Dal comando alla manovra: ecco come definire i ruoli nella gestione degli asset aziendali

Sicurezza informatica e protezione dei dati non dipendono solo da tecnologie e policy. Senza ruoli precisi, assegnati formalmente, ogni sistema di gestione resta fragile.

Continuando ad approfondire la delicata questione della gestione degli asset, entriamo dunque nel cuore del modello IAO – IAM, chiarendone la portata concreta.

Ecco cosa fanno esattamente l’Information Asset Owner (IAO) e l’Information Asset Manager (IAM), perché queste figure stanno cominciando a essere richieste non solo dagli standard internazionali, ma anche da clienti con elevato potere contrattuale, e perché rappresentano una leva organizzativa potente per garantire sicurezza, compliance e resilienza.

IAO e IAM per gestire responsabilità strategiche e operative

Nei nostri tre precedenti articoli abbiamo evidenziato come la gestione degli asset informativi non sia un dettaglio tecnico ma il cuore operativo di ogni sistema di sicurezza, protezione dati e compliance.

Chi guida oggi un’organizzazione che tratta dati e gestisce infrastrutture critiche si trova davanti a una verità operativa molto semplice: non è più possibile affidare la sicurezza informatica solo al reparto IT o a qualche policy generica di compliance.

In questo contesto stanno emergendo due nuovi ruoli professionali che ancora sono troppo poco diffusi e conosciuti in Italia: l’Information Asset Owner (IAO) e l’Information Asset Manager (IAM).

Si tratta di due figure complementari e interdipendenti, pensate per risolvere un problema strutturale comune a moltissime organizzazioni: la confusione tra responsabilità strategiche e operative nella gestione degli asset informativi.

Oggi la maggior parte delle aziende italiane – anche medio-grandi – continua a gestire questi aspetti in modo confuso: un po’ il Ciso, un po’ il Dpo, un po’ il reparto IT, senza un modello formale e senza ruoli precisi. Ma questo approccio non regge più.

Con l’evoluzione normativa e l’aumento dei rischi, il modello IAO – IAM potrebbe affermarsi come best practice internazionale.

Nei prossimi anni, verosimilmente, sarà sempre più diffuso anche in Italia, non solo perché richiesto dagli standard, ma perché funzionale alla resilienza e alla competitività delle organizzazioni.

Una guida sul modello IAO – IAM

Per capire il modello IAO – IAM, ecco cosa fanno esattamente IAO e IAM, quali competenze richiedono, come si rapportano tra loro e con il resto dell’organizzazione e quali modelli organizzativi è possibile adottare.

Esempi operativi, riferimenti concreti e indicazioni pratiche mostrano come strutturare al meglio i due ruoli, trasformandoli in pilastri della governance aziendale.

Servono due ruoli distinti

Gestire gli asset informativi non è una semplice attività amministrativa da delegare a qualcuno all’interno dell’ufficio IT, ma è un processo che ha un impatto diretto sia sulla sicurezza concreta dell’organizzazione, sia sulla sua capacità di rispettare norme come GDPR (il Regolamento Generale sulla Protezione dei Dati) e NIS 2 (direttiva dell’Unione Europea che, rafforzando la cyber sicurezza, permette di migliorare la resilienza delle reti e dei sistemi informatici nell’UE).

Per questo motivo non basta affidare tutto a una singola persona o a un reparto generico. Invece servono due funzioni precise e complementari, ognuna con compiti, responsabilità e competenze ben definite.

In pratica, la gestione degli asset risponde sempre a due esigenze distinte e complementari:

• decidere cosa fare: definire le regole, le priorità, valutare i rischi, stabilire il budget e approvare le politiche di sicurezza, verificarle e standardizzarle. Questo è il compito di chi guida l’organizzazione;
• farlo davvero: implementare tecnicamente le decisioni, aggiornare gli inventari, monitorare gli asset ogni giorno, rispondere in tempo reale agli allarmi e agli incidenti. Questo è il compito di chi lavora sul campo con competenze operative specifiche.

Il principio organizzativo alla base del modello IAO – IAM

Queste due attività che rispecchiano il modello PDCA, vengono formalizzate attraverso il modello chiaro e concreto IAO-IAM:

• Information Asset Owner (IAO): è il responsabile strategico. Ha il compito di decidere, pianificare, approvare, verificare l’efficacia e standardizzare il modello. È lui a definire le politiche e a garantire che le scelte siano allineate con gli obiettivi aziendali e con le norme di riferimento.
• Information Asset Manager (IAM): è il responsabile operativo. È lui che ogni giorno si occupa di far vivere il sistema, di aggiornare gli asset, di monitorare gli accessi, di intervenire sui problemi.

Nel mondo attuale sempre più complesso questo modello si presenta come una necessità concreta.

Infatti:

• senza un IAO, l’azienda naviga a vista: mancano una guida, una visione strategica, regole chiare;
• senza un IAM, le decisioni restano sulla carta: nessuno le traduce in attività operative, nessuno tiene sotto controllo gli asset, nessuno garantisce che il sistema funzioni davvero.

Ecco perché il modello IAO – IAM potrebbe affermarsi come riferimento in tutti i contesti che vogliono gestire gli asset informativi in modo professionale: dalle grandi multinazionali alle medie imprese più attente, fino agli enti pubblici obbligati dalle normative.

Infatti è un modello semplice, chiaro, efficace, capace di tradurre la complessità in ruoli concreti, con responsabilità e competenze precise, al servizio della sicurezza reale e della compliance viva.

Information Asset Owner (IAO): la direzione strategica degli asset informativi

Parlare di Information Asset Owner non significa evocare un ruolo tecnico isolato, chiuso nel proprio ufficio davanti a una lista di server.

Al contrario, l’IAO è una funzione di comando, con responsabilità che toccano direttamente la governance, la sicurezza e il valore stesso del patrimonio
informativo aziendale.

In termini concreti, l’IAO è la figura che definisce le regole del gioco: stabilisce la linea di condotta, approva le politiche, prende decisioni su priorità, investimenti e gestione dei rischi.

Inoltre, verifica attraverso controlli l’efficacia delle regole definite e le standardizza sotto forma di regole codificate. Risponde direttamente al vertice aziendale o agli organismi di vigilanza. Non è una figura formale: è chi guida davvero la sicurezza degli asset.

Dove è prevista la figura dell’IAO

Questo ruolo è riconosciuto in modo esplicito o implicito in diverse normative e standard, come per esempio:

• ISO/IEC 27001:2022: controllo 5.9: impone di nominare responsabili formali per ogni asset informativo.
• ISO/IEC 27002:2022: linea guida applicazione controllo 5.9: dettaglia le attività che ogni responsabile di asset deve svolgere, chiarendo i criteri di classificazione, protezione e gestione degli accessi.
• UK Government IAO guidance (dicembre 2023): uno dei documenti più operativi esistenti, che formalizza compiti, obblighi e modalità di esercizio del uolo dell’IAO nel settore pubblico nel contesto del Regno Unito.
• NIS 2 (D.Lgs. 138/2024) e Determinazioni ACN 2025: richiedono che la gestione degli inventari e delle misure di sicurezza avvenga in modo tracciabile, con responsabilità attribuite e verificabili.

Quali competenze servono davvero per fare l’IAO

Diventare IAO non significa semplicemente essere il capo dell’IT. È un ruolo che richiede una combinazione molto specifica di competenze:

• strategiche: capacità di valutare scenari di rischio, impatti sulla continuità operativa, coerenza con la visione e gli obiettivi aziendali;
• tecnico-giuridiche: conoscenza approfondita degli standard ISO, del Gdpr, della NIS 2, delle normative nazionali e internazionali applicabili;
• manageriali: capacità di coordinare persone, gestire budget, relazionarsi con il board e con stakeholder esterni come autorità di controllo, clienti, partner.

Cosa fa concretamente l’IAO ogni giorno

L’IAO ha una serie di responsabilità precise e non delegabili che consistono nel:

• definire le politiche di sicurezza e gestione degli asset;
• classificare ogni asset in base al valore e alla criticità;
• approvare i piani di gestione degli incidenti, business continuity e disaster recovery;
• validare gli investimenti in tecnologie di protezione;
• valutare l’efficacia delle le politiche di sicurezza e gestione degli asset;
• fornire report periodici al vertice aziendale sulla situazione degli asset e dei rischi;
• assumersi la responsabilità finale nelle decisioni critiche, soprattutto in caso di incidenti gravi.

Esempio operativo reale

Per rendere concreto il ruolo, immaginiamo un’azienda che introduce un nuovo sistema ERP contenente dati sensibili su clienti e fornitori. L’IAO:

• stabilisce che il sistema è classificato come “asset critico”;
• decide che dovrà essere protetto con crittografia end-to-end, accesso limitato a personale autorizzato, backup giornalieri e procedure formali di business continuity;
• approva il budget e i tempi di implementazione;
• supervisiona il lavoro operativo svolto dagli IAM e dai team IT, garantendo che tutto sia coerente con le politiche decise;
• valida periodicamente i report ricevuti, correggendo eventuali deviazioni o aggiornando le politiche in base all’evoluzione dei rischi.

L’IAO quindi non è un consulente né è un tecnico puro, tanto è vero che ha più competenze organizzative che tecniche. È il comandante della sicurezza informativa: colui che, in un’organizzazione moderna, garantisce che il valore degli asset informativi sia protetto, gestito, valorizzato in modo sistemico.

Senza uno IAO con poteri reali, ogni modello di gestione rischi di restare incompleto.

Information Asset Manager (IAM): l’implementazione quotidiana

Se l’IAO rappresenta la guida strategica, l’Information Asset Manager è la figura che ogni giorno traduce quella strategia in azioni concrete.

L’IAM è il collegamento diretto tra le decisioni di vertice e l’operatività quotidiana dell’organizzazione: senza questa figura, le politiche restano sulla carta, gli inventari invecchiano e la sicurezza si affida al caso.

Dove è prevista la figura dell’IAM

Il ruolo dell’IAM non è solo una buona pratica consigliata: è formalmente riconosciuto e richiesto da diversi standard e normative, come per esempio:

• ISO/IEC 27002:2022: specifica in modo dettagliato le attività operative da assegnare per garantire la gestione strutturata degli asset informativi. Prevede che ogni asset abbia un responsabile operativo.
• ISO/IEC 19770-1:2017: IT Asset Management Systems: stabilisce requisiti chiari per costruire un sistema certificabile di gestione degli asset IT, indicando espressamente la necessità di ruoli tecnici operativi dedicati.
• FNCDP 2025: misure ID.AM: all’interno del Framework Nazionale raccomandato dall’ACN per implementare la normativa italiana collegata alla NIS 2, viene richiesto che ogni organizzazione mantenga tracciabilità continua degli asset, gestisca gli accessi e monitori costantemente anomalie e indicatori di compromissione.

Le competenze che rendono un IAM davvero efficace

Il ruolo di Information Asset Manager richiede una combinazione di competenze molto concrete, che non si limitano alla pura tecnica, ma includono capacità operative e analitiche e in particolare:

• competenze tecniche: capacità di utilizzare strumenti di asset management, software di monitoraggio, tecnologie di sicurezza informatica, vulnerability management;
• competenze operative: saper implementare le procedure decise dall’IAO, aggiornare in modo metodico e tracciabile inventari e registri, documentare ogni attività svolta in modo ordinato e verificabile;
• competenze analitiche: monitorare costantemente log e report di sistema, segnalare anomalie o criticità emergenti, redigere report sintetici ma efficaci per il vertice decisionale.

Cosa fa concretamente un IAM ogni giorno

L’IAM è la figura che, giorno dopo giorno, garantisce che gli asset informativi siano effettivamente gestiti secondo le regole e gli standard decisi dall’organizzazione.

Ecco alcune delle sue responsabilità principali:

• mantenere aggiornati e completi gli inventari degli asset informativi;
• monitorare lo stato operativo degli asset, controllando che tutto sia coerente con le policy e le istruzioni ricevute dall’IAO;
• gestire le attività operative quotidiane: backup, aggiornamenti di sicurezza, controllo degli accessi, applicazione delle patch;
• segnalare immediatamente al proprio IAO qualsiasi anomalia, incidente o criticità rilevata.
• proporre miglioramenti tecnici, aggiornamenti di processo o interventi di manutenzione, sulla base dell’esperienza diretta e del monitoraggio costante.

Esempio concreto

Per rendere concreto questo ruolo, immaginiamo lo stesso caso già visto per l’IAO: l’implementazione di un nuovo sistema ERP aziendale.

L’IAM:

• configura le impostazioni di sicurezza stabilite dall’IAO: crittografia, accessi profilati, backup automatici;
• ogni giorno controlla il corretto funzionamento degli accessi, verifica che i backup siano eseguiti correttamente, aggiorna gli inventari con eventuali nuove componenti o modifiche di configurazione;
• se durante un controllo emergono vulnerabilità, errori di configurazione o problemi tecnici, l’IAM segnala immediatamente la situazione all’IAO, fornendo report chiari e dati aggiornati, così da permettere una revisione o un aggiornamento delle policy.

Quindi l’Information Asset Manager è il motore silenzioso ma essenziale della gestione quotidiana degli asset informativi. È la figura che garantisce controllo, ordine e sicurezza operativa continua.

Senza uno IAM:

• gli inventari si degradano;
• i controlli si fanno saltuari e disordinati;
• la sicurezza perde di efficacia, perché manca una presenza quotidiana attiva, capace di tradurre le decisioni strategiche in azioni concrete.

La relazione tra IAO e IAM: modelli organizzativi e catena di comando

Il valore reale del modello IAO – IAM non si misura solo sulla carta. Sta tutto nella capacità dell’organizzazione di tradurlo in una struttura operativa concreta, funzionale, chiara per tutti.

Questo significa definire una catena di comando solida, con regole precise su chi decide, chi esegue, chi controlla, chi riferisce.

Una gerarchia semplice e indispensabile: IAO livello superiore, IAM livello inferiore

Alla base di tutto resta un principio semplice:

• l’IAO guida e decide: ha la responsabilità finale, fissa le politiche, approva le decisioni critiche, verifica e supervisiona;
• l’IAM implementa e riporta. mette in pratica ogni giorno le politiche definite, aggiorna gli inventari, monitora gli asset, segnala eventuali criticità all’IAO.

In pratica:

• l’IAM risponde direttamente all’IAO su tutto ciò che riguarda la gestione quotidiana degli asset informativi;
• l’IAO mantiene sempre la responsabilità strategica, senza delegare le decisioni critiche: ascolta le proposte dell’IAM, ma è lui a decidere.

I modelli organizzativi possibili

A seconda della dimensione e della struttura dell’azienda, questa relazione può prendere forme diverse.

Ecco i modelli utilizzabili:

• modello diretto: l’IAO supervisiona uno o più IAM in modo diretto. È la soluzione più semplice, tipica delle organizzazioni medie. Vantaggio: comunicazione veloce, decisioni rapide, gestione snella;
• modello matriciale: gli IAM rispondono sia all’IAO, sia ad altri manager funzionali, come l’IT Manager o il Compliance Officer. È il modello più usato nelle aziende grandi o con strutture complesse. Richiede maggiore coordinamento, ma offre maggiore flessibilità operativa;
• modello a comitato: in realtà molto articolate, con più business unit, esistono più IAO che coordinano più IAM distribuiti tra le varie aree. È il modello più sofisticato, usato da grandi multinazionali o enti pubblici complessi. Richiede una governance molto ben strutturata.

La regola d’oro: ruoli distinti, zero sovrapposizioni

Se c’è una cosa che può mettere a rischio tutto il sistema, è la confusione di ruoli.

Quando IAO e IAM si sovrappongono, o peggio ancora quando i confini tra strategia e operatività si fanno sfumati, il rischio operativo aumenta.

Pertanto:

• l’IAM non deve prendere decisioni strategiche o definire policy: il suo compito è eseguire e controllare;
• l’IAO non deve intervenire nelle attività operative quotidiane: deve mantenere la visione d’insieme e la responsabilità finale.

Ogni escalation deve seguire un percorso preciso e tracciabile, senza ambiguità.

Se l’IAM rileva un problema che supera il proprio livello di autorità, deve riferire all’IAO. Invece, se l’IAO decide un cambiamento di policy, deve comunicarlo in modo chiaro agli IAM, che lo implementano.

Esempi operativi di sinergia tra IAO e IAM

Per capire davvero perché il modello IAO- IAM non è solo teoria ma metodo operativo concreto, è utile osservare come dovrebbe funzionare nella pratica.

Di seguito, due scenari reali: uno ordinario, legato alla gestione quotidiana, e uno di emergenza, dove la capacità di coordinamento fa la differenza tra un problema risolto e un danno grave.

Esempio 1: implementazione di un nuovo sistema critico

• l’IAO classifica il nuovo sistema come asset informativo critico, definisce le politiche di sicurezza da applicare, approva budget e tempistiche per l’implementazione;
• l’IAM esegue materialmente le configurazioni, implementa i controlli di sicurezza, aggiorna l’inventario degli asset, avvia il monitoraggio quotidiano;
• lo IAO riceve report settimanali da parte dell’IAM, valuta eventuali proposte di aggiornamento o intervento e pianifica revisioni trimestrali formali per verificare l’efficacia del sistema.

Esempio 2: gestione di un incidente di sicurezza

• l’IAM rileva un accesso anomalo grazie al sistema di monitoraggio, isola immediatamente il sistema coinvolto e avvia le procedure di incident response previste;
• entro 30 minuti, l’IAM effettua escalation verso l’IAO, fornendo un primo report di sintesi.
• l’IAO valuta l’impatto strategico, attiva il team di crisi interno e approva gli eventuali interventi straordinari, sia tecnici sia organizzativi;
• l’IAM coordina le attività di ripristino tecnico, mantenendo l’IAO aggiornato con report a cadenza regolare e predefinita;
• l’IAO gestisce le comunicazioni ufficiali: verso il board aziendale, le autorità competenti, i clienti eventualmente coinvolti;
• conclusa l’emergenza, l’IAM redige un report tecnico dettagliato, mentre l’IAO utilizza tali informazioni per aggiornare policy, procedure e investimenti in sicurezza.

Perché questa sinergia fa la differenza

Questi esempi dimostrano in modo chiaro e concreto come la collaborazione strutturata tra Information Asset Owner e Information Asset Manager non sia solo una buona prassi, ma un elemento essenziale per garantire:

• maggiore efficacia operativa – ogni ruolo fa esattamente ciò che deve fare, senza sovrapposizioni né vuoti di responsabilità;
• maggiore conformità normativa: il modello risponde ai requisiti previsti da Gdpr, NIS 2, ISO/IEC 27001 de altri standard internazionali;
• maggiore resilienza organizzativa: le decisioni strategiche e le attività quotidiane si alimentano a vicenda, creando un sistema di gestione degli asset realmente vivo e funzionante.

Modello IAO – IAM: è l’ora di formalizzare questi due ruoli, senza improvvisazioni

Distinguere e integrare correttamente le funzioni di Information Asset Owner (IAO) e Information Asset Manager (IAM) non è un dettaglio da lasciare ai tecnici o all’amministrazione, ma una scelta strutturale, fondamentale per costruire sistemi di gestione della sicurezza informatica che funzionino davvero: efficaci, conformi alle normative, capaci di resistere nel tempo e di adattarsi ai cambiamenti.

• IAO = strategia e comando. È il punto di riferimento per le decisioni strategiche, le politiche di sicurezza, la supervisione globale;
• IAM = esecuzione e monitoraggio. È il motore operativo quotidiano, il garante del funzionamento pratico delle regole definite.

Chiunque voglia prendere sul serio l’adeguamento agli standard internazionali – ISO/IEC 27001, NIS 2, GDPR, NIST CSF 2.0 eccetera – dovrebbe iniziare a valutare l’opportunità di formalizzare questi due ruoli, senza improvvisazioni.

Occorre attribuire responsabilità precise, chiare e tracciabili, definire linee di reporting semplici e documentate e stabilire percorsi di escalation operativa e decisionale in modo inequivocabile.

Nel quinto ed ultimo capitolo della pentalogia entreremo ancora più in profondità e vedremo come integrare in modo operativo e sistematico le funzioni di IAO e IAM all’interno di qualsiasi struttura aziendale, quali modelli organizzativi applicare a seconda della dimensione e del settore, quali procedure formali adottare per garantire efficienza, controllo, trasparenza, e, infine, quali sono le prospettive future di evoluzione di questi ruoli, nel contesto europeo ed internazionale.