Le dieci misure di salvaguardia, spiegate in linguaggio ordinario
Se la vostra organizzazione rientra nella direttiva NIS2 come entità essenziale o importante, dovete rispettare un obbligo di salvaguardia: dovete adottare misure appropriate per gestire i rischi per i vostri sistemi di rete e di informazione. La direttiva lo articola in una serie di dieci tipi di misure, elencate all'articolo 21. Sono deliberatamente formulate in modo ampio, affinché si applichino sia a un'azienda di installazione con venti dipendenti che a un'azienda energetica con mille. Come si verifica che una misura sia stata implementata? Non mediante una semplice spunta, ma attraverso tre elementi che vanno insieme: un documento concreto o un'impostazione tecnica che attua la misura, il nome di una persona responsabile per essa, e la data dell'ultimo controllo.
Le dieci misure si dividono approssimativamente in quattro gruppi: conoscere e documentare i rischi, affrontare gli incidenti, gestire la catena di approvvigionamento e mantenere in ordine le persone e la tecnologia. Di seguito le analizziamo, non come una lista di controllo da spuntare, ma come una spiegazione di cosa significa ciascuna misura nella pratica.
Conoscere e documentare i rischi
La prima misura è una politica per l'analisi dei rischi e la sicurezza delle informazioni: un documento che descrive quali sistemi sono importanti, cosa potrebbe andare storto e come lo valutate. Non deve essere una relazione voluminosa, ma qualcosa che un esterno — un'autorità di controllo, un cliente, un nuovo collega — possa leggere e comprendere. Inoltre, la direttiva menziona la politica e le procedure per valutare l'efficacia delle misure: non solo documentate cosa fate, ma anche come verificate che funzioni. C'è poi una misura separata per l'igiene cibernetica e la formazione: regole pratiche di base e la capacità dei dipendenti di riconoscere un'email sospetta.
Affrontare gli incidenti
Un secondo gruppo riguarda cosa accade quando qualcosa va storto. La gestione degli incidenti significa che esiste una procedura per definire chi fa cosa quando viene rilevato un incidente, e come viene segnalato. La continuità aziendale — che include la gestione dei backup, il ripristino da situazioni di emergenza e la gestione delle crisi — riguarda la questione di come continuare dopo un guasto o un attacco: avete un backup aggiornato, sapete chi coordina la crisi, ed è mai stato testato? Questo è l'elemento in cui le organizzazioni spesso si fidano senza averlo verificato, ed è proprio questa verifica che un'autorità di controllo o un cliente vuole vedere.
Gestire la catena di approvvigionamento
La direttiva dedica una misura separata alla sicurezza della catena di approvvigionamento, incluso il rapporto con i singoli fornitori. È per questo che anche le aziende non soggette all'obbligo ricevono questionari dai loro clienti: il cliente deve valutare la propria catena per rispettare questa misura. Una misura correlata riguarda la sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi di rete e di informazione, inclusa la gestione delle vulnerabilità — quindi anche come viene acquistato e aggiornato il software.
Persone e tecnologia in ordine
L'ultimo gruppo è il più tecnico, ma non meno concreto. La sicurezza del personale, la politica di accesso e la gestione dei beni aziendali riguardano chi può accedere a quali sistemi e cosa accade quando qualcuno lascia l'organizzazione. L'uso dell'autenticazione a più fattori o di soluzioni equivalenti, e la comunicazione vocale, video e testuale sicura e i sistemi di comunicazione di emergenza sicuri, è la misura più vicina alla pratica quotidiana: è ancora possibile accedere alla posta elettronica e ai sistemi aziendali con solo una password, oppure c'è un secondo passaggio? E, ove applicabile, comprende la politica e le procedure per l'uso della crittografia e, se pertinente, della cifratura.
Ciò che questi dieci provvedimenti hanno in comune è che richiedono tutti tre cose: una prova, un responsabile e un momento di verifica. È esattamente come è strutturato un fascicolo permanente, piuttosto che un'istantanea che diventa obsoleta dopo sei mesi. La severità con cui una misura deve essere implementata nel vostro caso dipende dalle dimensioni della vostra organizzazione e dai rischi associati al vostro settore — su questo la verifica gratuita risponde a pochi quesiti fornisce una prima indicazione.
Per chi desidera sapere come questi dieci provvedimenti si traducono nella legge nazionale e in passaggi concreti per argomento, è disponibile una panoramica per argomento, ordinata per situazione. Lì è anche spiegato quale fonte corrisponde a quale illustrazione e in quale data è stata consultata, come descritto in la pagina sulle fonti delle informazioni. Per la domanda su cosa esattamente è gratuito e cosa è incluso in un abbonamento, è disponibile una panoramica delle domande frequenti.
Questi dieci provvedimenti costituiscono un quadro, non un esercizio da compilare con un'unica risposta corretta. Ciò che è appropriato per la vostra organizzazione dipende dal vostro settore, dalle dimensioni e dai sistemi da cui dipendete — su questo la normativa stessa e l'illustrazione dell'autorità di vigilanza forniscono la risposta più sicura. Se volete prima sapere se e come questo obbligo di diligenza si applica alla vostra organizzazione, iniziate con la verifica NIS2 gratuita o consultate la banca dati di conoscenze su secria.eu.