Direttiva NIS2: da Axitea le linee guida per una sicurezza informatica avanzata

Pubblicato il 15 febbraio 2024
hacker cybersecurity

Nel gennaio 2023, gli Stati membri dell’Unione Europea hanno ufficialmente introdotto una revisione della Direttiva sulla sicurezza delle reti e dei sistemi informatici (Network and Information Systems – NIS) del 2016. Questa nuova versione, denominata Direttiva NIS2, è stata ideata in risposta a cyber attacchi diffusi e dannosi, al fine di potenziare i requisiti di sicurezza, semplificare gli obblighi di reporting e implementare misure di supervisione più stringenti con requisiti di applicazione più rigorosi.

L’obiettivo principale della Direttiva NIS2 è rafforzare le difese delle entità critiche contro vulnerabilità nella supply chain, attacchi ransomware e altre minacce informatiche. Questa direttiva si applica a due categorie di soggetti, definiti “essenziali” e “importanti”, che operano in settori vitali come energia, trasporti, sanità, settore bancario e mercati finanziari, fornendo servizi altrettanto cruciali. A differenza della NIS 2016, i requisiti di cybersicurezza della NIS2 si estendono non solo alle organizzazioni “critiche” e ai loro dipendenti diretti, ma anche a subappaltatori e fornitori di servizi.

L’articolo 21 del NIS2 obbliga gli Stati membri a garantire che le entità essenziali e importanti gestiscano il rischio implementando sistemi, policy e best practice efficaci che coprano un’ampia gamma di misure e discipline di cybersecurity. Tutti e 27 gli Stati membri dell’UE sono chiamati a ratificare la Direttiva NIS2 entro il 17 ottobre 2024. In caso di violazione, gli Stati membri possono imporre multe fino a 10 milioni di euro o corrispondenti al 2% del fatturato annuo e ritenere i vertici delle organizzazioni inadempienti personalmente responsabili.

Ecco, quindi, come le imprese possono prepararsi alla Direttiva NIS2 e costruire un framework di azione conforme alle normative:

  1. Identificare, valutare e affrontare i rischi. Gli organi che gestiscono le entità definite “essenziali” e “importanti” dalla direttiva devono innanzitutto assicurarsi di implementare misure tecniche, operative e organizzative adeguate e trasversali all’interno dell’organizzazione per gestire i rischi alla sicurezza di sistemi informatici, reti e ambiente fisico.
  2. Valutare la sicurezza. Il secondo passo cruciale è individuare punti deboli come password non gestite, account configurati erroneamente o inattivi, suscettibili di furto di credenziali.
  3. Proteggere gli accessi privilegiati. La Direttiva NIS2 consiglia di limitare l’accesso agli account amministrativi, ruotare regolarmente le password e adottare misure per proteggere gli accessi privilegiati, poiché questi possono essere sfruttati dagli attaccanti per introdursi nei sistemi e interrompere l’operatività di infrastrutture critiche.
  4. Rafforzare le difese antiransomware. Implementare soluzioni di sicurezza e best practice per difendersi proattivamente contro il ransomware, utilizzando soluzioni di sicurezza dei privilegi sugli endpoint per applicare il principio del privilegio minimo, controllando le applicazioni e potenziando le soluzioni antivirus di ultima generazione (NGAV) e di rilevamento e risposta sugli endpoint (EDR).
  5. Adottare dell’architettura Zero Trust. Le tradizionali architetture di sicurezza, orientate al perimetro di rete e progettate per proteggere i confini di una rete aziendale affidabile, risultano inadeguate in un contesto che prevede ampio utilizzo di servizi cloud e forza lavoro ibrida. L’approccio Zero Trust consente di implementare diversi strati difensivi come l’accesso con privilegio minimo, l’autenticazione continua e l’analisi delle minacce per verificare ogni tentativo di accesso.
  6. Monitorare la supply chain del software. Gli attacchi alla supply chain sono una delle principali preoccupazioni degli organi di regolamentazione dell’UE e una delle principali motivazioni alla base della Direttiva NIS2. È necessario dunque esaminare attentamente la supply chain del software e considerare l’implementazione di una soluzione di gestione dei segreti per mitigare i rischi.
  7. Pianificare la risposta agli incidenti. La Direttiva NIS2 richiede una reportistica più rapida in caso di incidente, in grado di fornire un background sull’evento e possibili azioni entro 24 ore. Le imprese, quindi, devono essere sufficientemente preparate, con processi di notifica degli eventi, raccolta di informazioni e reportistica adeguati.
  8. Formazione del personale. Come sempre, il primo passo per impedire un incidente cyber è quello di rendere più consapevoli gli operatori all’interno di un’organizzazione. In questi mesi fino all’implementazione della direttiva le imprese possono incrementare gli sforzi nella formazione sulla cybersecurity e nella promozione della cyber-igiene per migliorare la consapevolezza del personale e instillare una cultura orientata alla sicurezza.

Al fine di essere adeguatamente preparate alle implementazioni della NIS2, ma anche a futuri interventi normativi, è importante che le imprese adottino soluzioni cyber e strategie personalizzate per le proprie dimensioni e il proprio raggio di attività, sia attraverso risorse interne che, in caso di lacune, affidandosi ad un servizio gestito esternamente.



Contenuti correlati

  • Empowering the Future: maggiore efficienza energetica, più sicurezza nelle reti

    L’implementazione di tecnologie di automazione moderne che contribuiscono all’efficienza produttiva e assicurano funzioni di cybersecurity affidabili, genera notevoli vantaggi competitivi, come la riduzione dei costi di gestione e la continuità di servizio. È con questo concetto chiave che...

  • Cybersecurity: il 2025 sarà l’anno dei gemelli digitali cattivi

    Nel 2025 gli attacchi informatici che sfruttano l’intelligenza artificiale diventeranno sempre più personalizzati e colpiranno attraverso truffe e attacchi di phishing altamente sofisticati. I cybercriminali utilizzeranno le informazioni trafugate online per addestrare i LLM a imitare gli...

  • Giornata europea della protezione dei dati personali: il commento di Clusit

    “Proteggere i dati personali oggi non significa soltanto rispettare le normative, che deve essere dato per scontato, ma vuol dire invece comprendere quali siano i rischi per i cittadini e per gli ordinamenti democratici che possono derivare...

  • Cybersecurity per il settore aeroportuale: Sita e Palo Alto Networks insieme

    SITA, fornitore globale di tecnologia per il trasporto aereo, ha raggiunto un accordo significativo per collaborare con Palo Alto Networks, noto a livello globale nel campo della cybersicurezza, per fornire una protezione completa per le applicazioni mission-critical...

  • Secsolutionforum 2025 nel segno dell’AI

    Secsolutionforum, l’unico e immancabile evento digitale dedicato ai professionisti della sicurezza si svolgerà quest’anno dal 9 all’11 aprile 2025. L’evento nel 2024 ha portato sul palco virtuale più di 50 relatori, di cui 2 analisti internazionali, in...

  • Omron lancia D40A-2, il finecorsa di sicurezza per ripari non a contatto

    Omron ha introdotto il nuovo D40A-2 nella sua gamma di finecorsa di sicurezza per ripari non a contatto, componenti fondamentali per arrestare istantaneamente i macchinari all’apertura di una porta di accesso, garantire la sicurezza degli operatori e...

  • EU Cyber Resilience Act: cosa significa per il mondo open source

    l’intelligenza artificiale e le tensioni geopolitiche spingono le aziende a esplorare nuove tecnologie e innovare più velocemente che mai. Ma devono farlo bilanciando costi, sicurezza e sostenibilità, nell’ottica di una continua ricerca dell’efficienza. In questo, l’automazione IT...

  • Robot: la realtà ha superato la finzione?

    Ancora oggi la parola “robot” è spesso associata a personaggi fiction come R2-D2 o C-3PO di Star Wars. Eppure, la robotica avanzata ha lasciato da tempo il mondo della fantascienza e viene utilizzata quotidianamente nelle fabbriche e...

  • Previsioni e trend per la sicurezza: il 2025 secondo Juniper Networks

    Con l’approssimarsi del nuovo anno, le aziende cominciano a interrogarsi su quali sfide e opportunità si presenteranno in tema di sicurezza nei mesi a venire. Vediamo qualche tendenza. Le operazioni di rete e di sicurezza saranno sempre...

  • Shin Software trasformazione digitale digital twin sostenibilità ESG
    Il valore dei digital twin per la sostenibilità nell’offerta di Shin Software

    Shin Software, azienda attiva nello sviluppo di soluzioni innovative come la tecnologia Digital Twin, si caratterizza come partner strategico per l’industria, con un forte impegno verso i principi ESG. Recentemente, l’azienda ha partecipato alla fiera Automation &...

Scopri le novità scelte per te x