Direttiva NIS2: da Axitea le linee guida per una sicurezza informatica avanzata

Pubblicato il 15 febbraio 2024
hacker cybersecurity

Nel gennaio 2023, gli Stati membri dell’Unione Europea hanno ufficialmente introdotto una revisione della Direttiva sulla sicurezza delle reti e dei sistemi informatici (Network and Information Systems – NIS) del 2016. Questa nuova versione, denominata Direttiva NIS2, è stata ideata in risposta a cyber attacchi diffusi e dannosi, al fine di potenziare i requisiti di sicurezza, semplificare gli obblighi di reporting e implementare misure di supervisione più stringenti con requisiti di applicazione più rigorosi.

L’obiettivo principale della Direttiva NIS2 è rafforzare le difese delle entità critiche contro vulnerabilità nella supply chain, attacchi ransomware e altre minacce informatiche. Questa direttiva si applica a due categorie di soggetti, definiti “essenziali” e “importanti”, che operano in settori vitali come energia, trasporti, sanità, settore bancario e mercati finanziari, fornendo servizi altrettanto cruciali. A differenza della NIS 2016, i requisiti di cybersicurezza della NIS2 si estendono non solo alle organizzazioni “critiche” e ai loro dipendenti diretti, ma anche a subappaltatori e fornitori di servizi.

L’articolo 21 del NIS2 obbliga gli Stati membri a garantire che le entità essenziali e importanti gestiscano il rischio implementando sistemi, policy e best practice efficaci che coprano un’ampia gamma di misure e discipline di cybersecurity. Tutti e 27 gli Stati membri dell’UE sono chiamati a ratificare la Direttiva NIS2 entro il 17 ottobre 2024. In caso di violazione, gli Stati membri possono imporre multe fino a 10 milioni di euro o corrispondenti al 2% del fatturato annuo e ritenere i vertici delle organizzazioni inadempienti personalmente responsabili.

Ecco, quindi, come le imprese possono prepararsi alla Direttiva NIS2 e costruire un framework di azione conforme alle normative:

  1. Identificare, valutare e affrontare i rischi. Gli organi che gestiscono le entità definite “essenziali” e “importanti” dalla direttiva devono innanzitutto assicurarsi di implementare misure tecniche, operative e organizzative adeguate e trasversali all’interno dell’organizzazione per gestire i rischi alla sicurezza di sistemi informatici, reti e ambiente fisico.
  2. Valutare la sicurezza. Il secondo passo cruciale è individuare punti deboli come password non gestite, account configurati erroneamente o inattivi, suscettibili di furto di credenziali.
  3. Proteggere gli accessi privilegiati. La Direttiva NIS2 consiglia di limitare l’accesso agli account amministrativi, ruotare regolarmente le password e adottare misure per proteggere gli accessi privilegiati, poiché questi possono essere sfruttati dagli attaccanti per introdursi nei sistemi e interrompere l’operatività di infrastrutture critiche.
  4. Rafforzare le difese antiransomware. Implementare soluzioni di sicurezza e best practice per difendersi proattivamente contro il ransomware, utilizzando soluzioni di sicurezza dei privilegi sugli endpoint per applicare il principio del privilegio minimo, controllando le applicazioni e potenziando le soluzioni antivirus di ultima generazione (NGAV) e di rilevamento e risposta sugli endpoint (EDR).
  5. Adottare dell’architettura Zero Trust. Le tradizionali architetture di sicurezza, orientate al perimetro di rete e progettate per proteggere i confini di una rete aziendale affidabile, risultano inadeguate in un contesto che prevede ampio utilizzo di servizi cloud e forza lavoro ibrida. L’approccio Zero Trust consente di implementare diversi strati difensivi come l’accesso con privilegio minimo, l’autenticazione continua e l’analisi delle minacce per verificare ogni tentativo di accesso.
  6. Monitorare la supply chain del software. Gli attacchi alla supply chain sono una delle principali preoccupazioni degli organi di regolamentazione dell’UE e una delle principali motivazioni alla base della Direttiva NIS2. È necessario dunque esaminare attentamente la supply chain del software e considerare l’implementazione di una soluzione di gestione dei segreti per mitigare i rischi.
  7. Pianificare la risposta agli incidenti. La Direttiva NIS2 richiede una reportistica più rapida in caso di incidente, in grado di fornire un background sull’evento e possibili azioni entro 24 ore. Le imprese, quindi, devono essere sufficientemente preparate, con processi di notifica degli eventi, raccolta di informazioni e reportistica adeguati.
  8. Formazione del personale. Come sempre, il primo passo per impedire un incidente cyber è quello di rendere più consapevoli gli operatori all’interno di un’organizzazione. In questi mesi fino all’implementazione della direttiva le imprese possono incrementare gli sforzi nella formazione sulla cybersecurity e nella promozione della cyber-igiene per migliorare la consapevolezza del personale e instillare una cultura orientata alla sicurezza.

Al fine di essere adeguatamente preparate alle implementazioni della NIS2, ma anche a futuri interventi normativi, è importante che le imprese adottino soluzioni cyber e strategie personalizzate per le proprie dimensioni e il proprio raggio di attività, sia attraverso risorse interne che, in caso di lacune, affidandosi ad un servizio gestito esternamente.



Contenuti correlati

  • sicurezza AI Axitea
    AI e sicurezza: come prevenire gli infortuni sul lavoro

    Di Marco Bavazzano, Amministratore Delegato di Axitea Ciclicamente, e con dispiacere, ci troviamo a leggere o ascoltare di storie di infortuni sul lavoro che hanno purtroppo spesso un epilogo tragico, con conseguenti bilanci, commenti e iniziative sulle...

  • Direttiva NIS2 e organizzazioni italiane: le risposte di Sangfor Technologies

    Per preparare meglio gli Stati dell’UE contro le minacce informatiche, la Direttiva NIS2 ha incluso requisiti organizzativi più severi, estesi in 4 aree: la gestione del rischio, la responsabilità aziendale, gli obblighi di rendicontazione e la continuità...

  • Sicurezza: normative e legislazioni, come farvi fronte

    La sicurezza è un concetto: bisogna imparare a conoscerlo e a diffondere la cultura della sicurezza. Normative e legislazioni servono e sono doverose in ogni attività produttiva, ma vanno comprese nel loro senso più profondo. Per aumentare...

  • Acqua ed energia al sicuro

    Un’azienda svedese di servizi pubblici per l’energia e l’acqua ha deciso di migliorare sia la sicurezza sia l’affidabilità attraverso l’integrazione IT/OT e per farlo ha scelto Fortinet Falu Energi & Vatten (Energia & Acqua) è un’azienda municipalizzata...

  • Refrigeranti A3 ABB
    ABB, conformità con i gas refrigeranti A2L e A3

    Nel mondo della produzione di unità HVACR, la sicurezza è sempre al primo posto, soprattutto quando si tratta di refrigeranti di categoria A2L e A3, dove i rischi sono elevati e di varia natura. Per garantire la...

  • Anteprima SPS Italia 2024: intervista a Cinzia Bonomini e Marco Pelizzaro di Pilz Italia

    Siamo qui con Cinzia Bonomini e Marco Pelizzaro di Pilz Italia, in vista della sua partecipazione a SPS Italia 2024 di Parma, il prossimo 28-30 maggio, per capire qualcosa in più della sua filosofia e cosa porterà in...

  • Carico, scarico e movimentazione di pannelli in totale sicurezza

    Per aggiornare un sistema automatico di movimentazione dei pannelli, nell’ambito della linea di produzione di componenti per l’industria dell’arredo di Mobilpref, l’azienda Robota, specializzata nella lavorazione del legno, ha utilizzato la tecnologia di sicurezza di Schmersal. Leggi...

  • Cyber Security, a Security Summit 2024 lo stato dell’arte, le nuove tecnologie, le normative in 56 sessioni

    Lo stato dell’arte della cyber security, tra attacchi, vittime e nuove minacce nel 2023: sulla base dei dati del Rapporto Clusit 2024 gli esperti dell’Associazione Italiana per la Sicurezza Informatica, con rappresentanti di istituzioni, centri di ricerca,...

  • Come cambia il mondo dell’automotive

    Guida autonoma, connettività e intelligenza artificiale stanno rivoluzionando il settore automotive, con un impatto significativo sulla sicurezza, sia a livello di viabilità, sia dei veicoli Passeranno ancora diversi anni prima di poter circolare in città su un...

  • Moduli di espansione MCM Euchner proposti da Tritecnica

    I dispositivi di sicurezza multifunzione Euchner della serie MGB2, presentati da Tritecnica, consentono di integrare, all’interno del loro sistema, tutti gli elementi necessari per l’ottimizzazione della gestione e del controllo dei ripari, garantendo una riduzione dei tempi...

Scopri le novità scelte per te x