Le 21 misure, spiegate con chiarezza.

Politiche di sicurezza dell’informazione — approvate dal consiglio

Una politica scritta approvata dal consiglio definisce propensione al rischio, ambito e cadenza di revisione — senza di essa ogni altra misura diventa estemporanea. L’Allegato A.5.1 di ISO 27001 è il riferimento operativo.

Ruoli, responsabilità e accountability formalmente documentati

Ogni controllo ha un proprietario nominato; la separazione delle funzioni è documentata per le operazioni ad alto rischio. I supervisori chiederanno «chi ha approvato» a seguito di un incidente.

Formazione degli amministratori sul rischio cyber

L’articolo 20, paragrafo 2, rende obbligatoria e tracciabile la formazione degli amministratori. I moduli di awareness generici non bastano — la formazione deve permettere di comprendere i rischi specifici dell’ente.

Revisione indipendente annuale del programma di sicurezza

Un audit esterno o interno indipendente che esamini la maturità del programma ogni anno. Gli esiti sono portati al consiglio con piano di rimedio e calendario.

Metodologia di analisi del rischio e registro dei rischi aggiornato

Una metodologia documentata (qualitativa o quantitativa) e un registro rivisto almeno trimestralmente. I registri statici sono un campanello d’allarme tipico per i supervisori.

Inventario degli asset: sistemi informativi e dati

Non si protegge ciò che non si sa di esercire. L’inventario copre hardware, software, servizi cloud, flussi di dati e dipendenze — aggiornato automaticamente ove possibile.

Piani di continuità operativa e gestione delle crisi

I piani coprono perdita del sito, del fornitore e dell’accesso. Definiscono RTO/RPO per servizio, protocolli di comunicazione e catena di comando in crisi.

Backup: procedure di ripristino testate

Un backup mai ripristinato resta teorico. La NIS2 attende evidenze di test di restore regolari, idealmente con configurazioni resilienti al ransomware (immutabili, offline o air-gapped).

Autenticazione multifattore su tutti gli accessi critici

L’articolo 21, paragrafo 2, lettera j) richiede esplicitamente la MFA. L’accesso critico include account amministrativi, accesso remoto, applicazioni esposte e accesso a dati sensibili — i fattori resistenti al phishing sono sempre più attesi.

Politica di crittografia e cifratura

Una politica che specifichi algoritmi, ciclo di vita delle chiavi e dove la cifratura è richiesta (dati a riposo, in transito, nei backup). L’ENISA indica la preparazione post-quantistica come criterio prospettico.

Segmentazione di rete e principi zero-trust

Le reti piatte fanno di un compromesso iniziale un blackout settoriale. La segmentazione isola i sistemi critici; lo zero-trust sostituisce la fiducia implicita con la verifica continua di identità e postura del dispositivo.

Gestione delle vulnerabilità e cadenza di patching

Un SLA di patching documentato per criticità (critico / alto / medio), un processo per patch d’emergenza fuori ciclo e gestione delle eccezioni per sistemi non patchabili con controlli compensativi.

Detection and response sugli endpoint (EDR)

EDR o XDR su postazioni e server — oltre l’antivirus tradizionale. La telemetria va conservata abbastanza a lungo per l’analisi forense (tipicamente 6–12 mesi) e alimenta il SOC o l’MSSP.

Ciclo di sviluppo software sicuro

Modellazione delle minacce in fase di design, scansione delle dipendenze in CI, rilevamento di segreti, revisione del codice e test applicativi a runtime. Vale in egual modo per i team interni e per gli sviluppatori esternalizzati.

Valutazioni di sicurezza dei fornitori

Stratificate i fornitori (quali possono mettervi in ginocchio?) e richiedete valutazioni di sicurezza proporzionate allo strato — questionari, certificazioni (ISO 27001, SOC 2) o audit in loco per i più critici.

Clausole di sicurezza contrattuali per fornitori critici

Diritto di audit, tempi di notifica degli incidenti (allineati ai propri obblighi NIS2), localizzazione dei dati se richiesta, disclosure dei sub-fornitori, assistenza di uscita/transizione. Le clausole devono reggere a rinnovi e a fusioni e acquisizioni.

Monitoraggio continuo dell’esposizione verso terzi

Monitoraggio della superficie di attacco esterna, screening sanzioni, intelligence sulle violazioni e rivalutazione al cambio di assetto proprietario del fornitore. Un questionario annuale statico non soddisfa il requisito «continuo» della NIS2.

Playbook di rilevamento, classificazione ed escalation

Runbook documentati per gli scenari più probabili (ransomware, esfiltrazione di dati, DDoS, compromissione della catena di fornitura, minaccia interna). Ogni runbook elenca i passaggi di triage, i criteri di classificazione e la catena di escalation.

Preallarme 24 h al CSIRT

Entro 24 ore dalla conoscenza di un incidente significativo, preallarme al CSIRT o all’autorità competente — anche con informazioni parziali. Il termine decorre dalla conoscenza, non dalla comprensione completa.

Notifica di incidente a 72 h con valutazione di gravità

Notifica formale entro 72 ore con gravità iniziale, indicatori di compromissione ed eventuale impatto transfrontaliero. Gli aggiornamenti seguono l’evoluzione della valutazione.

Relazione finale entro un mese

Relazione dettagliata entro un mese che copra causa primaria, impatto effettivo, mitigazioni applicate e lessons learned. Questa relazione costituisce la base per qualsiasi seguito del supervisore.