Come adeguarsi passo per passo

In breve. Questo percorso ordina gli adempimenti in sequenza logica. Non è previsto da ACN: è una guida pratica, da adattare a dimensioni e rischi.

Fase 1: inquadramento (settimane 1-2)

• Verificare ambito e qualifica.
• Registrarsi o controllare la comunicazione ACN e calcolare i termini.
• Informare il vertice e individuare uno sponsor.
• Designare punto di contatto, sostituto e referente CSIRT.

Fase 2: fotografia (settimane 2-6)

• Elencare i sistemi rilevanti.
• Avviare gli inventari di hardware, software, fornitori e servizi.
• Svolgere una gap analysis misura per misura.
• Raccogliere le evidenze già disponibili.

Fase 3: decisioni (settimane 6-10)

• Valutare il rischio.
• Redigere il piano di trattamento e il piano di adeguamento con priorità, responsabili e date.
• Definire l'organizzazione per la sicurezza.
• Far approvare i documenti agli organi.

Fase 4: interventi rapidi

Azioni tipiche ad alto rendimento:

• MFA su accessi remoti e amministrativi.
• Revisione delle utenze e separazione di quelle amministrative.
• Backup con copia offline e prova di ripristino.
• Log di accessi remoti e amministrativi.
• Patch dei sistemi esposti.
• Protezione degli endpoint.
• Piano incidenti con contatti CSIRT e turni.

Fase 5: consolidamento

• Politiche nei 16 ambiti.
• Piano vulnerabilità e piano formazione.
• Valutazione dei fornitori e clausole contrattuali.
• Continuità, disaster recovery e gestione delle crisi.
• Livelli di servizio attesi, necessari anche per l'incidente IS-3.

Fase 6: mantenimento

• Relazioni periodiche agli organi.
• Riesami annuali e biennali.
• Esercitazioni sul piano incidenti.
• Aggiornamenti annuali sul portale.

Il pacchetto documentale minimo

Buone pratiche di archivio

• Un codice e una versione per ogni documento.
• Date reali, senza retrodatazioni; le revisioni si tracciano in una tabella.
• Le versioni superate si conservano, non si sovrascrivono.
• Una tabella collega misure, documenti ed evidenze.
• Ogni evidenza riporta la data di produzione.
• La riservatezza va gestita: gli indicatori TLP del CSIRT seguono le regole di condivisione del mittente.

Stati consigliati per misura

Errori da evitare

• Comprare strumenti prima di aver capito i rischi.
• Scrivere documenti che non descrivono la realtà.
• Lasciare tutto a una persona, senza sostituti.
• Non far approvare formalmente i documenti.
• Ignorare OT, cloud e fornitori.
• Considerare la conformità un progetto con una fine.

Quanto costa

Non esiste un costo standard: dipende da dimensioni, punto di partenza e sistemi. Il portale può offrire voci di stima, senza promettere cifre: tempo del personale, consulenza, strumenti, formazione, rinnovo di sistemi obsoleti.