Analisi dei rischi e politiche di sicurezza
Metodo di identificazione, valutazione, trattamento e riesame dei rischi di cybersicurezza.
Compliance
Consulenza NIS2
La NIS2 richiede alle organizzazioni interessate di adottare un modello strutturato per la gestione dei rischi di cybersicurezza, coinvolgendo direttamente gli organi di amministrazione e collegando misure organizzative, operative e tecniche.
Blu System supporta le aziende nell’analisi del perimetro, nella valutazione dei rischi, nell’individuazione delle carenze e nella definizione di un piano di adeguamento concreto e prioritizzato.
Non ci limitiamo a indicare cosa manca: possiamo affiancare l’organizzazione anche nella predisposizione della documentazione e nell’attuazione delle misure tecniche necessarie.
Perimetro e responsabilità
Comprendere cosa è realmente applicabile
Il primo passo consiste nel comprendere il contesto dell’organizzazione e verificare quali servizi, sistemi, informazioni e responsabilità devono essere considerati.
L’analisi prende in esame le attività e i servizi erogati, l’organizzazione societaria, i processi e le sedi coinvolte, i sistemi informativi e le reti utilizzate, le informazioni e i servizi critici, i fornitori e i servizi esterni rilevanti, le dipendenze operative, la documentazione e le misure già presenti, oltre alle richieste ricevute da clienti e altre parti interessate.
Questo approccio consente di definire un perimetro chiaro e condiviso, riducendo il rischio di sottovalutare elementi rilevanti o, al contrario, di introdurre interventi non proporzionati rispetto alle reali esigenze dell’organizzazione.
La valutazione consulenziale non sostituisce eventuali determinazioni o comunicazioni delle autorità competenti.
Compliance
La cybersicurezza coinvolge la Direzione
La NIS2 non tratta la sicurezza come un tema esclusivamente tecnico.
Gli organi di amministrazione devono conoscere i rischi principali, approvare le misure di gestione della cybersicurezza e controllarne l’attuazione.
Il percorso comprende quindi il supporto nella definizione di ruoli e responsabilità, delle modalità di approvazione delle misure, dei flussi informativi verso la Direzione, dei processi di verifica e riesame, degli indicatori utili a monitorare l’attuazione, delle attività formative per Direzione e personale e delle modalità di gestione e registrazione delle decisioni.
L’obiettivo è rendere la cybersicurezza parte del governo dell’organizzazione e non una responsabilità isolata del fornitore informatico o del reparto IT.
Gestione del rischio
Valutare rischi, carenze e misure esistenti
Analizziamo i rischi collegati ai servizi e ai sistemi compresi nel perimetro, verificando quali misure siano già presenti e quanto risultino effettivamente applicate.
La valutazione può riguardare:
Gestione degli incidenti
Processi di rilevazione, segnalazione, classificazione, gestione, registrazione e chiusura degli incidenti.
Continuità operativa
Backup, ripristino, disaster recovery, gestione delle crisi e dipendenze critiche.
Sicurezza dei fornitori
Valutazione dei rischi derivanti da fornitori, partner e servizi esterni.
Gestione delle vulnerabilità
Aggiornamenti, configurazioni sicure, vulnerability assessment, penetration test e trattamento delle vulnerabilità.
Sicurezza degli accessi e degli asset
Inventari, account, privilegi, autenticazione, autorizzazioni e protezione delle risorse aziendali.
Formazione e igiene informatica
Competenze della Direzione, consapevolezza del personale e comportamenti essenziali di sicurezza.
Crittografia e protezione delle comunicazioni
Protezione dei dati, delle credenziali e delle comunicazioni interne ed esterne.
Quando è utile attivare il servizio
La consulenza è indicata quando:
l’organizzazione rientra o ritiene di poter rientrare nel perimetro NIS2;
è necessario verificare quali società, sedi o servizi siano coinvolti;
sono già state svolte alcune attività, ma manca una visione complessiva;
non esiste un’analisi strutturata dei rischi di cybersicurezza;
la Direzione non dispone di informazioni sufficienti per approvare e controllare le misure;
mancano politiche, procedure, registri o evidenze;
devono essere valutati fornitori e dipendenze critiche;
è necessario trasformare i requisiti in un piano di lavoro sostenibile;
clienti o partner richiedono evidenze sulle misure adottate.
Il nostro metodo
Come funziona il servizio
Un percorso che parte dall’organizzazione e arriva alle misure operative.
1
Inquadramento e perimetro
Raccogliamo le informazioni necessarie per comprendere attività, servizi, sistemi, dati, fornitori, responsabilità e requisiti applicabili.
2
Analisi dei rischi e Gap Analysis
Valutiamo i principali scenari di rischio e confrontiamo le misure esistenti con quanto richiesto dal percorso di adeguamento.
Distinguiamo ciò che è già attuato, ciò che deve essere migliorato e ciò che risulta assente.
3
Piano di adeguamento
Definiamo le azioni necessarie, assegnando priorità, responsabilità, tempistiche ed eventuali dipendenze.
Il piano distingue interventi organizzativi, documentali e tecnici.
4
Attuazione e verifica
Supportiamo la predisposizione dei documenti e l’implementazione delle misure.
Verifichiamo lo stato di avanzamento e raccogliamo le evidenze utili a dimostrare quanto attuato.
Il piano di adeguamento
Il risultato della consulenza non è un semplice elenco di requisiti.
Per ogni carenza viene indicato:
- il rischio o il requisito a cui è collegata;
- la situazione rilevata;
- il risultato da raggiungere;
- l’attività consigliata;
- il livello di priorità;
- il responsabile da coinvolgere;
- le evidenze da produrre o conservare;
- l’eventuale necessità di un intervento tecnico;
- lo stato di avanzamento.
Questo permette alla Direzione e ai referenti operativi di sapere cosa deve essere fatto, perché è necessario e in quale ordine affrontarlo.
Dalla Compliance alle misure tecniche
Molte misure richieste da un percorso NIS2 devono essere tradotte in attività tecniche concrete.
Blu System può progettare e realizzare gli interventi individuati durante l’analisi, tra cui:
Protezione degli endpoint
Sistemi di protezione, rilevazione e risposta per workstation e server, inclusa la configurazione sicura di server, endpoint, apparati di rete e servizi cloud (Hardening).
Scopri il servizio Protezione degli endpointFirewall e segmentazione
Separazione delle reti, controllo del traffico e protezione degli accessi interni e remoti.
Scopri il servizio Firewall e segmentazioneBackup e continuità operativa
Progettazione delle copie di sicurezza, monitoraggio, test di ripristino e strategie di disaster recovery.
Scopri il servizio Backup e continuità operativaEmail security
Protezione della posta elettronica contro phishing, malware, spoofing e compromissione degli account.
Scopri il servizio Email securityLogging e monitoraggio
Centralizzazione dei log, controllo degli eventi e conservazione delle evidenze.
Scopri il servizio Logging e monitoraggioOffensive security
Attività di simulazione e verifica attiva della sicurezza dei sistemi che permettono di valutare la sicurezza dal punto di vista di un potenziale attaccante.
- Vulnerability Assessment (VA): analisi delle vulnerabilità presenti su sistemi, reti e applicazioni;
- Penetration Test (PT): simulazione controllata di attacchi per verificare l’effettiva esposizione;
- Red Team: simulazioni avanzate e realistiche di attacco per testare la resilienza complessiva dell’organizzazione.
Vulnerability management e Threat Intelligence
Processo continuo di identificazione, valutazione e gestione delle vulnerabilità, integrato con la raccolta e l’analisi di informazioni sulle minacce emergenti che possono coinvolgere l’organizzazione.
Scopri il servizio di Threat IntelligenceFormazione e consapevolezza
Formazione del personale e attività finalizzate a ridurre il rischio umano.
Le attività tecniche vengono definite e quotate separatamente sulla base delle priorità emerse dal piano di trattamento.
FAQ
Domande sulla consulenza NIS2
Come posso sapere se la mia organizzazione rientra nella NIS2?
La valutazione dipende da diversi elementi, tra cui settore, attività, dimensioni, servizi erogati e struttura dell’organizzazione.
Possiamo effettuare un primo inquadramento e raccogliere le informazioni necessarie.
Quando sono richieste interpretazioni giuridiche definitive, il percorso può essere coordinato con il consulente legale dell’organizzazione.
La NIS2 riguarda soltanto il reparto IT?
No. Il reparto IT è coinvolto nell’attuazione di molte misure, ma il percorso interessa anche Direzione, personale, acquisti, fornitori, continuità operativa, gestione dei rischi e processi aziendali.
È sufficiente acquistare nuovi strumenti di sicurezza?
No. Gli strumenti tecnici sono soltanto una parte del percorso.
Devono essere inseriti in un modello che comprenda responsabilità, analisi dei rischi, procedure, formazione, controllo dei fornitori, gestione degli incidenti e verifica dell’efficacia delle misure.
La certificazione ISO/IEC 27001 equivale all’adeguamento NIS2?
No. La ISO/IEC 27001 e la NIS2 hanno finalità e requisiti differenti.
Un sistema ISO/IEC 27001 già attivo può costituire una base importante, ma è comunque necessario verificare in modo specifico i requisiti applicabili alla NIS2.
La consulenza comprende tutte le implementazioni tecniche?
La consulenza comprende l’analisi, la definizione delle priorità e il supporto previsto dal progetto.
Le attività tecniche, come l’installazione di sistemi di sicurezza o la modifica dell’infrastruttura, vengono progettate e quotate separatamente in base al piano approvato.
È possibile procedere per fasi?
Sì. Il piano può essere organizzato per priorità, affrontando prima le carenze con rischio e urgenza maggiori.
La pianificazione dovrà comunque tenere conto degli obblighi e delle scadenze applicabili alla specifica organizzazione.
Dopo il primo adeguamento il lavoro è concluso?
No. Rischi, sistemi, fornitori e servizi cambiano nel tempo.
Il modello deve essere riesaminato periodicamente, verificando lo stato delle misure, gli incidenti, le vulnerabilità, gli aggiornamenti normativi e le modifiche organizzative.
In sintesi
Benefici per la tua azienda
Trasformi i requisiti NIS2 in un percorso comprensibile, prioritizzato e collegato ai rischi reali dell’organizzazione.
- Definisci con maggiore chiarezza perimetro, servizi e responsabilità
- Conosci le principali carenze organizzative, documentali e tecniche
- Coinvolgi la Direzione nelle decisioni sulla cybersicurezza
- Ottieni un piano di adeguamento ordinato per rischio e urgenza
- Produci e conservi evidenze verificabili delle misure adottate
- Colleghi l’attività consulenziale agli interventi tecnici necessari
Cosa ricevi
Analisi del perimetroAnalisi dei rischiGap analysis NIS2Piano di adeguamento prioritizzato+2
Analisi del perimetro • Analisi dei rischi • Gap analysis NIS2 • Piano di adeguamento prioritizzato • Documentazione ed evidenze • Supporto all’attuazione.
Vuoi capire da dove iniziare il percorso NIS2?
Analizziamo il tuo contesto, individuiamo le carenze principali e costruiamo un piano di adeguamento sostenibile per la tua organizzazione.
