Con il Dpcm attuativo del perimetro di sicurezza nazionale cibernetica, in discussione alle Camere, e il DPR che abilita la concreta attuazione di quanto previsto per il Centro di Valutazione e Certificazione Nazionale (CVCN) si va delineando un’architettura nazionale che porrà il nostro Paese in una posizione avanzata in tema di cyber sicurezza.
Facciamo il punto sui prossimi passi.
Il Dpcm attuativo del perimetro di sicurezza nazionale cibernetica
Il Dpcm attuativo del perimetro di sicurezza nazionale cibernetica, relativo all’art 1, comma 3, “misure volte a garantire elevati livelli di sicurezza delle reti, dei sistemi informativi e dei servizi informatici”.
Vi sono contenute le indicazioni per la Notifica degli incidenti in modo tempestivo al CSIRT della Presidenza del Consiglio. La tempestività è misurata in ore, cosa che renderà interessante l’applicazione da parte degli operatori pubblici e privati i quali dovranno necessariamente individuare procedure spedite di valutazione dei possibili impatti di un incidente, anche in assenza di valutazioni specifiche sulla natura e le possibili evoluzioni dell’incidente stesso.
Questi ultimi dettagli sono comunque previsti in una successiva comunicazione al CSIRT sotto forma di relazione.
I requisiti minimi
Nell’Allegato A viene proposta una tassonomia originale degli incidenti cyber, atta a identificare i criteri con cui optare per la notifica di cui sopra.
Negli Allegati B e C sono riportate le misure minime di sicurezza per i soggetti del perimetro.
Anche queste misure sono molto interessanti perché inquadrano i famosi requisiti minimi di cui si discute da anni. In una parola, stiamo finalmente guardando a una sicurezza minima organizzata, definita e misurabile.
Il dpcm si inquadra nelle attività di consolidamento delle azioni tattiche di applicazione del Perimetro Nazionale.
In particolare, l’allegato B del Dpcm si basa sul Framework nazionale pubblicato dal CIS Sapienza nella versione del 2019 (Framework comprensivo dei controlli di privacy previsti dal GDPR) e propone una selezione di Subcategory di interesse in base alle esigenze del Perimetro.
L’aspetto interessante è che per le subcategory selezionate vengono forniti i controlli/attività abilitanti.
Individuazione delle priorità di intervento
Per applicare completamente la metodologia di contestualizzazione del Framework Nazionale occorrerà anche, da parte delle aziende che devono applicare le misure minime, una individuazione delle priorità di intervento.
In ogni caso è stata fatta una contestualizzazione del Framework ai soggetti del Perimetro, unica per tutti.
Viene fornita anche una mappatura tra le aree di sicurezza previste nel Perimetro (struttura organizzativa, politiche di sicurezza e gestione del rischio, protezione fisica e logica dei dati, e così via) e le subcategory del Framework.
Dipendenza interna e esterna
Un ulteriore aspetto interessante riguarda i concetti di dipendenza interna (le reti, i sistemi informativi, i servizi informatici, le infrastrutture fisiche o gli altri servizi, ivi compresi quelli utilizzati per fini di manutenzione e gestione, esterni al bene ICT, ma di pertinenza del soggetto) e dipendenza esterna (le reti, i sistemi informativi, i servizi informatici, le infrastrutture fisiche o gli altri servizi, ivi compresi quelli utilizzati per fini di manutenzione e gestione, di pertinenza di altri soggetti) contenuti nella Premessa relativa alle misure minime di sicurezza.
Il Framework nazionale
Il Framework Nazionale è stato pubblicato per la prima volta nel 2015: contiene, fra l’altro, alcune linee guida per l’applicazione del Framework alle Infrastrutture Critiche.
Il processo di applicazione si compone di nove passaggi (identificare una contestualizzazione, definire priorità e ambito, identificare sistemi e asset, determinare il profilo corrente, analizzare il rischio, determinare il profilo target, ecc…). Per le Infrastrutture critiche sono inserite due precisazioni aggiuntive con riferimento ai suddetti passaggi: di fatto la contestualizzazione, intesa come scelta di category e subcategory di interesse e relativa priorità, coincide con il totale dei controlli nel caso delle infrastrutture critiche.
Nel 2016 è stata pubblicata la contestualizzazione alle PMI e nel 2019 la versione aggiornata del framework contente anche i controlli relativi all’applicazione del GDPR.
La cyber security nel PNRR: cosa c’è e cosa manca nel piano dell’Italia
Verso un’architettura nazionale
Quasi parallelamente viaggia il DPR che abilita la concreta attuazione di quanto previsto per il CVCN (Centro di Valutazione e Certificazione Nazionale) con i due Centri di Valutazione di Interno e Difesa (da non confondere con i Ce.Va. dello schema certificativo CC/ITSEC che effettuano valutazioni per i prodotti che trattano dati classificati sotto lo schema coordinato dall’ANS, Autorità Nazionale di Sicurezza).
Per la completa attuazione del Perimetro, nonché per l’attuazione del DPR sul CVCN, manca solo un decreto attuativo che organizzi i LAP (Laboratori Accreditati di Prova). A quel punto avremo una architettura nazionale, il perimetro con i requisiti minimi di sicurezza, una organizzazione di controllo della sicurezza minima e una organizzazione di valutazione e certificazione. Il che ci porrà all’avanguardia nel mondo per la strategia di sicurezza cibernetica in ottica di continuità del Sistema Paese.
Fornitura ICT alla PA, il decreto sul Perimetro migliora la cyber ma grava sulle aziende
