L’entrata in vigore del recepimento italiano della Direttiva NIS2, consolidato nel Decreto Legislativo 138/2024, ha spostato l’asse della compliance aziendale da una logica puramente perimetrale a una prettamente funzionale. In questo nuovo scenario normativo, il processo di “categorizzazione” delle attività e dei servizi svolti dall’organizzazione non rappresenta un mero adempimento formale, bensì il pilastro operativo su cui edificare l’intera postura di sicurezza cyber. La norma impone un cambio di paradigma: non è più sufficiente proteggere l’infrastruttura in quanto tale, ma è necessario declinare i presidi di sicurezza in funzione della criticità dei servizi aziendali. Il punto di partenza è la creazione di una sorta di “inventario delle attività e dei servizi”.
Indice degli argomenti
I confini del perimetro di analisi
Il perimetro delle attività e dei servizi da prendere in considerazione deve rispondere contemporaneamente a tre specifiche declinazioni logico-operative:
- Sotto il profilo tecnologico: devono essere censite tutte le attività svolte o erogate per il tramite di sistemi informativi e di rete. Qualsiasi processo che si appoggi, anche parzialmente, su infrastrutture digitali rientra automaticamente nell’alveo dell’analisi.
- Sotto il profilo logico-relazionale: l’inventario deve guardare bidirezionalmente sia all’esterno (servizi erogati a clienti, partner o alla collettività) sia all’interno dell’organizzazione (processi HR, ERP, sistemi di Identity and Access Management, logistica interna).
- Sotto il profilo organizzativo: non occorre limitarsi a ciò che viene gestito direttamente dalle strutture interne. La compliance impone di tracciare anche i servizi delegati a fornitori esterni o gestiti in regime di outsourcing (es. soluzioni SaaS, cloud provider, managed service provider).
Un punto di potenziale confusione per i compliance manager riguarda la demarcazione tra la mappatura delle attività e la parallela individuazione della catena di fornitura. Mentre il processo di scrutinio dei “fornitori critici” richiede di censire e comunicare ad ACN anche la filiera non propriamente ICT (come i fornitori di logistica fisica, manutenzione impianti o vigilanza), la categorizzazione NIS2 si focalizza in modo stringente ed esclusivo sulle attività supportate da sistemi ICT.
Metodologie suggerite per la catalogazione delle attività e servizi: Top-down e Bottom-up
Tale attività, con molta probabilità, ricadrà sui CISO e i responsabili IT, che dovranno avvalersi della collaborazione dei responsabili di funzione, pertanto, è necessario creare un gruppo di lavoro.
Talune organizzazioni possono utilizzare elenchi predisposti anche per altri fini come mansionari operativi o, ancor meglio, i registri dei processi derivanti dalla Business Impact Analysis (BIA) nell’ambito della Business Continuity.
Per le realtà che devono strutturare la mappatura ex novo, le indicazioni metodologiche ufficiali fornite dall’Agenzia per la Cybersicurezza Nazionale (ACN) delineano due approcci speculari:
- L’approccio Top-down: questa metodologia individua le attività e i servizi partendo dall’organigramma aziendale collegandolo ai diversi processi di business. Si identificano le macro-funzioni aziendali (es. Produzione, Vendite, Amministrazione) per poi scendere nel dettaglio dei singoli sotto-processi e, solo in ultima istanza, identificare quali sistemi ICT supportino tali attività.
- L’approccio Bottom-up: al contrario, parte dall’inventario tecnico dei sistemi informativi, delle reti e delle applicazioni per risalire alle attività e servizi di business che abilitano. Ha il vantaggio strategico di non lasciare indietro alcun asset digitale e di collegare nativamente la componente infrastrutturale alle funzioni aziendali.
Tenuto conto che la responsabilità di condurre questa ricognizione viene demandata alle funzioni IT, l’approccio bottom-up si rivela il più immediato, concreto e meno incline a errori di omissione tecnica.
L’obiettivo finale dovrebbe essere quello di strutturare un elenco in grado di legare univocamente la catena logica: Attività/Servizio – Sistemi ICT impiegati (strumenti) – Funzione aziendale abilitante (risorse umane).
Il livello di dettaglio e le macro-classi ACN
In fase di definizione delle modalità di catalogazione risulta particolarmente utile far riferimento alle 10 macro-aree ACN e alle relative descrizioni. Ricordiamo che le 10 macro-aree sono:
- Monitoraggio e controllo
- Gestione delle risorse umane
- Produzione di beni e servizi
- logistica
- Ricerca, sviluppo e progettazione
- Comunicazione e marketing
- Gestione finanziaria
- Gestione amministrativa
- Gestione dei clienti
- Altri servizi e attività
Un ulteriore aspetto problematico è quello di definire il livello di dettaglio delle attività (l’errore più comune è l’eccesso di frammentazione). Mappare ogni singola sotto-attività rischia di generare un elenco complesso, impossibile da mantenere aggiornato e disfunzionale in fase di risk assessment.
L’indicazione operativa è quella di aggregare e considerare unitariamente le attività che soddisfano contemporaneamente tre requisiti di omogeneità:
- Rientrano nella medesima macro-area definita dall’ACN.
- Sono supportate e gestite dal medesimo sistema ICT o dalla stessa infrastruttura di rete.
- Presentano il medesimo livello di rischio cibernetico intrinseco.
Si tenga conto che qualora un’attività o un servizio sia riconducibile a più macro-aree è necessario procedere ad una ulteriore scomposizione, al fine di attribuirla alla propria macro-area. In molte situazioni è presente in azienda un unico applicativo che gestisce più attività ricadenti in due o più macro-aree che teoricamente potrebbe essere accorpate che non risulta possibile in base alle indicazioni ACN.
Comunque, al di fuori degli aspetti obbligatori previsti da ACN, è consigliabile evitare elenchi particolarmente laboriosi, soprattutto a parità di rischio e di infrastruttura applicata.
Macro-aree e categorie di rilevanza
L’allegato 1 e 2 che definisce le macro-aree indica anche la “categoria di rilevanza”, ossia la valutazione dell’impatto che viene definita con la scala: alto, medio, basso e minimo.
Per le macro-aree ad impatto medio e alto ACN provvederà ad elaborare delle ulteriori misure di sicurezza definite come “misure di lungo periodo”.
Conclusione
In conclusione, la categorizzazione richiesta da ACN non è un semplice adempimento documentale e burocratico, ma rappresenta il primo mattone di un risk assessment efficace. Un elenco delle attività ben fatto è utile anche ad altri fini la privacy, se collegato al trattamento dei dati personali.
