Il 18 ottobre scorso BearIT ha organizzato il Digital Fortification Forum – Embracing NIS 2 presso l’hotel Iseolago di Iseo (BS), evento dedicato al recepimento della Normativa europea NIS2 relativa alla sicurezza delle reti e delle informazioni.
NIS2: caratteristiche tecniche
Marco Blonk-Steiner , CTO Software Division e Rosaria Silvestri CTO Infrastructure e Cyber Security in BearIT hanno illustrato i punti salienti della nuova normativa sotto il profilo tecnico e gli impatti che la NIS2 ha sulle organizzazioni interessate dalla sua applicazione.
La Direttiva NIS2 (Network and Information Security Directive) rappresenta un passo fondamentale dell’Unione Europea per rafforzare la sicurezza informatica in tutti i Paesi membri. Questa nuova direttiva amplia la portata delle misure di sicurezza introducendo nuovi requisiti e sanzioni significativamente più severe per le aziende e le istituzioni.
La direttiva introduce standard di sicurezza più rigorosi, tra cui l’obbligo di effettuare valutazioni del rischio regolari, implementare misure di protezione adeguate, e formare il personale in modo continuativo.
Le organizzazioni devono adottare misure specifiche per garantire la protezione della rete e dei sistemi informativi, tra cui l’autenticazione a più fattori (MFA) per l’accesso ai sistemi critici, la cifratura dei dati e l’implementazione di sistemi di backup sicuri e ridondanti. Questi controlli tecnici sono pensati per rafforzare la protezione contro le minacce più comuni, come il ransomware, il furto di credenziali, e l’intercettazione dei dati durante la trasmissione.
Monitoraggio continuo e rilevamento delle minacce
La direttiva impone alle organizzazioni di adottare soluzioni di monitoraggio continuo per rilevare attività sospette e potenziali incidenti di sicurezza. L’uso di strumenti avanzati come i SIEM (Security Information and Event Management) e sistemi di rilevamento delle intrusioni (IDS/IPS) permette di identificare rapidamente comportamenti anomali e di rispondere tempestivamente a possibili attacchi. Questo tipo di sorveglianza proattiva è cruciale per contenere le minacce prima che possano causare danni significativi.
Test di sicurezza e audit periodici (Security Testing and Regular Audits)
Le organizzazioni soggette alla NIS2 devono condurre regolarmente test di sicurezza, tra cui penetration testing, vulnerability assessments e audit di conformità per valutare l’efficacia delle loro misure di sicurezza. Inoltre, devono mantenere un piano di risposta agli incidenti aggiornato e sottoposto a simulazioni periodiche. Questi test aiutano a identificare potenziali punti deboli nei sistemi e a garantire che le contromisure di sicurezza siano sempre allineate con le migliori pratiche e i requisiti della direttiva.
Miglioramento della resilienza operativa (Enhanced Operational Resilience)
La NIS2 richiede alle organizzazioni critiche di sviluppare e implementare piani di continuità operativa e disaster recovery, garantendo la capacità di mantenere o ripristinare rapidamente i servizi essenziali in caso di incidente informatico. Questo include la creazione di strategie di backup sicure, la ridondanza dei sistemi critici e l’adozione di pratiche di business continuity testing per verificare l’efficacia dei piani. L’obiettivo è ridurre al minimo l’interruzione delle operazioni e garantire la disponibilità continua dei servizi fondamentali.
Obbligo di gestione degli aggiornamenti di sicurezza (Patch Management and Security Updates Management)
La NIS2 stabilisce che le organizzazioni devono avere un processo efficace per la gestione degli aggiornamenti dei propri sistemi di sicurezza.
Questo obbligo include l’identificazione rapida delle vulnerabilità, l’applicazione tempestiva di patch e aggiornamenti e il monitoraggio continuo per garantire che tutti i sistemi siano aggiornati e protetti contro le ultime minacce.
Le organizzazioni devono inoltre implementare meccanismi per testare gli aggiornamenti in ambienti controllati prima della loro distribuzione in produzione, al fine di evitare interruzioni operative.
Una gestione efficiente degli aggiornamenti è essenziale per prevenire exploit di vulnerabilità note da parte degli attaccanti.
Formazione continuativa del personale
Un aspetto cruciale introdotto dalla NIS2 è l’obbligo di formazione continua del personale attraverso programmi di security awareness.
Le organizzazioni devono educare costantemente i propri dipendenti sui rischi informatici, sulle procedure di sicurezza interne e sulle migliori pratiche da seguire. Simulazioni di attacco, come i phishing test, e sessioni di aggiornamento regolari aiutano a mantenere alta la consapevolezza e a rafforzare la prima linea di difesa contro gli attacchi, che spesso sfruttano l’errore umano.
Ambito di applicazione della NIS2
Lo speech di Gianluca Pomante, avvocato cassazionista e Data Expert, ha completato il Digital Fortification Forum -Embracing NIS2. Pomante ha delineato dal punto di vista legale obiettivi, ambito di applicazione, settori coinvolti, obblighi e sanzioni relativi alla NIS2.
Il pubblico intervenuto ha potuto interagire con gli speaker e ottenere informazioni aggiuntive e ulteriori dettagli sulle opportunità che l’introduzione della NIS2 offre alle aziende per aumentare la sicurezza informatica aziendale e avere un vantaggio competitivo in ambito sia nazionale che europeo.
Nella pagina del nostro sito relativa alla consulenza su Compliance aziendale trovi tutti i dettagli delle soluzioni che BearIT offre alle organizzazioni per mantenere e migliorare il livello di conformità normativa sia a livello nazionale che europeo.
