP eccessive o non monitorate possono creare rischi di conformità e di sicurezza.

Attività 6: documentare le prove di backup e ripristino

Questa attività registra nel registro di sistema l’ultimo backup riuscito per la scansione automatizzata da parte dell’RMM, fornendo ai revisori prove verificabili del fatto che le pratiche di backup e ripristino sono applicate e monitorate. La convalida automatizzata dei backup supporta anche il reporting di conformità per gli MSP, fornendo le prove che i revisori richiedono comunemente durante le verifiche HIPAA, CMMC e SOC 2.

Per creare nel registro di sistema il timestamp dell’ultimo backup riuscito:

1. Apri PowerShell come amministratore. Premi il tasto Win, digita PowerShell, quindi fai clic con il pulsante destro su Windows PowerShell e seleziona Esegui come amministratore.

2. Esegui i comandi seguenti:

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Name "LastSuccessfulBackup" -Value (Get-Date).ToString(“u”)

3. Questi comandi creano la chiave ComplianceBackup in HKEY_LOCAL_MACHINE e impostano il valore LastSuccessfulBackup su data e ora correnti in formato universale. Esegui il secondo comando solo come passaggio finale di un processo di backup riuscito, in modo che il timestamp rifletta un backup completato.

4. Integra il tutto con il tuo sistema RMM:

1. La maggior parte degli RMM consente di definire campi personalizzati o regole di scansione del registro di sistema.
2. Configura il tuo RMM per leggere il valore di HKLM:\SOFTWARE\Org\ComplianceBackup\LastSuccessfulBackup.
3. In questo modo l’RMM può tracciare automaticamente quando è stato eseguito l’ultimo backup riuscito e generare report di prova per la conformità.

Per verificare che il timestamp dell’ultimo backup riuscito sia stato registrato nel registro di sistema.

1. Apri l’Editor del Registro di sistema. Premi Win + R. Digita regedit e premi Invio.
2. Vai a: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceBackup
3. Verifica che il valore LastSuccessfulBackup mostri il timestamp corretto.

Oltre al tracciamento basato sul registro di sistema, le piattaforme RMM come NinjaOne possono generare automaticamente report dettagliati sui backup. Applicando delle policy, puoi anche definire i periodi di conservazione dei backup per soddisfare i requisiti di normative come HIPAA, CMMC o SOC 2.

⚠️ Risoluzione dei problemi e aspetti a cui prestare attenzione

Altri aspetti da considerare nella preparazione a un audit di conformità a sorpresa

Oltre ai controlli più comuni, consigliamo di adottare queste best practice per supportare la conformità alle varie normative. Sono pratiche particolarmente importanti per gli MSP che seguono clienti in settori regolamentati come la difesa e gli appalti pubblici.

• Policy DLP: non limitarti ad abilitare la Data Loss Prevention (DLP) in Microsoft 365 o sugli endpoint. Durante un audit potrebbe esserti chiesto di dimostrare come viene impedito ai dati sensibili di uscire dall’ambiente e come vengono applicate le regole di conservazione e archiviazione dei dati. Preparati a dimostrare che i sistemi di backup rispettano i periodi di conservazione richiesti (per HIPAA, CMMC o SOC 2) e che i dati archiviati sono accessibili per la verifica.

Le soluzioni RMM come NinjaOne possono semplificare questo passaggio generando report dettagliati su stato dei backup, impostazioni di conservazione e conformità degli endpoint, offrendo ai revisori prove chiare che i dati sono protetti e conservati correttamente.

• Audit dell’MFA: assicurati che tutti gli account degli amministratori e degli utenti finali utilizzino l’autenticazione a più fattori (MFA), un requisito del NIST SP 800-171 (controllo 3.5.3) valutato da CMMC Livello 2.
• Offboarding: verifica l’esistenza degli account disattivati e dei registri di restituzione degli asset.
• Tracciamento del rischio dei fornitori: mantieni un elenco aggiornato dei servizi di terze parti che hanno accesso ai dati (un requisito importante per gli MSP che trattano CUI nell’ambito della conformità CMMC).
• Preparazione alla risposta agli incidenti: sii pronto a spiegare il tuo processo per gestire un endpoint compromesso, incluse le procedure di isolamento, reimaging e segnalazione.
• Risultati delle scansioni di vulnerabilità: conserva report recenti delle scansioni di vulnerabilità per ciascun endpoint, per dimostrare una gestione proattiva del rischio.
• Inventario dei dispositivi: mantieni un inventario completo e accurato di tutti i dispositivi che accedono ai dati dell’organizzazione.

Per saperne di più su ciò che NinjaOne può fare, consulta le FAQ sulla nostra soluzione RMM.

I servizi NinjaOne per la preparazione agli audit di conformità

L’RMM di NinjaOne supporta la preparazione agli audit negli ambienti HIPAA, SOC 2 e CMMC grazie a tagging dei dispositivi, scripting, avvisi e reporting, con visibilità centralizzata su tutti i tenant dei clienti.

• Gestione degli endpoint: contrassegna gli endpoint in base al perimetro di conformità (HIPAA, CMMC, SOC 2).
• Scripting: esegui controlli periodici su requisiti di conformità specifici, come lo stato della crittografia e determinati dati SaaS, affiancati dalla visibilità integrata su stato dell’AV, patching e backup.
• Avvisi: ricevi avvisi su lacune nella copertura di conformità e problemi degli agent.
• Reporting: genera report pre-audit e per le business review trimestrali, per uso interno o da condividere con i clienti.

Considerazioni finali sulla preparazione agli audit di conformità a sorpresa

La preparazione agli audit richiede uno sforzo congiunto di MSP e clienti, per garantire che l’ambiente IT gestito rispetti le normative di settore. Gli MSP, in particolare, possono adottare pratiche come il tagging dei dispositivi, script di verifica periodici, l’applicazione delle policy, la conservazione dei log, il tracciamento degli utenti e la documentazione dei backup per aiutare i clienti a prepararsi agli audit di conformità a sorpresa.

Affiancare a queste pratiche una piattaforma di gestione degli endpoint come NinjaOne consente una preparazione agli audit scalabile su tutti i tenant, così i clienti sono pronti nel caso in cui revisori indipendenti o enti regolatori effettuino una verifica di conformità a sorpresa.

Argomenti correlati:

• Conformità HIPAA: tutto quello che devi sapere
• Che cos’è la conformità SOC? Panoramica di base per le imprese
• Che cos’è il CMMC? Panoramica e definizione
• Che cos’è un audit di conformità? Definizione e importanza
• Che cos’è un audit di conformità? Definizione e importanza