Direttiva NIS2: l’ignoranza può costare cara

16. gennaio 2024, Andreas Klare

Di recente, nel nostro blog abbiamo illustrato i retroscena della nuova normativa NIS2. Ora dobbiamo chiarire quali compiti comporta per le aziende: quali sono le potenziali conseguenze dell’ignorare la NIS2? E come può l’UEM aiutare gli amministratori IT a implementare alcune delle normative?

In sintesi

Una protezione inadeguata dei sistemi IT è una porta aperta per gli attacchi degli hacker.
L’aggiornamento dei processi aziendali pertinenti è fondamentale.
La NIS2 è una vera sfida, ma la mancata implementazione sarà molto costosa in futuro.
Soprattutto in tempi di carenza di competenze, l’UEM è un elemento importante per la sicurezza delle infrastrutture critiche.

Di recente ho discusso quali organizzazioni con sede nell’UE rientrano nell’ambito di applicazione della nuova Direttiva NIS2 nell’articolo di blog “NIS2: un nuovo fattore DETERMINANTE”. Ma l’arco narrativo può essere collegato anche alla mia serie di articoli su Star Wars. Mettiamola così: la tecnologia costruttiva della Morte Nera rientrerebbe sicuramente nella nuova Direttiva NIS2. Oggi, tuttavia, diamo uno sguardo più concreto alla misura in cui la NIS2 va oltre le normative precedenti, a ciò che le aziende devono fare e alle sfide che attendono gli amministratori IT in questo processo.

Una cosa è chiara: tutte le aziende interessate sono tenute ad ampliare le proprie attività nelle aree dell’analisi del rischio, della sicurezza informatica, della valutazione e dell’implementazione delle misure, della gestione della risposta agli incidenti, della gestione delle crisi e della formazione.

Sfida alle risorse: aggiornare i processi

Un aspetto centrale in senso lato è la cybersicurezza. Soprattutto in tempi di carenza di personale qualificato, l’implementazione della NIS2 rappresenta una vera e propria sfida per molte aziende, in cui è richiesta ancora più manodopera per la sicurezza aziendale.

In concreto, questo significa che le aziende CRITIS devono aggiornare le loro misure di sicurezza tecniche e organizzative nell’ambito della gestione degli incidenti e i loro piani di continuità operativa. Sono inoltre tenute ad effettuare regolari valutazioni del rischio per fornire ulteriori garanzie per tutti i potenziali punti di ingresso. Ecco di nuovo la parola chiave: Morte Nera. Le aziende interessate devono presentare concetti efficaci per l’analisi del rischio e valutare l’efficacia delle misure adottate. Inoltre, è necessaria una formazione regolare nell’ambito della sicurezza informatica. Da non dimenticare: la sicurezza della catena di approvvigionamento, la gestione degli asset e persino la sicurezza del personale rientrano nella NIS2.

In questo caso - e questo è importante per le aziende coinvolte - le misure di sicurezza richieste non si basano sui costi di cybersicurezza investiti, ma soprattutto sul potenziale impatto. Ad esempio, alcune aziende CRITIS interessate devono registrarsi presso l’Agenzia dell’Unione Europea per la cybersicurezza (ENISA) e di solito segnalano gli incidenti di sicurezza in diverse fasi:

Segnalazione iniziale entro 24 ore
Aggiornamento di questa segnalazione iniziale entro 72 ore
Rapporto finale al BSI entro un mese

Minaccia di sanzioni: la NIS2 rende la sicurezza informatica una priorità del management

Con la NIS2, in futuro la responsabilità generale della cybersicurezza e della prevenzione degli incidenti di sicurezza nelle aziende CRITIS spetterà all’alta dirigenza. Se le aziende non soddisfano i nuovi requisiti, possono essere multate pesantemente. Mentre in futuro la responsabilità della conformità a NIS2 spetterà al management, ai CISO e ai dipartimenti di sicurezza, l'effettiva implementazione nell'area tecnica rimarrà spesso di competenza degli specialisti IT nel loro lavoro quotidiano.

Direttiva NIS2: perché le aziende CRITIS devono agire subito

Per le aziende CRITIS, quindi, la situazione sta diventando davvero critica e devono urgentemente adottare misure di sicurezza per proteggersi meglio dalle minacce. Allo stesso tempo, è necessario tener conto dei limiti di budget e, soprattutto, di personale. In questo modo, l’investimento in misure di difesa e di ripristino viene ripagato in tempi relativamente brevi.

Il fatto è che la conformità ai requisiti NIS2 ha senso per le aziende in generale, perché riduce significativamente il rischio di attacchi informatici. Infine, ma non meno importante, le aziende beneficiano anche di una maggiore efficienza e produttività.

Una cassetta degli attrezzi per gestire e proteggere in modo efficiente le risorse IT

Attualmente non esiste un unico strumento che garantisca il pieno rispetto di tutti i requisiti NIS2. Piuttosto, molte soluzioni esistenti utilizzate per migliorare la cybersicurezza prima della NIS2 possono ora contribuire alla conformità alla NIS2.

Oltre a Network Access Control e alle soluzioni di monitoraggio, l’Unified Endpoint Management supporta gli amministratori IT nella gestione e nel monitoraggio automatizzati di tutti gli endpoint di rete. Ciò inizia con un inventario completo dell’hardware e dei software installati. È importante non trascurare nessun tipo di endpoint. Vanno registrati i controller e i dispositivi di rete, così come i computer Windows o i dispositivi mobili. Questo tipo di gestione degli asset contribuisce a fornire una solida base per soddisfare alcuni requisiti della NIS2 in materia di trasparenza, analisi del rischio e sicurezza generale delle informazioni.

Prevenzione efficace degli incidenti attraverso la gestione delle vulnerabilità e degli aggiornamenti

Quando la NIS2 parla di igiene informatica e prevenzione degli incidenti, include naturalmente la gestione delle vulnerabilità e degli aggiornamenti. Ovviamente, grazie alla gestione automatizzata delle vulnerabilità, le patch e gli hotfix possono essere applicati in tutta l’azienda in qualsiasi momento in base a una policy a tutti i dispositivi IT e/o OT interessati da una vulnerabilità di sicurezza. Con l’aiuto del monitoraggio continuo, i team IT conoscono sempre lo stato esatto (BIOS/UEFI, OS, applicazioni, configurazione, autorizzazioni, ecc.) di ogni dispositivo, senza dover controllare ogni singolo dispositivo. Anche le minacce visualizzate da Defender sono informazioni preziose. Solo chi dispone di informazioni trasparenti sulle vulnerabilità può eliminarle ed evitare che si ripresentino.

Per quanto possa sembrare ovvio, una gestione costante degli aggiornamenti è un elemento cruciale per una sicurezza informatica affidabile. Ciò significa installare l’ultima versione del software e dei sistemi operativi ogni volta che è possibile e mantenerli aggiornati. In questo modo, su ogni computer è presente solo ciò che è necessario e affidabile.

Misure di sicurezza come la crittografia dell’hard disk (defense control), liste di autorizzazioni o blocco dei software e un sistema di ticketing per una risposta rapida ultimano una soluzione UEM completa e aiutano gli amministratori IT a soddisfare parte dei requisiti della NIS2.

Gestione automatizzata delle vulnerabilità

Le vulnerabilità nelle infrastrutture critiche sono più che semplici sfide locali. Scoprite come la gestione automatizzata delle vulnerabilità può aiutare la vostra azienda ad affrontarle nel nostro white paper.

Al nostro white paper “Gestione automatizzata delle vulnerabilità”

Vedi tutti i post