Le misure di sicurezza di base

In breve. ACN ha tradotto l'art. 24 in un elenco concreto: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per i soggetti essenziali. Adottarle significa attuare tutti i requisiti previsti.

I dieci elementi minimi dell'art. 24

Politiche di analisi dei rischi; gestione degli incidenti; continuità operativa, backup e crisi; catena di approvvigionamento; sicurezza di acquisizione, sviluppo e manutenzione; valutazione dell'efficacia; igiene di base e formazione; crittografia; personale, accessi e beni; autenticazione a più fattori e comunicazioni protette.

Come leggere una misura

Ogni misura ha un codice, una descrizione derivata dal Framework Nazionale e uno o più requisiti. Esempio: in PR.AA-03, PR è la funzione Protezione, AA la categoria Gestione delle identità e degli accessi, 03 la sottocategoria.

Le sei funzioni

Misure aggiuntive per i soggetti essenziali

Gli essenziali hanno anche requisiti in più dentro misure comuni, ad esempio protezione e test di ripristino dei backup in PR.DS-11. Il dettaglio è nei dataset.

Tre formule da capire

«Per almeno i sistemi informativi e di rete rilevanti». Sono i sistemi la cui compromissione avrebbe impatto significativo su riservatezza, integrità e disponibilità delle attività NIS. La misura va applicata almeno lì; si può estenderla.

«In accordo agli esiti della valutazione del rischio». Le scelte concrete, come dove attivare la MFA, discendono dalla valutazione ID.RA-05 e vanno motivate.

«Fatte salve motivate e documentate ragioni normative o tecniche». L'eccezione è possibile ma va scritta. Per i requisiti della Tabella 2 servono misure compensative e descrizione del rischio residuo nel piano di trattamento. I requisiti interessati sono GV.SC-05 p. 1, PR.AA-01 p. 1, PR.DS-01 p. 1-2, PR.DS-02 p. 1, PR.PS-02 p. 1-2, DE.CM-09 p. 1 per gli importanti.

Le politiche: i 16 ambiti

Gestione del rischio; ruoli e responsabilità; affidabilità delle risorse umane; conformità e audit; catena di approvvigionamento; asset; vulnerabilità; continuità, disastri e crisi; autenticazione, identità e accessi; sicurezza fisica; formazione e consapevolezza; sicurezza dei dati; sviluppo, configurazione, manutenzione e dismissione; reti e comunicazioni; monitoraggio; incidenti, risposta e ripristino.

Si può usare un unico documento o più documenti. ACN lascia libera l'organizzazione documentale.

Le evidenze documentali

I documenti possono essere cartacei o digitali, purché facilmente consultabili. Non vanno caricati sul portale ACN salvo richiesta, ma devono essere pronti per una verifica.

Modello di valutazione del rischio

La misura non impone uno standard (FAQ MSB.9): ogni soggetto usa il modello che ritiene appropriato, purché comprenda identificazione, analisi e ponderazione e tenga conto delle dipendenze da fornitori e partner.

Le misure in linguaggio semplice

Tutte le misure, con testo ufficiale, spiegazione ed evidenze tipiche, sono nei due JSON della cartella dati. Il portale deve generarne le pagine da lì, così da non duplicare il testo.