NIS2 in Regola
PR · Protezione — PR.AA · Gestione delle identità, autenticazione e controllo degli accessi

PR.AA-05Privilegi minimi e utenze amministrative

Importanti: 3 requisitiEssenziali: 3 requisiti

In parole semplici. Ogni utente ha solo i permessi che gli servono; gli amministratori hanno utenze separate.

Descrizione ufficiale

I permessi, i diritti e le autorizzazioni di accesso sono definiti in una politica, gestiti, applicati e rivisti e incorporano i principi del minimo privilegio e della separazione dei compiti.

Requisiti

I requisiti sono identici per soggetti importanti ed essenziali.

  1. p.1
    I permessi sono assegnati alle utenze in accordo ai principi del minimo privilegio e della separazione delle funzioni, tenuto anche conto della necessità di conoscere (need to know).
  2. p.2
    È assicurata la completa distinzione tra utenze con e senza privilegi amministrativi degli amministratori di sistema alle quali debbono corrispondere credenziali diverse.
  3. p.3
    Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.

Evidenze tipiche

  • Procedura di gestione dei privilegi
  • Elenco delle utenze amministrative

Domande frequenti su PR.AA-05

Cosa chiede la misura PR.AA-05?

Ogni utente ha solo i permessi che gli servono; gli amministratori hanno utenze separate. Il testo ufficiale è: «I permessi, i diritti e le autorizzazioni di accesso sono definiti in una politica, gestiti, applicati e rivisti e incorporano i principi del minimo privilegio e della separazione dei compiti.»

La misura PR.AA-05 vale per i soggetti importanti?

Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 3.

Quali evidenze servono per dimostrare PR.AA-05?

Tipicamente: Procedura di gestione dei privilegi; Elenco delle utenze amministrative. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.

PR.AA-05 richiede l'approvazione degli organi di amministrazione?

Non direttamente: nessun requisito di PR.AA-05 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).

La categoria PR.AA: Gestione delle identità, autenticazione e controllo degli accessi

L'accesso agli asset fisici e logici è limitato agli utenti, ai servizi e all'hardware autorizzati, e gestito in misura appropriata alla valutazione del rischio di accesso non autorizzato.

Altre misure della stessa categoria:

Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.