Autovalutazione NIS2: a che punto siete con le misure ACN

Avete un elenco aggiornato dei sistemi informatici rilevanti, quelli da cui dipendono i servizi per cui rientrate nella NIS2?

È la base di molte altre misure, che valgono «almeno per i sistemi rilevanti».

Avete un piano di gestione dei rischi informatici scritto, applicato e aggiornato?

Come trovate, analizzate e valutate i rischi, cosa decidete di fare e come li tenete d'occhio.

È scritto chi si occupa della sicurezza informatica, con ruoli approvati dall'organo di amministrazione?

Organizzazione per la sicurezza con punto di contatto, sostituto e referente CSIRT, elenco delle persone, riesame ogni due anni; valutazione dell'affidabilità di chi accede ai sistemi rilevanti e degli amministratori di sistema.

Avete politiche di sicurezza scritte, approvate dall'organo di amministrazione e riesaminate ogni anno?

Devono coprire 16 ambiti, dalla gestione del rischio alla risposta agli incidenti.

Sapete quali fornitori toccano la sicurezza dei vostri sistemi, e nei loro contratti ci sono requisiti di sicurezza?

Inventario dei fornitori con il referente, valutazione del rischio di ciascuno, requisiti nei contratti, verifiche periodiche, ruoli affidati a esterni.

Avete inventari aggiornati di hardware, software e servizi, compresi quelli dei fornitori e in cloud?

Dispositivi IT, IoT, OT e mobili, applicazioni e servizi approvati; per gli essenziali anche i flussi di rete autorizzati.

Valutate i rischi almeno ogni due anni e gestite le vulnerabilità con un piano approvato dai vertici?

Valutazione del rischio e piano di trattamento approvati, avvisi del CSIRT Italia seguiti, vulnerabilità risolte in fretta; per gli essenziali anche vulnerability assessment o penetration test periodici.

Avete piani di continuità operativa, disaster recovery e gestione delle crisi, approvati e riesaminati?

Per almeno i sistemi rilevanti, approvati dall'organo di amministrazione e riesaminati ogni due anni; più il piano di adeguamento con le relazioni periodiche ai vertici.

Ogni persona ha un'utenza personale, con l'autenticazione a più fattori sui sistemi rilevanti e solo i permessi che le servono?

Utenze censite e riesaminate, credenziali robuste, MFA, minimo privilegio, utenze amministrative separate, accesso fisico protetto ai locali tecnici.

Avete un piano di formazione sulla sicurezza approvato dai vertici, che comprende anche gli organi di amministrazione, con il registro di chi l'ha seguita?

Per tutto il personale; per gli essenziali anche la formazione dedicata ai ruoli specializzati, come gli amministratori di sistema.

Fate backup periodici con copie offline e cifrate i dati su portatili e supporti rimovibili?

Dati cifrati anche in transito, supporti rimovibili controllati; per gli essenziali anche backup protetti e test di ripristino periodici.

Usate solo software ancora aggiornato dal produttore e installate gli aggiornamenti di sicurezza senza ritardi?

Log degli accessi remoti e amministrativi conservati in modo sicuro, sviluppo sicuro se scrivete software; per gli essenziali anche configurazioni sicure di riferimento, test degli aggiornamenti e registro delle manutenzioni.

Gli accessi da remoto sono censiti e protetti, e firewall e sistemi di confine sono aggiornati e ben configurati?

Elenco dei sistemi raggiungibili da remoto e delle attività consentite; per gli essenziali anche comunicazioni di emergenza protette.

Avete strumenti che rilevano in tempo gli attacchi, un antivirus aggiornato su PC e server e livelli di servizio attesi scritti?

I livelli di servizio attesi servono a riconoscere un incidente di tipo IS-3; per gli essenziali anche filtro del traffico e della posta, sorveglianza degli accessi e indicatori per gli abusi di privilegi.

Avete un piano di gestione degli incidenti e di notifica al CSIRT Italia, approvato e riesaminato?

Fasi, ruoli, come preparare la pre-notifica entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese.

Sapete come avvisare i vostri clienti di un incidente significativo che li può danneggiare?

Procedure per informare i destinatari dei servizi e, se l'ACN lo ordina, il pubblico.

Avete procedure scritte per rimettere in funzione i sistemi dopo un incidente?

Fanno parte del piano di gestione degli incidenti.

Tenete informati gli uffici interni sulle attività di ripristino dopo un incidente?

Procedure documentate di comunicazione interna durante il ripristino.