In parole semplici. Seguire gli avvisi del CSIRT Italia e risolvere le vulnerabilità con un piano approvato.
Descrizione ufficiale
Sono stabiliti processi per la ricezione, l'analisi e la risposta alle divulgazioni di vulnerabilità.
Requisiti
- p.1Sono monitorati almeno i canali di comunicazione del CSIRT Italia, nonché di eventuali CERT e Information Sharing & Analysis Centre (ISAC) settoriali, al fine di acquisire, analizzare e rispondere alle informazioni sulle vulnerabilità.
- p.2Le vulnerabilità, ivi comprese quelle identificate ai sensi della misura ID.RA-01, sono prontamente risolte attraverso aggiornamenti di sicurezza o misure di mitigazione, ove disponibili, ovvero accettando e documentando il rischio in accordo al piano di trattamento dei rischi di cui alla misura ID.RA-06.
- p.3È definito, attuato, aggiornato e documentato un piano di gestione delle vulnerabilità che comprende almeno: a) le modalità per l'identificazione delle vulnerabilità di cui alla misura ID.RA-01 e la relativa pianificazione delle attività; b) le modalità per monitorare, ricevere, analizzare e rispondere alle informazioni sulle vulnerabilità; c) le procedure, i ruoli, le responsabilità per lo svolgimento delle attività di cui alle lettere a) e b).
- p.4Il piano di cui al punto 3 è approvato dagli organi di amministrazione e direttivi.Da far approvare agli organi
Evidenze tipiche
- Piano di gestione delle vulnerabilità approvato
- Registro delle azioni svolte sugli avvisi
Domande frequenti su ID.RA-08
Cosa chiede la misura ID.RA-08?
Seguire gli avvisi del CSIRT Italia e risolvere le vulnerabilità con un piano approvato. Il testo ufficiale è: «Sono stabiliti processi per la ricezione, l'analisi e la risposta alle divulgazioni di vulnerabilità.»
La misura ID.RA-08 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 4 requisiti, per gli essenziali 5.
Quali evidenze servono per dimostrare ID.RA-08?
Tipicamente: Piano di gestione delle vulnerabilità approvato; Registro delle azioni svolte sugli avvisi. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
ID.RA-08 richiede l'approvazione degli organi di amministrazione?
Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.
La categoria ID.RA: Valutazione del rischio (Risk Assessment)
È compreso il rischio di cybersecurity al quale l'organizzazione, gli asset e le persone sono esposti.
Altre misure della stessa categoria:
- ID.RA-01: Individuazione delle vulnerabilità
- ID.RA-05: Valutazione del rischio (risk assessment)
- ID.RA-06: Piano di trattamento del rischio
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.