Passa ai contenuti principali

Il Cybersecurity Framework: una roadmap per la sicurezza delle aziende italiane


Il Cybersecurity Framework è stato pubblicato negli Stati Uniti d'America nel febbraio del 2014 in seguito ad un provvedimento dell'amministrazione Obama. Si tratta di uno standard nato da un processo al quale hanno collaborato istituzioni governative, universitarie e produttive che facevano riferimento al National Institute of Standard and Technology (NIST). Lo scopo principale del framework è quello di creare uno strumento di facile utilizzo e comprensione per l'analisi del rischio cyber che potesse adattarsi a tutti i possibili contesti, dalle grandi infrastrutture strategiche alle piccole e medie aziende. Il compito del NIST è quello di provvedere al costante aggiornamento del framework per rispondere al rapido evolversi dell'ambiente digitale nel quale operano imprese e istituzioni.
 
Il Cybersecurity Framework si basa essenzialmente su una valutazione dei rischi cyber che coinvolge 5 funzioni:
  • identificazione
  • protezione
  • individuazione
  • reazione
  • ripristino
Ciascuna di queste funzioni è suddivisa in categorie e sottocategorie alle quali viene assegnata una priorità dipendente dal contesto preso in esame. L'applicazione del framework sarà uno strumento essenziale per il futuro Data Protection Officer introdotto dal nuovo regolamento europeo sulla protezione dei dati UE 2016/679 (GDPR) in quanto l'analisi del rischio è una delle competenze / skills che il DPO dovrà garantire al massimo livello come il recente progetto di norma UNI E14D00036 propone:
  • Pianificazione di prodotto e servizio (3)
  • Sviluppo strategia per la sicurezza informatica (4)
  • Gestione del contratto (3)
  • Sviluppo del personale (3)
  • Gestione del rischio (4)
  • Gestione della sicurezza dell'informazione (3)
  • Governance dei sistemi informativi (4)
Pertanto per il DPO è necessario prendere da subito confidenza con questi strumenti. Il Framework Nazionale per la Cyber Security ha messo a punto tutta una serie di strumenti standardizzati per l'analisi del rischio cyber tra cui il documento sui Controlli Essenziali di Cybersecurity che possono essere scaricati dal sito del Framework Nazionale.

Questa analisi dei rischi è destinata in primo luogo ad aumentare i livelli di sicurezza delle piccole e micro imprese coinvolte nelle filiere produttive. "Un numero sempre maggiore di attacchi a grandi imprese capo-filiera viene infatti realizzato grazie alla vulnerabilità presenti nelle imprese parte delle loro filiere. Questo innalzamento è particolarmente importante in un momento di forte trasformazione digitale del settore industriale (industria 4.0) che aumenterà l'integrazione tra le aziende appartenenti ad una fliera, aumentando, di conseguenza, anche la superficie d'attacco" (*)

(*) 2016 Italian Cybersecurity Report, Controlli Essenziali di Cybersecurity, laboratorio Nazionale CINI di Cybersecurity, Versione 1.0, Marzo 2017

Commenti

Post popolari in questo blog

CISO e DPO: interazione e compatibilità tra due figure strategiche nella difesa dei dati

Col recepimento della NIS2 in attuazione della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di sicurezza informatica nell'Unione, sentiremo sempre più spesso parlare della figura professionale del CISO che è l'acronimo inglese di Chief Information Security Officer. In questo articolo esaminiamo il rapporto tra questa figura attinente alla sicurezza informatica e quella del Responsabile della protezione dei dati RPD conosciuto anche con l'acronimo di DPO (Data Protection Officer) come disciplinato dal Regolamento europeo sulla protezione dei dati personali (UE) 2016/679. Diciamo subito che entrambe sono figure che operano nell'ambito della sicurezza dei dati, con ruoli distinti ma complementari. Ecco una panoramica di ciascun ruolo e delle loro possibili interazioni. Ruolo del CISO: Il CISO è responsabile della sicurezza delle informazioni e dei sistemi aziendali. Si occupa della gestione dei rischi legati alla sicurezza informatica, della...

La natura del dato genetico, cosa sappiamo del data breach di 23andMe

Ormai non passa giorno che non si abbia notizia dalla stampa di settore e perfino dalle cronache cittadine di nuovi data breach, notizia recente quella della vendita nel dark web di dati di un noto istituto di analisi fiorentino e fa certo scalpore che in queste violazioni siano coinvolte organizzazioni anche ben strutturate, ma certo il data breach di 23andMe , azienda leader del settore dei test genetici fai da te, lascia davvero stupefatti soprattutto per la facilità con la quale è stato perpetrato: l'attaccante non ha dovuto scrivere neanche una riga di codice! Cosa sappiamo? In una recente comunicazione agli iscritti è l'azienda stessa a fare luce sui fatti e a dare le prime indicazioni agli utenti, leggiamo insieme la traduzione in italiano del comunicato di 23andMe: Di recente abbiamo appreso che alcune informazioni del profilo, che un cliente crea e sceglie di condividere con i propri parenti genetici nella funzione DNA Relatives, sono state accessibili da singoli acco...

Come smaltire in sicurezza i documenti cartacei.

Aziende, enti, liberi professionisti e privati cittadini spesso trascurano di smaltire in maniera corretta i documenti cartacei, eppure tante attività di HUMINT (acronimo di HUman INTelligence) si basano proprio sul recupero di materiale cartaceo smaltito in maniera scorretta, non avete idea di quante informazioni interessanti si possono ottenere rovistando nella spazzatura della persone e in effetti questa è una delle prime attività che viene assegnata alle reclute delle agenzie di intelligence.  Per questo occorre adottare una procedura per il corretto smaltimento dei documenti cartacei. I rischi sono che dati personali di natura particolare, numeri di carte di credito, password appuntate, dati giudiziari possano essere facilmente recuperati e utilizzati da soggetti non autorizzati al trattamento per scopi fraudolenti o illegali. Inoltre lo smaltimento o il recupero non deve recare pregiudizio all'ambiente, in Italia la materia è disciplinata dal D. Lgs. 152/2006. Ecco alcuni sug...