Le indicazioni di Axitea alle aziende su come prepararsi alla Direttiva NIS2 per una sicurezza IT avanzata e costruire un framework di azione conforme alla nuova direttiva comunitaria. Nel gennaio 2023, gli Stati membri dell’Unione Europea hanno ufficialmente introdotto una revisione della Direttiva sulla sicurezza delle reti e dei sistemi informatici (Network and Information Systems – NIS) del 2016. La nuova versione, denominata Direttiva NIS2, è stata ideata in risposta a cyber attacchi diffusi e dannosi, per potenziare i requisiti di sicurezza, semplificare gli obblighi di reporting e implementare misure di supervisione più stringenti con requisiti di applicazione più rigorosi.
I settori vitali
L’obiettivo principale della Direttiva NIS2 è rafforzare le difese delle entità critiche contro vulnerabilità nella supply chain, attacchi ransomware e altre minacce informatiche. Questa direttiva si applica a due categorie di soggetti, definiti “essenziali” e “importanti”, che operano in settori vitali come energia, trasporti, sanità, settore bancario e mercati finanziari, fornendo servizi altrettanto cruciali. A differenza della NIS 2016, i requisiti di cybersicurezza della NIS2 si estendono non solo alle organizzazioni “critiche” e ai loro dipendenti diretti, ma anche a subappaltatori e fornitori di servizi.
Gestire e valutare i rischi alla sicurezza
L’articolo 21 del NIS2 obbliga gli Stati membri a garantire che le entità essenziali e importanti gestiscano il rischio implementando sistemi, policy e best practice efficaci che coprano un’ampia gamma di misure e discipline di cybersecurity. Tutti e 27 gli Stati membri dell’UE sono chiamati a ratificare la NIS2 entro il 17 ottobre 2024. In caso di violazione, gli Stati membri possono imporre multe fino a 10 milioni di euro o corrispondenti al 2% del fatturato annuo e ritenere i vertici delle organizzazioni inadempienti personalmente responsabili.
Come prepararsi alla Direttiva NIS2
Identificare, valutare e affrontare i rischi. Gli organi che gestiscono le entità definite “essenziali” e “importanti” dalla direttiva devono innanzitutto assicurarsi di implementare misure tecniche, operative e organizzative adeguate e trasversali all’interno dell’organizzazione. Questo servirà a gestire i rischi alla sicurezza di sistemi informatici, reti e ambiente fisico.
Valutare la sicurezza. Il secondo passo cruciale è individuare punti deboli. Tra questi password non gestite, account configurati erroneamente o inattivi, suscettibili di furto di credenziali.
Impedire l’accesso agli hacker
Proteggeregli accessi privilegiati. La Direttiva NIS2 consiglia di limitare l’accesso agli account amministrativi, ruotare regolarmente le password e adottare misure per proteggere gli accessi privilegiati. Questi infatti possono essere sfruttati dagli attaccanti per introdursi nei sistemi e interrompere l’operatività di infrastrutture critiche.
Rafforzarele difese antiransomware. Implementare soluzioni di sicurezza e best practice per difendersi proattivamente contro il ransomware, utilizzando soluzioni di sicurezza dei privilegi sugli endpoint per applicare il principio del privilegio minimo. E ancora: controllando le applicazioni e potenziando le soluzioni antivirus di ultima generazione (NGAV) e di rilevamento e risposta sugli endpoint (EDR).
Axitea: prepararsi alla Direttiva NIS2
Adottarel’architettura Zero Trust. Le tradizionali architetture di sicurezza, orientate al perimetro di rete e progettate per proteggere i confini di una rete aziendale affidabile, risultano inadeguate in un contesto che prevede ampio utilizzo di servizi cloud e forza lavoro ibrida. L’approccio Zero Trust consente di implementare diversi strati difensivi. Come, ad esempio, l’accesso con privilegio minimo, l’autenticazione continua e l’analisi delle minacce per verificare ogni tentativo di accesso.
Monitorarela supply chain del software. Gli attacchi alla supply chain sono una delle principali preoccupazioni degli organi di regolamentazione dell’UE e una delle principali motivazioni alla base della Direttiva NIS2. È necessario dunque esaminare la supply chain del software e considerare l’implementazione di una soluzione di gestione dei segreti per mitigare i rischi.
Investire sulla formazione interna
Pianificarela risposta agli incidenti. La Direttiva NIS2 richiede una reportistica più rapida in caso di incidente, in grado di fornire un background sull’evento e possibili azioni entro 24 ore. Le imprese, quindi, devono essere sufficientemente preparate, con processi di notifica degli eventi, raccolta di informazioni e reportistica adeguati.
Formazione del personale. Come sempre, il primo passo per impedire un incidente cyber è quello di rendere più consapevoli gli operatori all’interno di un’organizzazione. In questi mesi fino all’implementazione della direttiva le imprese possono incrementare gli sforzi nella formazione sulla cybersecurity e nella promozione della cyber-igiene. Questo contribuisce a migliorare la consapevolezza del personale e a instillare una cultura orientata alla sicurezza.
Per concludere
Al fine di essere adeguatamente preparate alle implementazioni della NIS2 e a futuri interventi normativi, è importante che le imprese adottino soluzioni cyber e strategie personalizzate per le proprie dimensioni e il proprio raggio di attività. E questo sia attraverso risorse interne che, in caso di lacune, affidandosi ad un servizio gestito esternamente.
