Consulenza normativa per compliance NIS 2

Qualora si evidenzi una lacuna nella gestione del rischio della supply chain, proponiamo un assessment processuale e tecnico per supportare le aziende a identificare, valutare e mitigare I rischi legati alla catena dei fornitori/partner che supportano le operazioni aziendali. L'obiettivo è garantire che la supply chain sia resistente e conforme alle normative di settore e in grado di supportare la continuità del business in caso di minacce quali compromissione dei fornitori, software malevolo, hardware contraffatto o alterato.

Come viene svolto il servizio?
Il servizio consiste nella valutazione della postura di sicurezza dei fornitori per assicurarsi che rispettino standard adeguati; Contratti chiari che stabiliscano le responsabilità in materia di sicurezza informatica; Monitoraggio continuo delle attività dei fornitori per rilevare e rispondere tempestivamente alle minacce.

Qualora si evidenzi una lacuna nella gestione degli incidenti, è possibile eseguire un assessment per analizzare e valutare la gestione strutturata e tempestiva degli incidenti che possono compromettere la sicurezza informatica, la continuità operativa e il normale svolgimento delle operazioni e si compone di: creazione di procedure interne, definizione di strategie SIEM per monitorare, classificare e contenere gli eventi dannosi, strategie di comunicazione degli incidenti.

Come viene svolto il servizio?
Il servizio consiste nei seguenti passaggi: plan and prepare, detection and reporting, assessment and detection, response (inclusa la fase di attività post-incidente), lesson learnt.

Qualora si evidenzi una lacuna nella gestione dell’interruzione delle attività causata da possibili incidenti, è possibile eseguire un assessment per analizzare e valutare gli aspetti fondamentali dei processi di riferimento e le aspettative di business a riguardo, identificando le priorità aziendali, i tempi di recupero accettabili (RTO) e i requisiti di continuità (RPO). Al termine di questa attività si produce un report BIA
- Business Impact Analysis, punto di partenza per sviluppare solidi piani di Business Continuity e Disaster Recovery.

Come viene svolto il servizio?
Si identificano le attività critiche (processi aziendali, dipendenze interne ed esterne) si definiscono i parametri chiave (MTD Maximum Tolerable Downtime; RTO Recovery Time Objective; RPO Recovery Point Objective) si analizzano gli impatti (economico, operativo, reputazionale, legale) si valutano le risorse critiche (personale, infrastrutture, tecnologie), si identificano gli stakeholder e le priorità di ripristino e si produce un report.

Qualora si evidenzi una lacuna nella gestione del ciclo di vita delle utenze, dei privilegi di accesso e degli accessi alle risorse critiche, sarà condotto un assessment relativo a: 
IAM-Identity & Access Management: Gestione delle identità e degli accessi delle stesse alle risorse applicative aziendali.
PAM-Privileged Access Control: Gestione degli accessi delle identità privilegiate (amministrative).

Come viene svolto il servizio?
IAM può essere implementato in diversi modi, a seconda delle caratteristiche dell’architettura presa in esame, con soluzioni software complete o implementando misure correttive, qualora possibile, ai sistemi di gestione già presenti. PAM si implementa attraverso software dedicato.

Qualora si evidenzi una lacuna nella gestione delle vulnerabilità, proponiamo un servizio per identificare, analizzare e testare le vulnerabilità dei sistemi, reti, applicazioni, software aziendali per prevenire possibili attacchi. Il VA-Vulnerability Assessment produce un report che riporta le vulnerabilità identificate, il loro livello di gravità e le raccomandazioni per mitigarle. Il PT-Penetration Test, simulando attacchi reali, verifica la resistenza dei sistemi alle vulnerabilità identificate.

Come viene svolto il servizio?
Vulnerability Assessment: Si definiscono gli obiettivi e l’ambito di interesse (reti, applicazioni, software, dispositivi), si definiscono accordi formali con l’organizzazione per concordare limiti ed effetti dei test, si raccolgono informazioni tramite strumenti automatizzati e manuali, si lanciano delle
sonde per rilevare punti deboli e si classificano le vulnerabilità in base alla gravità.
Penetration Test: Si eseguono test manuali e automatizzati per sfruttare vulnerabilità identificate e non identificate, registrando ogni passo, incluso l’accesso ottenuto e i dati compromessi.

La NIS 2 si concentra sugli stessi obiettivi della NIS, ma copre una gamma più ampia di settori, ha requisiti più rigorosi per la gestione dei rischi e la segnalazione degli incidenti e pene più severe per la non conformità. Espande anche l'ambito delle organizzazioni coperte.

La NIS 2 stabilisce che devono essere istituiti processi per l'analisi e la gestione dei rischi, la sicurezza delle informazioni e la gestione degli incidenti informatici. Devono essere in atto piani di continuità e recupero per rispondere alle emergenze. Gli incidenti significativi devono essere segnalati alle autorità competenti. L'uso aziendale della tecnologia di crittografia e dell'autenticazione multifattoriale è obbligatorio. E sono richieste formazioni regolari per tutto il personale per istruirlo sulle migliori pratiche nella sicurezza delle informazioni.

Sebbene sia ISO 27001 che NIS 2 mirino a migliorare la sicurezza informatica, hanno ambiti, applicabilità e approcci complessivi diversi nei confronti della sicurezza informatica. Se il vostro Sistema di Gestione della Sicurezza delle Informazioni (ISMS) è certificato secondo ISO 27001, sarete sulla strada per la conformità a NIS 2, ma saranno necessarie ulteriori misure e processi.