📚 NIS2: cosa fare IN CONCRETO dopo la registrazione all'ACN

Ciao a tutti e benvenuti in questo nuovo video. Si parla tantissimo della NIS2, come giusto che sia, così come si parla delle sanzioni previste per chi non si adegua. Bene o male ormai tutte le organizzazioni che ricadono nell'ambito della NIS2 hanno già fatto la registrazione sul portale della CN, che era il primo step obbligatorio da fare entro il 28 febbraio 2025. Non tutti però hanno chiaro cosa c'è da fare dopo, cioè cosa bisogna fare in concreto oltre alla registrazione sul portale per poter dire "io sono a posto con la NIS2". Tranquilli, lo vediamo subito. Questo video sarà strutturato in fasi operative. Il mio obiettivo è quello di fornirvi una guida completa ma soprattutto concreta di quello che c'è da fare per essere a posto con la NIS2 e con il decreto attuativo. Vedremo in particolare 7 fasi più una fase bonus per chi vuole anche fare magari qualche passetto in più. Partiamo subito con la fase 1, che è la verifica della soggezione alla NIS2. Questo ovviamente vale per chi non ha fatto la registrazione sul portale ACN, o perché ancora non esisteva il 28 febbraio 2025, penso ad esempio a una nuova azienda nata dopo, o perché erroneamente pensava di non essere un soggetto coinvolto da questo obbligo. Per loro la prima cosa da fare sarà quindi capire se sono soggetti alla direttiva. Come si fa in concreto? Si va su Normativa, si cerca il Decreto Legislativo 138 del 2024, che è quello che in Italia ha recepito la NIS2, e si leggono gli allegati 1, 2, 3 e 4. E li trovate qua, scendete e andate negli allegati. Questi 4 allegati definiscono chi sono i soggetti che rientrano nell'ambito di applicazione della NIS2. Se rientro anche in una sola delle categorie che sono qui elencate, ad esempio sono Bartolini perché servizi postali di Corriere, Oppure sono, non so, era o qualcuno che si occupa della gestione dei rifiuti, oppure faccio trasformazione, produzione, distribuzione di alimenti, ad esempio sono la Coca-Cola Company, quindi faccio bevande per cui rientro in questo settore qua, o comunque rientro in uno qualsiasi degli allegati, allora so che sono un soggetto a cui si applica la NIS2. Quindi vado letteralmente a leggermi i 4 allegati e cerco di capire se sono un soggetto NIS2 oppure no. A questo punto, e questa è una cosa che consiglio a qualunque ente, azienda, anche quindi se si sono già registrati sul sito della CN, procedete con un censimento interno, una riunione di 2 ore volanti in cui si compila una checklist interna in cui fate un elenco dei motivi per cui rientrate nella NIS2, quindi il vostro settore, le vostre dimensioni a livello di dipendenti, di fatturato, i vostri clienti, i servizi che offrite e così via. Io francamente vi consiglierei di farla anche se ritenete di non rientrare nella NIS2 e quindi non avete fatto la registrazione sul portale perché pensate di non essere soggetti. Andate a leggervi gli allegati, vedete perché secondo voi siete soggetti oppure no, e poi fate una checklist dove dite perché non siete soggetti. Così se un domani arriva comunque un controllo della CN potete documentare che la domanda ve la siete posta. Individuate poi qualcuno che si occupi, anche provvisoriamente, di verificare l'adeguamento alla normativa. Questo chiaramente se ritenete di rientrare nella NIS2. Può essere un soggetto interno, ovviamente, oppure potete scegliere di farvi seguire da un consulente esterno che si occupi di guidarvi in ogni fase e così siete a posto. L'ideale sarebbe avere proprio un CISO, che sarà la persona che si occupa dell'adeguamento alle normative sulla cybersecurity. Una volta che avrete il quadro completo di come si colloca la vostra organizzazione all'interno della NIST 2, potete passare alla seconda fase. La fase 2 consiste nella mappatura e nell'analisi dei rischi. La prima cosa da fare è un inventario dei vostri asset, cioè di tutto quello che avete lato informatico all'interno della vostra organizzazione. Va benissimo anche un foglio Excel. Create un file con almeno 5 colonne, cioè il nome dell'asset, ad esempio server gestionale, computer di Linda, tablet di Marco, modem del bagno e così via. Il tipo di asset, quindi hardware, software, rete, eccetera eccetera. Il titolare, chi lo gestisce, chi lo usa più di frequente, chi si occupa di quel server. Le criticità, quindi date un punteggio da 1 a 5 secondo la vostra sensibilità. Ad esempio, il computer di Federica usa ancora Windows XP, quindi ha criticità 5 perché è molto difficile aggiornarlo, è molto soggetto ad attacchi hacker. Il computer della reception è quello meno protetto perché un malintenzionato potrebbe avvicinarsi, quindi 4. Il server contiene tutti i nostri dati e se li perdiamo è un casino, quindi 5. E così via. Aggiungete poi magari un campo note dove appuntate qualche osservazione in più se ritenete di farla. Attenzione che negli asset rientra tutto: computer, server, modem, software utilizzati, cloud, tutto quanto, anche le cose che non usate più o che l'azienda è un po' che magari ha perso di vista, come il laptop aziendale che il dipendente Tizio usa per lavorare da casa. Una volta fatta una mappatura completa degli asset, dobbiamo analizzare i rischi, cioè capire esattamente quali sono i rischi a cui è sottoposto ciascun asset. Anche questa può essere una tabella se non vogliamo usare software costosi. L'importante è che per ogni asset siano elencati i rischi principali, Ad esempio: furto dati, esposizione a malware, interruzione del servizio, eventi naturali. Ad esempio: ho un server in una cantina che quando piove si allaga, quindi esiste il pericolo concreto di perdere dei dati. Anche qui usiamo una scala di criticità, meglio se da 1 a 10, divisa fra probabilità che si verifichi, da 1 a 5, e impatto che avrebbe sull'organizzazione, sempre da 1 a 5. Ad esempio, il computer della reception ha probabilità 5 di essere hackerato perché è lì a disposizione di tutti, ma ha impatto 1 perché è scollegato dalla rete, non contiene dati e così via. 5 1 fa 6, per cui la criticità di quel computer è 6. In questo modo capiamo subito anche come intervenire per abbassare la criticità. Nel computer della reception possiamo ad esempio mettere delle credenziali forti per diminuire la probabilità di un attacco, che da 5 magari passa a 3. E in questo modo la scala di criticità non è più 6, diventa 3 1 che fa 4. Vi consiglio proprio di aggiungere anche qui un campo note indicando quali azioni servono per ridurre i rischi a livello accettabile, possibilmente coinvolgendo il reparto IT. In questo modo arriviamo con grande naturalezza alla fase 3 che consiste nel pianificare le misure tecniche e organizzative necessarie. Qui ci sono 10 misure base da attuare: 1. Analisi dei rischi. Avete appena fatto l'inventario degli asset e la mappatura dei rischi? Salvateli, sono i primi documenti della NIS 2. 2. Gestione incidenti. Create una procedura precisa da adottare in caso di attacco o di incidente informatico. Ad esempio, come ci comportiamo se domattina i computer dell'azienda sono tutti bloccati da un ransomware? Deve diventare una procedura come quella che si adotta in caso di incendio. Tutti devono sapere come comportarsi. 3. Business continuity: definite come effettuare backup dei sistemi, chi li gestirà, ogni quanto si faranno e dove verranno salvati. In pratica dovete sapere cosa succede se perdete accidentalmente tutti i dati da un computer o dal sistema e quanto ci mettete per recuperarli. 4. Supply chain: elencate tutti i fornitori critici, hosting, cloud, software e gestionali e verificate se vi danno adeguate garanzie di sicurezza. Ricordiamo che la NIS2 impone anche degli obblighi di monitoraggio dei fornitori. Se il mio ente è sicurissimo e blindato ma usa un cloud che viene hackerato un giorno sì e l'altro pure, non è sicurissimo e non è blindato. 5. Sicurezza informatica. Verificate con il reparto IT che ci siano degli antimalware adeguati, che i firewall siano attivi, che gli aggiornamenti di sicurezza siano installati, che la rete sia segmentata, eccetera eccetera eccetera. Se necessario, investite in qualche software o dei nuovi computer. La sicurezza informatica purtroppo un pochino costa. 6. Criptografia. Verifichiamo se i dati sensibili sono cifrati. Se un qualsiasi dipendente o utente esterno riesce a prendere l'hard disk in cui conserviamo i backup aziendali e vedere tutto quello che c'è dentro, c'è un problema. 7. Monitoraggio. C'è almeno un sistema che ti avvisa se un server si spegne, se c'è un accesso anomalo, se finisce lo spazio sul disco? Implementiamo qualcosa che ci sappia dire se ci sono cose che non vanno come dovrebbero. 8. Controllo accessi. Si deve controllare che ognuno abbia il proprio account protetto con password forti che vengano regolarmente cambiate. Si deve verificare anche che ciascuno abbia accesso solo a quello che gli è strettamente necessario per fare il proprio lavoro. Non ha senso che il reparto risorse umane veda i dati di fatturazione dei clienti, per cui segmentiamo gli accessi in base alle esigenze. 9. Autenticazione forte. Meglio implementare l'autenticazione a più fattori negli accessi più critici, come ad esempio la casella di posta e in determinati account che hanno dei privilegi un po' più elevati. 10. Ultima ma non ultima: formazione del personale. Dovrebbe essere fatta almeno una sessione all'anno con i dipendenti sulle minacce informatiche e su come comportarsi. Dovrebbe esserci a far bene proprio una giornata dedicata, anche sotto forma di team building, in cui vengano fatte delle esercitazioni pratiche e delle simulazioni formazione di attacchi. Meglio ancora se con giochi di ruolo, per far sì che i dipendenti imparino magari anche divertendosi un pochino. Queste 10 misure base vanno implementate e documentate. Basta fare un piano di adeguamento, un documento Word anche molto semplice, in cui diciamo nella prima pagina quali misure mancano. Ad esempio, non abbiamo un piano di formazione dell'azienda. Nella seconda, chi farà cosa e in quanto tempo. Ad esempio, individuato il professionista X per fare la formazione entro 3 mesi, Nella terza pagina la stima dei costi. Ad esempio, il professionista X chiede tot euro per ogni ora di formazione, questo per ogni misura base. In questo modo, in base all'urgenza, al tempo e al budget che avete a disposizione, saprete come procedere per mettervi a posto completamente. La fase 4 è di natura più documentale. Andremo a mettere per iscritto tutte le procedure interne e le policy. Create proprio una bella cartella intitolata Cyber Security e ci mettete dentro, oltre ai documenti che abbiamo già visto prima, tutte le policy aziendali di igiene informatico con scritto quello che devono fare i dipendenti, ad esempio: usate password forti, non cliccate sui link sospetti e così via. Le procedure da seguire in caso di incidenti, chi avvisa chi, in che tempi, come si risponde. Il registro dei fornitori critici, anche qui magari un foglio Excel con nome, servizio, garanzie di sicurezza, referenti. Un report annuale con l'ultima mappatura dei rischi effettuata avendo cura di aggiornare sempre l'inventario degli asset. E ci mettete dentro anche un bel report annuale con l'ultima mappatura dei rischi effettuata, avendo cura chiaramente di aggiornare sempre l'inventario degli asset. In questa fase procederete anche con l'individuazione dei ruoli facendo la relativa nomina. Sarebbe meglio avere sempre un CISO o quantomeno un referente cyber, anche interno. La fase 5 riguarda gli incidenti di sicurezza. Oltre alle procedure da seguire che conserviamo nella nostra cartelletta Cyber Security, Dobbiamo avere una checklist operativa rapida e veloce che sia agevole seguire in caso di attacco o disservizio. Ad esempio: scollega da internet, avvisa il referente cyber, analizza l'attacco o l'incidente, salviamo i log all'interno di un documento specifico. Bisogna essere pronti anche alla notifica al CSIRT, che è da fare entro 24 ore se l'incidente è di particolare gravità. Si può preparare già ad esempio una bozza di comunicazione di notifica in modo che sia più semplice poi completarla e trasmetterla. La sesta fase riguarda la formazione dei dipendenti e la creazione di una cultura aziendale, che è una delle misure base ovviamente che vanno tenute monitorate, ma è anche una fase vera e propria. Organizzate dei corsi pratici e obbligatori che spazino su vari temi: cos'è un attack phishing, come si creano password sicure, perché non si collega mai a una chiavetta USB sconosciuta, e così via. Idealmente si dovrebbero fare ogni tanto anche dei test di consapevolezza, ad esempio mandando una mail interna con dei link trappola per vedere clicca registrando le risposte e segnalando quindi chi è che ha bisogno di un po' più formazione. Non è che si deve licenziare il dipendente che clicca, semplicemente si capisce chi è che ha più bisogno di aiuto degli altri e lo si forma un pochino di più. L'ultima fase vera e propria consiste nell'adottare un sistema di monitoraggio continuo con degli audit periodici. Implementate dei sistemi base di controllo insieme al vostro reparto IT, prevedete dei controlli magari ogni 6 mesi, possibilmente coinvolgendo anche dei consulenti esterni una volta l'anno, e fate ogni volta dei report di quello che è emerso. Documentate tutto, ogni cosa che fate è utile evitare sanzioni, quindi tenete traccia di tutto ciò che viene fatto e organizzato. Ci vorrebbe idealmente almeno un report annuale stilato da voi o da un consulente esterno che dica cosa è stato fatto, perché, quali sono i prossimi passi e così via. Come fase bonus per chi vuole investire un po' di più perché magari ha dei fondi dedicati a questo, consiglio: Sicuramente di far fare un penetration test esterno anche solo una volta all'anno, individuare cioè qualcuno che provi materialmente ad hackerarvi per vedere quali sono le vostre vulnerabilità. Poi valutate magari un'assicurazione contro i rischi cyber, soprattutto per chi gestisce molti dati o dati particolarmente critici. Puntate magari, se volete, a una certificazione ISO 27001 se siete particolarmente grandi o in crescita, perché ha dei requisiti talmente stringenti che è quasi garantita in automatico anche la compliance alla NIS2, se siete certificati. Se siete dei soggetti NIS2 e attuate tutte queste fasi, i rischi che siate colpiti da un attacco hacker diminuiranno sensibilmente. E comunque, anche nell'ipotesi in cui succedesse qualcosa, sapreste perfettamente come agire e magari eviterete anche delle sanzioni collegate alle vostre mancanze. Bene, spero che questo video vi sia stato utile. Se volete che approfondisca una di queste fasi o qualche aspetto della normativa, fatemelo sapere nei commenti. Noi ci vediamo al prossimo video.