Con l'avvicinarsi della fatidica data del 17 ottobre 2024, l'ANSSI continua il suo lavoro di adattamento e implementazione dei requisiti della Direttiva NIS2 nel contesto francese. Senza attendere i dettagli dei nuovi obblighi e dei processi di monitoraggio della conformità che saranno messi in atto dal legislatore, le entità essenziali e importanti dei numerosi settori coperti dalla direttiva europea devono prendere l'iniziativa.
Gli articoli 20 e 21 della NIS 2 stabiliscono una serie di misure che le aziende e le autorità pubbliche dovranno rispettare. Esse riguardano l'implementazione di un sistema di governance della sicurezza delle informazioni, l'adozione di misure tecniche di protezione e l'istituzione di un sistema di gestione degli incidenti di sicurezza.
Governance della sicurezza
In termini di governancePer padroneggiare la sicurezza delle informazioni, è necessario mettere in atto una serie di progetti essenziali, che hanno un impatto interfunzionale sull'intera organizzazione.
- Definizione di ruoli e responsabilità, in particolare attraverso la nomina di un responsabile della sicurezza, idealmente alle dipendenze della direzione generale.
- Definizione di un insieme di politiche, processi e procedure di sicurezza, il cui fulcro è la Politica di sicurezza dei sistemi informativi (ISSP).
- Mappatura del sistema informativo in termini di attività e servizi e identificazione degli asset di supporto (server, reti, applicazioni, ecc.).
- Mappatura dei fornitori e dei prestatori di servizi, un prerequisito per monitorare il loro livello di sicurezza.
- Implementazione della gestione dei rischi per la sicurezza, attraverso analisi regolari dei rischi, con accettazione dei rischi residui da parte dell'alta direzione.
- Audit periodici per verificare l'efficacia delle misure di sicurezza e la conformità alle normative vigenti
- Tenere conto della sicurezza nella gestione delle risorse umane, con particolare attenzione alla formazione e alla sensibilizzazione dei dipendenti e alla corretta gestione degli arrivi e delle partenze.
Misure di protezione tecnica
Queste misure organizzative sono essenziali, ma rimangono insufficienti se non sono integrate da solide misure di protezione tecnica.
- Mantenere i sistemi in condizioni di sicurezza, implementando processi di monitoraggio della sicurezza e di gestione delle vulnerabilità.
- Controllo dell'accesso fisico ai locali, con l'impiego di moderni sistemi di controllo degli accessi e di allarme.
- Mettere in sicurezza l'architettura del sistema informativo, con particolare attenzione alle interconnessioni con reti di terzi e alla suddivisione in base alla sensibilità delle diverse zone.
- Proteggere l'accesso e l'amministrazione remota implementando l'autenticazione a più fattori. bastioni gestione
- Implementazione di soluzioni di protezione da codice maligno in diversi livelli: EDR, IDS, IPS, WAF.
- Hardening delle configurazioni, con l'obiettivo di ridurre il più possibile la superficie di attacco, garantendo al contempo la facilità d'uso di sistemi e applicazioni.
- Gestione sicura delle identità e degli accessi, basata sul principio del minor privilegio, che richiede una gestione rigorosa delle autorizzazioni e revisioni periodiche.
- Implementazione di misure per la continuità operativa e il ripristino, basate su backup affidabili, idealmente offline.
Gestione degli incidenti
Poiché il rischio zero non esiste e gli aggressori sono in costante innovazione, gli incidenti di sicurezza sono destinati a verificarsi. Per questo è fondamentale avere una solida capacità di gestire gli incidenti di sicurezza.
- Rilevamento degli incidenti, essenzialmente attraverso l'implementazione di un SIEM, gestito da un SOC, eventualmente in outsourcing.
- Rispondere agli incidenti, istituendo un CERT interno o collaborando con un partner specializzato.
- Gestione delle crisi informatiche, definendo processi gestionali e operativi e organizzando esercitazioni periodiche.
Naturalmente, questo lavoro di conformità è facilitato dall'utilizzo di fornitori di servizi affidabili, idealmente qualificato dall'ANSSI.