Per molte aziende la conformità alla NIS2 è stata affrontata finora soprattutto attraverso procedure, documenti, valutazioni dei rischi e adeguamenti organizzativi.
Ma la fase successiva pone una domanda molto più concreta:
se domani l’Agenzia per la Cybersicurezza Nazionale chiedesse di dimostrare che le misure di sicurezza vengono realmente applicate, l’azienda avrebbe le evidenze per farlo?
Le indicazioni sulla vigilanza NIS2 chiariscono infatti un punto fondamentale: essere conformi non significa soltanto avere previsto determinate misure sulla carta.
Occorre poter dimostrare che quelle misure vengono attuate, controllate e mantenute nel tempo.
Ed è qui che la cybersecurity smette di essere una fotografia e diventa un processo continuo.
NIS2: dalla documentazione alla verifica concreta
La Direttiva NIS2 ha rafforzato l’approccio europeo alla sicurezza informatica e alla resilienza dei sistemi.
Per le organizzazioni coinvolte significa affrontare in modo strutturato temi come:
- gestione del rischio informatico;
- sicurezza dei sistemi e delle reti;
- gestione degli incidenti;
- continuità operativa;
- sicurezza della supply chain;
- gestione delle vulnerabilità;
- responsabilità degli organi di amministrazione;
- verifica dell’efficacia delle misure adottate.
Preparare procedure e documenti è quindi necessario.
Ma non è sufficiente.
Una procedura può stabilire, ad esempio, che debbano essere eseguite periodicamente verifiche delle vulnerabilità della rete.
Durante un controllo, però, la domanda successiva può diventare:
quando sono state effettuate?
E ancora:
quali vulnerabilità sono state individuate?
Quali interventi sono stati effettuati?
Come possiamo dimostrarlo?
Questa è la differenza tra avere una procedura e avere un sistema di sicurezza realmente verificabile.
La vigilanza NIS2 non è soltanto un’ispezione
Pensare alla vigilanza esclusivamente come all’arrivo di un ispettore sarebbe riduttivo.
Il sistema descritto dalla normativa comprende attività di monitoraggio, acquisizione di informazioni, verifiche, ispezioni e, quando necessario, misure di esecuzione.
Per un’azienda significa una cosa molto semplice:
non bisogna prepararsi al controllo. Bisogna organizzarsi in modo da essere sempre in grado di dimostrare ciò che viene fatto.
La conformità NIS2 diventa quindi un processo continuo.
Non qualcosa che viene preparato quando arriva una richiesta.
La sicurezza informatica cambia continuamente
Una delle ragioni è evidente.
L’infrastruttura informatica di un’azienda non rimane uguale nel tempo.
Vengono installati nuovi dispositivi.
Cambiano le configurazioni.
Vengono aggiornati software e sistemi operativi.
Entrano nuovi fornitori.
Vengono creati o modificati accessi remoti.
Alcuni servizi vengono aperti e altri dismessi.
Contemporaneamente vengono scoperte nuove vulnerabilità.
Per questo una verifica effettuata sei mesi fa descrive la situazione di sei mesi fa.
Non necessariamente quella di oggi.
Ed è proprio qui che il concetto di controllo continuo della sicurezza informatica assume particolare rilevanza anche in relazione alla NIS2.
NIS2 e Vulnerability Management: la procedura non basta
Immaginiamo che l’azienda abbia previsto nella propria documentazione un processo di Vulnerability Management.
La procedura esiste.
Il requisito organizzativo è stato affrontato.
Ma è sufficiente?
La parte realmente importante arriva dopo.
L’azienda dovrebbe essere in grado di ricostruire:
- quali verifiche sono state effettuate;
- quando sono state effettuate;
- quali vulnerabilità sono emerse;
- quali rischi sono stati valutati;
- quali interventi sono stati richiesti;
- quali problematiche risultano ancora presenti.
La parola chiave diventa quindi evidenza.
Non soltanto dichiarare che un controllo viene fatto.
Poter dimostrare che è stato fatto.
Il problema delle verifiche occasionali
Molte aziende effettuano vulnerability assessment o penetration test in occasione di un audit, di una certificazione o di uno specifico progetto.
Sono attività importanti.
Ma rimane un problema.
Tra una verifica e quella successiva possono passare mesi.
E durante quel periodo la rete continua a cambiare.
Può comparire una nuova vulnerabilità.
Può essere collegato un nuovo dispositivo.
Può rimanere attivo un servizio che non dovrebbe più esserlo.
Può cambiare una configurazione.
La sicurezza informatica non è quindi una condizione raggiunta una volta per tutte.
Deve essere controllata nel tempo.
Dove entra AmicoHacker
AmicoHacker nasce esattamente per aggiungere questo livello di controllo.
È un sistema di controllo continuo della sicurezza informatica che svolge attività costanti di Vulnerability Assessment sulla rete aziendale e, quando previsto, Soft Penetration Test.
Non sostituisce il tecnico IT.
Non sostituisce il firewall.
Non sostituisce antivirus o EDR.
Fa una cosa diversa: controlla nel tempo se qualcosa è rimasto scoperto.
Testa la rete aziendale e cerca possibili punti deboli come:
- dispositivi esposti;
- servizi attivi;
- configurazioni deboli;
- apparati non aggiornati;
- accessi o elementi che possono aumentare il rischio di ingresso nella rete.
Quando individua qualcosa che merita attenzione, lo comunica.
Dalla vulnerabilità all’evidenza
Questo aspetto diventa particolarmente interessante per le aziende soggette alla NIS2.
Una verifica che viene effettuata nel tempo e produce una comunicazione documentata permette di costruire una traccia delle attività di controllo svolte.
L’azienda non deve quindi cercare mesi dopo tra email, screenshot, file Excel e ticket per ricostruire quello che è successo.
Il controllo stesso produce informazioni che possono essere conservate e utilizzate per dimostrare che l’attività è stata eseguita.
Naturalmente AmicoHacker non rappresenta da solo l’intero sistema di conformità NIS2.
Ma può diventare una parte concreta del processo attraverso il quale l’azienda verifica continuamente la propria esposizione e documenta i controlli effettuati.
La direzione deve poter sapere cosa sta succedendo
La NIS2 porta inoltre la sicurezza informatica fuori dal solo reparto IT.
Il rischio cyber riguarda direttamente la continuità operativa, i servizi, i clienti e la responsabilità dell’organizzazione.
Per questo anche chi amministra l’azienda deve poter comprendere cosa sta accadendo.
Una dashboard piena di informazioni tecniche non risolve necessariamente questo problema.
AmicoHacker comunica invece via email.
Quando rileva qualcosa, spiega ciò che ha trovato in modo comprensibile.
E soprattutto permette di fare domande.
Questo permette di collegare tre elementi che nella compliance NIS2 devono essere sempre più vicini: controllo, decisione ed evidenza.
Soggetti essenziali e soggetti importanti
La disciplina della vigilanza distingue tra soggetti essenziali e soggetti importanti.
Per i soggetti essenziali i poteri di vigilanza possono essere esercitati anche in via preventiva.
Per i soggetti importanti il meccanismo di vigilanza è differente e può essere collegato alla presenza di elementi che facciano presumere una possibile violazione.
Ma questa distinzione non modifica il principio di fondo.
Essere classificati come soggetto importante non significa poter affrontare la NIS2 in modo meno rigoroso.
In entrambi i casi l’organizzazione deve poter dimostrare l’applicazione delle misure previste.
Essere in regola con la NIS2 significa poter rispondere a una domanda
Per capire se il proprio modello di compliance sta funzionando può essere utile porsi una domanda molto semplice: se domani ci venisse chiesto di dimostrare come stiamo controllando la sicurezza della nostra rete, quanto tempo impiegheremmo a rispondere?
Se fosse necessario cercare informazioni tra fornitori, tecnici, email, fogli Excel e documenti sparsi, probabilmente manca ancora qualcosa.
Non necessariamente un altro documento.
Manca un processo capace di produrre evidenze mentre funziona.
La NIS2 non è una fotografia
Il punto centrale è proprio questo.
Il Risk Assessment non è definitivo.
La rete non è definitiva.
Le vulnerabilità non sono definitive.
I fornitori cambiano.
Le persone cambiano.
Le minacce cambiano.
Di conseguenza anche il controllo deve continuare.
Per le aziende soggette alla NIS2, la domanda non dovrebbe quindi essere soltanto:
“Abbiamo predisposto tutto quello che serve?”
Dovrebbe diventare:
“Possiamo dimostrare, oggi, che ciò che abbiamo previsto viene realmente controllato?”
È il passaggio dalla conformità formale alla conformità verificabile.
Ed è esattamente in questo spazio che si colloca AmicoHacker.
Non aggiunge altra carta. Aggiunge controllo.
AmicoHacker testa la rete nel tempo, individua possibili vulnerabilità, comunica ciò che rileva e contribuisce a lasciare una traccia dei controlli effettuati.
Perché con la NIS2 non basta dire di essere sicuri.
Bisogna poter dimostrare cosa si sta facendo per verificarlo.
