Uno degli aspetti chiave della Direttiva NIS 2 è la protezione delle infrastrutture critiche, che comprendono settori essenziali come l’energia, i trasporti, la sanità e le telecomunicazioni. Queste infrastrutture sono vitali per il funzionamento delle società moderne e la loro compromissione potrebbe avere conseguenze devastanti.
Pertanto, l’implementazione di rigorose politiche di igiene informatica è fondamentale per prevenire attacchi informatici e altre forme di minacce digitali.
Indice degli argomenti
La rilevanza dell’igiene informatica
Le responsabilità delle aziende in questo contesto sono molteplici e richiedono un concreto impegno ad adottare misure di sicurezza adeguate, che includono la formazione continua del personale sulla sicurezza informatica, l’adozione di tecnologie di protezione all’avanguardia e l’implementazione di processi di gestione del rischio.
Inoltre, è essenziale che le aziende stabiliscano piani di risposta agli incidenti per affrontare tempestivamente qualsiasi violazione della sicurezza.
La road map da seguire è disegnata dalla Direttiva NIS 2 in un chiaro quadro normativo – composto dai Considerando 49, 50, 89 e dagli articoli 7, 18 e 21 – che pone le regole per garantire l’igiene informatica su 2 livelli: quello delle persone fisiche e quello delle organizzazioni che rivestono il ruolo di soggetti essenziali ed importanti.
Esaminiamo ora l’applicazione pratica di questo quadro normativo, con un particolare riferimento ai controlli previsti dalla norma ISO/IEC 27001:2022. Questi spunti di riflessione offrono una base di approfondimento, che i lettori potranno ulteriormente sviluppare e arricchire con ulteriori contributi.
Politiche di igiene informatica in capo alle persone fisiche
Le politiche di igiene informatica consentono un quadro proattivo di preparazione e sicurezza e protezione generale in caso di incidenti o minacce informatiche. Il Considerando 49 della NIS 2 evidenzia come tali politiche pongano le fondamenta per la protezione delle infrastrutture delle reti e dei sistemi di informazione, dell’hardware, del software e della sicurezza delle applicazioni online, nonché dei dati aziendali o degli utenti finali su cui si basano i soggetti essenziali ed importanti.
Il concetto di igiene informatica comprende una serie di pratiche declinate su due livelli: uno operativo ed un altro tattico. Esaminiamo ora il primo livello che riguarda le persone fisiche chiamate a gestire i sistemi per mantenere e migliorare la sicurezza.
Queste includono:
- gli aggiornamenti regolari del software e dell’hardware: che sono essenziali per correggere vulnerabilità e difetti che potrebbero essere sfruttati dagli attaccanti (Rif. ISO/IEC 27001:2022 controllo 8.8 “Gestione delle vulnerabilità tecniche”);
- la gestione delle password: cambi regolari e politiche robuste di creazione delle password possono impedire accessi non autorizzati (Rif. ISO/IEC 27001:2022 controllo 5.17 “Informazioni di autenticazione”);
- il controllo delle installazioni: che comporta la verifica che nuovo software o hardware non introduca vulnerabilità nel sistema (Rif. ISO/IEC 27001:2022 controllo 8.19 “Installazione del software sui sistemi in esercizio”);
- la limitazione degli account di accesso a livello di amministratore: che assicura la riduzione del rischio di danni interni e la limitazione delle opportunità di accesso per gli attaccanti (Rif. ISO/IEC 27001:2022 controllo 8.2 “Diritti di accesso privilegiato”);
- il backup dei dati: che assicura, in caso di violazione dei dati, che i sistemi possano essere ripristinati rapidamente (Rif. ISO/IEC 27001:2022 controllo 8.13 “Backup delle informazioni”).
Monitoraggio ENISA e strategia nazionale di cibersicurezza
L’ENISA (Agenzia dell’Unione Europea per la Cybersecurity) gioca un ruolo fondamentale nel monitorare l’attuazione delle politiche di igiene informatica tra gli Stati membri. L’art. 18 della Direttiva NIS 2, infatti attribuisce all’ENISA, il compito di pubblicare una relazione biennale sullo stato della cibersicurezza nell’Unione da presentare al Parlamento europeo in collaborazione.
Questo importante documento, che l’ENISA predisporrà insieme alla Commissione UE e al gruppo di cooperazione, deve comprendere tra l’altro proprio una valutazione del livello generale di consapevolezza in materia di cibersicurezza e di igiene informatica tra i cittadini e i soggetti, comprese le piccole e medie imprese.
Questa attività di monitoraggio che svolgerà l’ENISA si combina con la Strategia nazionale per la cibersicurezza che secondo quanto stabilito dall’art. 7 della Direttiva NIS 2, ogni Stato membro deve adottare al fine di raggiungere e mantenere un livello elevato di cibersicurezza.
Tra altre cose, la strategia nazionale per la cibersicurezza deve comprendere orientamenti sulle buone pratiche e sui controlli concernenti l’igiene informatica, destinati ai cittadini, ai portatori di interessi e ai soggetti essenziali e importanti.
Ma quali sono le pratiche di igiene informatica che dovrebbero adottare tali soggetti?
Pratiche di igiene informatica per soggetti essenziali ed importanti
Il Considerando 89 della NIS 2 stabilisce regole di igiene informatica rivolte specificamente alle organizzazioni che rivestono il ruolo di soggetti essenziali e importanti.
Questi, per garantire un livello elevato di sicurezza, dovrebbero implementare un ampio spettro di pratiche fondamentali di igiene informatica di livello tattico e avanzato rispetto a quelle precedentemente descritte, attinenti ad un livello operativo.
Queste pratiche includono:
- principi di Zero Trust: è un modello di sicurezza secondo il quale non bisogna fidarsi di alcuno, né all’esterno né all’interno della propria organizzazione. Occorre verificare continuamente l’identità e l’integrità di ogni dispositivo e utente che tenta di accedere alle risorse (Rif. ISO/IEC 27001:2022 controllo 8.16 “Attività di monitoraggio”);
- aggiornamenti regolari del software: bisogna mantenere aggiornati tutti i software e i sistemi operativi per proteggersi dalle vulnerabilità note. Occorre anche installare tempestivamente patch e aggiornamenti di sicurezza (Rif. ISO/IEC 27001:2022 controllo 8.8 “Gestione delle vulnerabilità tecniche”);
- configurazione corretta dei dispositivi: è necessario configurare tutti i dispositivi secondo le Best Practice. Questo include disabilitare funzionalità non necessarie, impostare password forti e configurare firewall e altre misure di sicurezza. (Rif. ISO/IEC 27001:2022 controllo 8.9 “Gestione delle configurazioni”);
- segmentazione della rete: occorre dividere la rete in segmenti separati per limitare il movimento laterale di eventuali intrusi. Le reti critiche e sensibili devono essere isolate dalle altre parti della rete aziendale (Rif. ISO/IEC 27001:2022 controllo 8.20 “Sicurezza delle reti”);
- gestione dell’identità e degli accessi: vanno implementati rigorosi controlli di gestione degli accessi per garantire che solo gli utenti autorizzati possano accedere a risorse specifiche. Devono anche essere utilizzate specifiche tecnologie come l’autenticazione a più fattori (MFA) per rafforzare la sicurezza degli accessi (Rif. ISO/IEC 27001:2022 controllo 8.3 “Limitazione degli accessi alle informazioni”);
- sensibilizzazione degli utenti: è fondamentale educare e sensibilizzare gli utenti sulle minacce informatiche comuni, come il phishing e le tecniche di ingegneria sociale. Bisogna programmare e curare formazione e aggiornamenti sulle migliori pratiche di sicurezza (Rif. ISO/IEC 27001:2022 controllo 6.3 “Consapevolezza, istruzione, formazione e addestramento sulla sicurezza delle informazioni”).
A completamento, i soggetti essenziali e importanti dovrebbero anche valutare le loro capacità di cibersicurezza magari prevedendo l’integrazione di tecnologie per il rafforzamento della cibersicurezza quali l’intelligenza artificiale o i sistemi di apprendimento automatico, per migliorare le loro capacità e la sicurezza dei sistemi informatici e di rete.
Conclusioni
È ormai acquisito che la Direttiva NIS 2 rappresenta un passo essenziale verso la costruzione di un ambiente digitale più sicuro e resiliente.
In questo particolare contesto, l’importanza delle politiche di igiene informatica non può essere sottovalutata, poiché esse costituiscono la base per la protezione delle infrastrutture critiche e per il mantenimento della sicurezza delle informazioni.
Con il supporto dell’ENISA e l’impegno degli Stati membri, l’Unione Europea sarà certamente meglio preparata ad affrontare le sfide della sicurezza cibernetica in un mondo sempre più interconnesso.
Le aziende, le istituzioni e le PMI devono comunque collaborare per garantire che le pratiche di cyber hygiene siano adottate e rispettate, creando così un ecosistema digitale più sicuro per tutti.
Rimane da chiarire il rapporto tra l’igiene informatica e la cibersicurezza.
Ma questo tema merita una autonoma approfondita riflessione.
