L’entrata in vigore del D.Lgs. 138/2024 ha reso ancora più evidente un problema noto a chi si occupa di sicurezza: un’analisi dei rischi è utile quando collega gli adempimenti alla realtà dell’organizzazione e consente decisioni consapevoli. Il punto di partenza è rappresentato dai servizi e dalle attività individuati nella categorizzazione ACN, sui quali valutare le conseguenze di un incidente.
Con la direzione non basta discutere di firewall, aggiornamenti e altri aspetti tecnici: occorre spiegare quali attività potrebbero essere compromesse, con quali conseguenze e quali interventi siano necessari. L’analisi deve essere riesaminata periodicamente e aggiornata a ogni variazione significativa. Servono quindi un metodo comprensibile e strumenti semplici da utilizzare e mantenere.
Indice degli argomenti
La gestione del rischio NIS2 parte dai servizi aziendali
Molte analisi partono dall’inventario analitico degli asset, una base informativa importante che, nelle organizzazioni complesse, può generare valutazioni frammentate e difficili da rappresentare alla direzione.
Spostare l’attenzione sul servizio permette di ricondurre i problemi tecnici al punto in cui l’incidente produce conseguenze concrete. Una metodologia pragmatica parte quindi dai servizi aziendali, ne valuta l’impatto in caso di compromissione, li collega alle infrastrutture che li sostengono e determina i relativi rischi.
Per rendere il processo più gestibile, le infrastrutture possono essere aggregate in macro-infrastrutture coerenti con l’organizzazione. Ciascun servizio può dipendere da una o più macro-infrastrutture, alle quali deve corrispondere un insieme identificabile di sistemi e risorse.
Questa scelta metodologica semplifica la valutazione mantenendo il collegamento con l’inventario degli asset. Quando emergono componenti con caratteristiche o criticità differenti, occorre distinguerle e svolgere gli approfondimenti necessari.
Misure ACN e criteri coerenti nell’analisi del rischio NIS2
In molte realtà non è ancora chiaro quali misure di sicurezza di base indicate dall’ACN debbano essere adottate e come applicarle. Prima del calcolo del rischio occorre quindi tradurre i requisiti in attività concrete.
È utile distinguere le misure organizzative e procedurali, quali politiche, piani, responsabilità e controlli, dalle misure tecniche da applicare ai sistemi e da quelle relative alla catena di fornitura. Questa distinzione aiuta a comprendere cosa implementare, documentare e mantenere nel tempo.
Impatto, probabilità ed efficacia dei controlli
I valori di impatto utilizzati nella categorizzazione ACN costituiscono una base per l’analisi. Il loro impiego deve essere esplicitato nella metodologia adottata, evitando duplicazioni ma mantenendo la valutazione delle conseguenze sulla riservatezza, sull’integrità e sulla disponibilità coerente con gli scenari considerati. Le eventuali variazioni devono essere motivate e documentate secondo le regole applicabili.
La probabilità deve tenere conto delle minacce, delle vulnerabilità e delle carenze nelle procedure, nelle protezioni tecniche e nella gestione dei fornitori. La presenza di un documento o di una soluzione tecnologica non dimostra, da sola, che il rischio sia adeguatamente controllato: occorre verificarne applicazione, copertura ed efficacia.
Supply chain e rischio delle forniture
Per la supply chain serve una procedura riferita alla fornitura e ai servizi aziendali che ne dipendono. Lo stesso fornitore può avere una rilevanza diversa in relazione alle attività supportate. Tra i criteri da considerare rientrano la sostituibilità della fornitura, le certificazioni pertinenti, gli accessi a sistemi e dati e le conseguenze di un’interruzione.
Le clausole contrattuali e l’analisi specifica del rischio della fornitura contribuiscono alla gestione del rischio quando si traducono in impegni verificabili, controlli e interventi sulle criticità emerse.
Dal rischio NIS2 al piano di trattamento
La dashboard finale deve evidenziare il rischio relativo a ciascun servizio e renderne comprensibili le conseguenze: interruzioni operative, compromissione delle informazioni, perdite economiche e danni per clienti o altri destinatari.
Un indicatore sintetico acquista valore quando permette di individuare le carenze che lo hanno determinato e le azioni necessarie per ridurle. L’analisi deve quindi collegare ogni criticità a un intervento concreto.
Il piano di trattamento e il rischio residuo
Il CISO, o la funzione incaricata della sicurezza, predispone il piano di trattamento con il contributo dei responsabili dei servizi e delle altre funzioni coinvolte. Il piano deve indicare misure, priorità, responsabili, tempi di attuazione, budget e risultati attesi.
Gli organi di amministrazione e direttivi approvano quanto di loro competenza, assicurano le risorse necessarie e supervisionano l’attuazione. La verifica dell’avanzamento consente di individuare ritardi, correggere gli interventi e rivalutare il rischio residuo.
CISO e CdA nelle decisioni sulla sicurezza NIS2
La stessa analisi deve parlare linguaggi differenti. Al CISO servono informazioni dettagliate sulle carenze e sulle attività da realizzare. Al consiglio di amministrazione occorre una sintesi che colleghi rischi, servizi, investimenti e conseguenze delle decisioni.
Non è necessario che ogni amministratore sappia configurare un firewall o progettare un sistema di backup. Deve però comprendere quali servizi siano esposti, quali effetti possa produrre un incidente e quanto gli interventi proposti contribuiscano a ridurli.
Le informazioni presentate al CdA devono consentire di stabilire priorità e valutare anche le conseguenze del rinvio di un intervento. Una rendicontazione periodica permette di verificare la coerenza tra risorse assegnate, attività svolte e risultati raggiunti.
Procedure organizzative per rendere operativo l’adeguamento NIS2
Soprattutto nelle PMI, una delle principali carenze può riguardare proprio le procedure organizzative. Le attività di sicurezza vengono spesso affidate all’esperienza delle singole persone o a prassi consolidate, senza formalizzare responsabilità, modalità operative e controlli. Il rischio è che conoscenze essenziali rimangano legate a chi svolge il lavoro, rendendo più difficile gestire assenze, avvicendamenti ed emergenze.
Procedure applicabili nelle attività quotidiane
Le procedure rendono la sicurezza un’attività ripetibile e verificabile. Anche una protezione tecnica adeguata può perdere efficacia se mancano regole sulla sua gestione. Un backup, ad esempio, richiede indicazioni sulla frequenza delle copie, sulla verifica degli esiti e sulle prove di ripristino. La gestione degli accessi deve prevedere autorizzazioni, revisioni e revoche quando cambiano mansioni o rapporti di lavoro.
Le procedure non devono trasformarsi in trattati giuridici o in raccolte di riferimenti normativi difficili da consultare. Devono essere strumenti di lavoro snelli e comprensibili, anche sotto forma di tabelle, diagrammi di flusso, checklist o schede operative. L’obiettivo è indicare chi deve fare cosa, quando e quali evidenze conservare, traducendo le misure ACN in istruzioni applicabili nelle attività quotidiane.
Responsabilità, verifiche e aggiornamenti
Politiche, procedure e piani devono essere proporzionati all’organizzazione, conosciuti dalle persone coinvolte, aggiornati e approvati dagli organi competenti quando previsto. La loro efficacia dipende dall’applicazione concreta, verificabile attraverso registrazioni, prove, formazione e riesami.
Il collegamento tra servizi, rischi, misure e procedure permette così di trasformare l’adeguamento NIS2 in un processo di protezione delle attività aziendali.
Partecipa alla community