È fondamentale comprendere le misure tecniche da adottare per i soggetti decretati IMPORTANTI dal NIS. Qui un’analisi del documento ufficiale di ACN (Allegato 1), riorganizzata con un dettaglio maggiore dei punti chiave e delle relative misure tecniche da adottare. Iniziamo in questa prima parte dai primi due principi fondamentali: GOVERNARE e IDENTIFICARE.

C. PROTECT (PROTEGGERE)

ID.AM – Gestione degli asset:

Identificare e gestire gli asset in base alla loro importanza. Mantenere inventari aggiornati.

• Implementazione di sistemi di inventario automatico degli asset IT e OT (hardware, software, configurazioni, dati).
• Utilizzo di strumenti di classificazione degli asset in base a criteri di criticità, sensibilità e valore.
• Implementazione di processi di gestione delle modifiche (Change Management) che aggiornino l’inventario degli asset.

ID.RA – Valutazione del rischio:

Comprendere e valutare il rischio di cybersecurity. Definire e monitorare un piano di trattamento del rischio.

• Esecuzione periodica di scansioni di vulnerabilità automatizzate (vulnerability assessment) su sistemi, applicazioni e reti.
• Esecuzione periodica di test di penetrazione (penetration testing) interni ed esterni per simulare attacchi reali.
• Utilizzo di piattaforme di Threat Intelligence per raccogliere, analizzare e contestualizzare informazioni sulle minacce attuali e potenziali.
• Implementazione di strumenti di analisi del rischio (risk assessment tools) per quantificare e prioritizzare i rischi.

C. PROTECT (PROTEGGERE)

PR.DS – Sicurezza dei dati:

Utilizzare protocolli di cifratura sicuri. Effettuare backup regolari dei dati e delle configurazioni.

• Implementazione di algoritmi di crittografia robusti (es. AES-256, RSA) per proteggere i dati a riposo (database, file system) e in transito (protocolli TLS/SSL, VPN).
• Implementazione di soluzioni di gestione delle chiavi di crittografia sicure.
• Adozione di policy di backup e ripristino automatizzate e verificate, con conservazione delle copie in sedi separate (fisiche o logiche).
• Implementazione di controlli di accesso granulari ai dati basati sul principio del privilegio minimo.

PR.PS – Sicurezza delle piattaforme:

Gestire l’hardware e il software in modo sicuro. Installare aggiornamenti di sicurezza. Generare e conservare i log per il monitoraggio. Adottare pratiche di sviluppo sicuro del codice.

• Implementazione di un sistema centralizzato di gestione delle patch (patch management) per l’applicazione tempestiva degli aggiornamenti di sicurezza a sistemi operativi, applicazioni e firmware.
• Utilizzo di software antivirus e antimalware aggiornati su endpoint e server.
• Implementazione di configurazioni sicure (hardening) per sistemi operativi, server, applicazioni e dispositivi di rete, seguendo benchmark di sicurezza riconosciuti (es. CIS Benchmarks).
• Implementazione di un sistema di centralizzazione e conservazione dei log di sicurezza (SIEM) per l’analisi e il monitoraggio degli eventi.
• Adozione di pratiche di Secure Development Lifecycle (SDLC) e DevSecOps, con analisi statica e dinamica del codice, code review e vulnerability scanning integrati nel processo di sviluppo.

PR.IR – Resilienza dell’infrastruttura tecnologica:

Gestire le architetture di sicurezza. Proteggere l’accesso remoto. Mantenere e configurare i sistemi perimetrali (firewall).

• Implementazione di architetture di sicurezza segmentate (segmentazione di rete, microsegmentazione) per limitare la propagazione degli attacchi.
• Utilizzo di firewall di nuova generazione (NGFW) con funzionalità di ispezione approfondita del traffico, intrusion prevention system (IPS) e application control.
• Implementazione di sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS) a livello di rete e host.
• Utilizzo di soluzioni di accesso remoto sicuro (VPN) con autenticazione forte e crittografia.
• Implementazione di sistemi di bilanciamento del carico e failover per garantire l’alta disponibilità dei servizi critici.

D. DETECT (RILEVARE)

DE.CM – Monitoraggio continuo:

Monitorare gli asset per individuare anomalie e potenziali incidenti. Definire i livelli di servizio attesi (SL).

• Implementazione e configurazione di un Sistema di Gestione delle Informazioni e degli Eventi di Sicurezza (SIEM) per la raccolta, l’aggregazione, la normalizzazione e l’analisi dei log di sicurezza provenienti da diverse fonti.
• Utilizzo di strumenti di Network Monitoring System (NMS) per monitorare la disponibilità, le prestazioni e il traffico della rete.
• Implementazione di sistemi di rilevamento comportamentale (User and Entity Behavior Analytics – UEBA) per identificare anomalie nel comportamento degli utenti e delle entità.
• Definizione e monitoraggio di indicatori di compromissione (IOCs) e tattiche, tecniche e procedure (TTPs) degli attaccanti.
• Implementazione di sistemi di allerta e notifica in tempo reale per eventi di sicurezza significativi.

E. RESPOND (RISPONDERE)

RS.MA – Gestione degli incidenti:

Adottare procedure per comunicare gli incidenti significativi.

• Implementazione di un sistema di gestione degli incidenti (Incident Response Platform – IRP) per tracciare, gestire e coordinare la risposta agli incidenti.
• Definizione e implementazione di procedure di escalation e notifica degli incidenti, inclusi i canali di comunicazione interni ed esterni.
• Utilizzo di strumenti di analisi forense per l’investigazione degli incidenti.

F. RECOVER (RIPRISTINARE)

RC.RP – Esecuzione del piano di ripristino dagli incidenti:

• Implementazione e test periodici di piani di Disaster Recovery (DR) e Business Continuity (BC).
• Utilizzo di sistemi di replica e failover per garantire la continuità operativa dei servizi critici.
• Implementazione di procedure di ripristino dei dati da backup verificati.

Ci auguriamo che questa analisi più sintetica dell’Allegato 1 di ACN, vi sia più comprensibile ed utile.