Passa ai contenuti principali

Il Cybersecurity Framework: una roadmap per la sicurezza delle aziende italiane


Il Cybersecurity Framework è stato pubblicato negli Stati Uniti d'America nel febbraio del 2014 in seguito ad un provvedimento dell'amministrazione Obama. Si tratta di uno standard nato da un processo al quale hanno collaborato istituzioni governative, universitarie e produttive che facevano riferimento al National Institute of Standard and Technology (NIST). Lo scopo principale del framework è quello di creare uno strumento di facile utilizzo e comprensione per l'analisi del rischio cyber che potesse adattarsi a tutti i possibili contesti, dalle grandi infrastrutture strategiche alle piccole e medie aziende. Il compito del NIST è quello di provvedere al costante aggiornamento del framework per rispondere al rapido evolversi dell'ambiente digitale nel quale operano imprese e istituzioni.
 
Il Cybersecurity Framework si basa essenzialmente su una valutazione dei rischi cyber che coinvolge 5 funzioni:
  • identificazione
  • protezione
  • individuazione
  • reazione
  • ripristino
Ciascuna di queste funzioni è suddivisa in categorie e sottocategorie alle quali viene assegnata una priorità dipendente dal contesto preso in esame. L'applicazione del framework sarà uno strumento essenziale per il futuro Data Protection Officer introdotto dal nuovo regolamento europeo sulla protezione dei dati UE 2016/679 (GDPR) in quanto l'analisi del rischio è una delle competenze / skills che il DPO dovrà garantire al massimo livello come il recente progetto di norma UNI E14D00036 propone:
  • Pianificazione di prodotto e servizio (3)
  • Sviluppo strategia per la sicurezza informatica (4)
  • Gestione del contratto (3)
  • Sviluppo del personale (3)
  • Gestione del rischio (4)
  • Gestione della sicurezza dell'informazione (3)
  • Governance dei sistemi informativi (4)
Pertanto per il DPO è necessario prendere da subito confidenza con questi strumenti. Il Framework Nazionale per la Cyber Security ha messo a punto tutta una serie di strumenti standardizzati per l'analisi del rischio cyber tra cui il documento sui Controlli Essenziali di Cybersecurity che possono essere scaricati dal sito del Framework Nazionale.

Questa analisi dei rischi è destinata in primo luogo ad aumentare i livelli di sicurezza delle piccole e micro imprese coinvolte nelle filiere produttive. "Un numero sempre maggiore di attacchi a grandi imprese capo-filiera viene infatti realizzato grazie alla vulnerabilità presenti nelle imprese parte delle loro filiere. Questo innalzamento è particolarmente importante in un momento di forte trasformazione digitale del settore industriale (industria 4.0) che aumenterà l'integrazione tra le aziende appartenenti ad una fliera, aumentando, di conseguenza, anche la superficie d'attacco" (*)

(*) 2016 Italian Cybersecurity Report, Controlli Essenziali di Cybersecurity, laboratorio Nazionale CINI di Cybersecurity, Versione 1.0, Marzo 2017

Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

L'arte del camuffamento: come ingannare gli algoritmi di riconoscimento facciale

La società nella quale viviamo è purtroppo diventata anche una società del controllo e della sorveglianza. Per proteggere la nostra privacy è opportuno adottare un modello di autodifesa digitale (privacy threat model) adeguato al nostro profilo di rischio. Se sei arrivato su questa pagina e stai leggendo questo blog allora hai già fatto il primo passo: puoi far parte anche tu del nostro gruppo di #gentesicura . Per sviluppare un modello di autodifesa digitale occorre farsi alcune domande: che tipo di informazioni voglio proteggere? Da chi le voglio nascondere? Quale sarebbe l'impatto sulla mia vita se queste informazioni venissero scoperte? Oggi una delle minacce più gravi è certamente rappresentata dai sistemi di videosorveglianza e dai loro algoritmi di riconoscimento facciale. Probabilmente in qualche banca dati digitale è già presente una vostra foto collegata al vostro nome e cognome. Anche se non è detto che questo database sia pubblico, è sempre buona norma fare una ricerca

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian