È fondamentale comprendere le misure tecniche da adottare per i soggetti decretati IMPORTANTI dal NIS. Qui un’analisi del documento ufficiale di ACN (Allegato 1), riorganizzata con un dettaglio maggiore dei punti chiave e delle relative misure tecniche da adottare. Iniziamo in questa prima parte dai primi due principi fondamentali: GOVERNARE e IDENTIFICARE.

È fondamentale comprendere le misure tecniche da adottare per i soggetti decretati IMPORTANTI dal NIS. Qui un’analisi del documento ufficiale di ACN (Allegato 1), riorganizzata con un dettaglio maggiore dei punti chiave e delle relative misure tecniche da adottare. Iniziamo in questa prima parte dai primi due principi fondamentali: GOVERNARE e IDENTIFICARE.

A. GOVERN (GOVERNARE)

GV.OC – Contesto organizzativo:

Comprendere e comunicare gli obiettivi, le capacità e i servizi critici. Mantenere aggiornato un inventario dei sistemi IT e di rete.

• Implementazione e gestione di un Sistema di Gestione della Configurazione (CMDB) centralizzato e aggiornato in tempo reale, integrato con strumenti di ricerca automatica degli asset IT (hardware, software, servizi).
• Creazione e manutenzione di un Registro dei Servizi Critici che identifichi le dipendenze tra servizi, sistemi e fornitori, con classificazione del livello di criticità.
• Utilizzo di strumenti di visualizzazione delle infrastrutture IT e OT per una chiara comprensione delle interconnessioni e delle zone di sicurezza.
• Implementazione di procedure di change management che includano la valutazione dell’impatto sulla sicurezza.

GV.RM – Strategia di gestione del rischio:

Stabilire le priorità e integrare la gestione del rischio di cybersecurity nei processi aziendali.

• Stabilire le priorità e integrare la gestione del rischio di cybersecurity nei processi aziendali.
• Adozione e sviluppo di un framework di gestione del rischio di cybersecurity (es. ISO 27001, NIST CSF) integrato con la gestione del rischio aziendale complessiva.
• Utilizzo di software dedicati all’analisi e alla gestione del rischio, inclusi moduli per la valutazione delle vulnerabilità e la gestione dei piani di trattamento del rischio.
• Definizione e implementazione di metriche e indicatori chiave di rischio (KRI) per monitorare l’efficacia delle misure di sicurezza

GV.RR – Ruoli, responsabilità e correlati poteri:

Definire e comunicare i ruoli in termini di cybersecurity. Valutare l’affidabilità del personale autorizzato.

• Implementazione di un sistema di gestione di identità e accessi (IAM) centralizzato con controllo degli accessi basato sui ruoli (RBAC) e sul principio del privilegio minimo.Implementazione di autenticazione a più fattori (MFA) per tutti gli accessi privilegiati e, ove possibile, per gli accessi standard.Implementazione di autenticazione a più fattori (MFA) per tutti gli accessi privilegiati e, ove possibile, per gli accessi standard.
• Utilizzo di registri di audit dettagliati per tracciare le azioni degli utenti, in particolare quelle con privilegi elevati.
• Implementazione di procedure di verifica del background e valutazione dell’affidabilità per il personale con accesso a sistemi critici.

GV.PO – Politica:

Stabilire e applicare una politica di cybersecurity che copra vari ambiti, dalla gestione del rischio alla risposta agli incidenti.

• Utilizzo di strumenti di gestione delle policy di sicurezza per la creazione, la distribuzione, l’applicazione e il monitoraggio delle policy (es. Group Policy, endpoint management system).
• Implementazione di soluzioni di Data Loss Prevention (DLP) a livello di endpoint, rete e cloud per prevenire la fuoriuscita di informazioni sensibili.
• Definizione e applicazione di policy di gestione delle password robuste (lunghezza, complessità, rotazione, divieto di riutilizzo).
• Implementazione di policy di gestione degli accessi remoti sicure (es. VPN con autenticazione forte, segmentazione di rete).
• Consapevolezza degli utenti alla cybersecurity attraverso piani di formazione.

GV.SC – Gestione del rischio della catena di approvvigionamento:

Identificare, monitorare e risolvere i rischi nella catena di approvvigionamento.

• Sviluppo e analisi di questionari di autovalutazione della sicurezza per i fornitori.
• Esecuzione di audit di sicurezza presso i fornitori critici.
• Integrazione di requisiti di sicurezza contrattuali negli accordi con i fornitori.
• Utilizzo di strumenti di monitoraggio della reputazione e della postura di sicurezza dei fornitori (Security Rating Services).
• Implementazione di misure di segmentazione di rete per isolare i sistemi che interagiscono con fornitori esterni.

B. IDENTIFY (IDENTIFICARE)

ID.AM – Gestione degli asset:

Identificare e gestire gli asset in base alla loro importanza. Mantenere inventari aggiornati.

• Implementazione di sistemi di inventario automatico degli asset IT e OT (hardware, software, configurazioni, dati).
• Utilizzo di strumenti di classificazione degli asset in base a criteri di criticità, sensibilità e valore.
• Implementazione di processi di gestione delle modifiche (Change Management) che aggiornino l’inventario degli asset.

ID.RA – Valutazione del rischio:

Comprendere e valutare il rischio di cybersecurity. Definire e monitorare un piano di trattamento del rischio.

Esecuzione periodica di scansioni di vulnerabilità automatizzate (vulnerability assessment) su sistemi, applicazioni e reti.

Esecuzione periodica di test di penetrazione (penetration testing) interni ed esterni per simulare attacchi reali.

Utilizzo di piattaforme di Threat Intelligence per raccogliere, analizzare e contestualizzare informazioni sulle minacce attuali e potenziali.

Implementazione di strumenti di analisi del rischio per quantificare e prioritizzare i rischi.

Le prime due aree – Governare e Identificare – costituiscono le fondamenta su cui costruire una strategia efficace contro i cyber attacchi. Ma non basta fermarsi qui. Per essere davvero resilienti, bisogna anche rilevare le minacce, saper rispondere con prontezza e garantire il ripristino dell’operatività.