In parole semplici. L'autenticazione è proporzionata al rischio, con MFA sui sistemi rilevanti secondo la valutazione del rischio.
Descrizione ufficiale
Utenti, servizi e hardware sono autenticati.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1Le modalità di autenticazione delle utenze per accedere ai sistemi informativi e di rete sono commisurate al rischio. A tal fine sono valutati almeno i rischi connessi: a) ai privilegi delle utenze; b) alla criticità dei sistemi informativi e di rete; c) alla tipologia di operazioni che le utenze possono effettuare sui sistemi informativi e di rete.
- p.2Per almeno i sistemi informativi e di rete rilevanti, in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono impiegate soluzioni di autenticazione multifattore.
- p.3Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.
Evidenze tipiche
- Procedura di autenticazione
- Evidenze di attivazione MFA
Domande frequenti su PR.AA-03
Cosa chiede la misura PR.AA-03?
L'autenticazione è proporzionata al rischio, con MFA sui sistemi rilevanti secondo la valutazione del rischio. Il testo ufficiale è: «Utenti, servizi e hardware sono autenticati.»
La misura PR.AA-03 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 3.
Quali evidenze servono per dimostrare PR.AA-03?
Tipicamente: Procedura di autenticazione; Evidenze di attivazione MFA. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
PR.AA-03 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di PR.AA-03 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria PR.AA: Gestione delle identità, autenticazione e controllo degli accessi
L'accesso agli asset fisici e logici è limitato agli utenti, ai servizi e all'hardware autorizzati, e gestito in misura appropriata alla valutazione del rischio di accesso non autorizzato.
Altre misure della stessa categoria:
- PR.AA-01: Gestione delle utenze e delle password
- PR.AA-05: Privilegi minimi e utenze amministrative
- PR.AA-06: Sicurezza fisica di locali e apparati
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.