sanzioni<\/a> sono pi\u00f9 elevate per i primi.<\/p>\nEsiste un terzo gruppo che la norma non obbliga direttamente, ma che finisce per essere coinvolto allo stesso modo. Chi fornisce un’azienda soggetta alla NIS2, con ogni probabilit\u00e0 si vedr\u00e0 richiedere gli stessi requisiti<\/strong> per contratto. Qui il termine non lo fissa la legge, lo fissa il cliente.<\/p>\nLe dieci categorie di misure e quali si dimostrano con i dati<\/h3>\n
L’articolo 21.2 della NIS2 elenca dieci categorie di misure.<\/p>\n
\n- a) Analisi dei rischi e politica di sicurezza:<\/strong> la base su cui si regge tutto il resto. Occorre individuare gli asset critici, valutare che cosa pu\u00f2 accadere loro e approvare una politica firmata da un responsabile.<\/li>\n
- b) Gestione degli incidenti:<\/strong> rilevamento, risposta e notifica nei termini. La NIS2 fissa 24 ore per il preallarme e 72 ore per la valutazione dell’impatto, quindi ci\u00f2 che viene verificato \u00e8 la capacit\u00e0 di reagire in fretta.<\/li>\n
- c) Continuit\u00e0 operativa:<\/strong> backup, ripristino e gestione delle crisi. Si tratta di sapere quali servizi sono critici, per quanto tempo si pu\u00f2 restare senza e chi fa che cosa nel frattempo.<\/li>\n
- d) Sicurezza della catena di approvvigionamento:<\/strong> controllo dei fornitori e dei servizi che erogano. Comprende i software di terzi in uso, non solo chi eroga un servizio gestito.<\/li>\n
- e) Acquisizione e manutenzione dei sistemi:<\/strong> compresa la gestione delle vulnerabilit\u00e0. Rientrano qui il patching, il ritiro dei sistemi fuori supporto e la sicurezza dello sviluppo se si producono software propri.<\/li>\n
- f) Valutazione dell’efficacia delle misure:<\/strong> verificare che quanto applicato funzioni davvero. Una politica che nessuno rivede non conta come misura attuata.<\/li>\n
- g) Igiene informatica e formazione:<\/strong> pratiche di sicurezza di base e sensibilizzazione dei dipendenti. Va dalla protezione antimalware alla formazione periodica, con la registrazione di chi l’ha completata.<\/li>\n
- h) Crittografia e cifratura:<\/strong> politiche di cifratura applicate e verificate. La domanda non \u00e8 se esiste la politica, ma su quale percentuale del parco dispositivi la cifratura \u00e8 attiva.<\/li>\n
- i) Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset:<\/strong> il ciclo di vita di persone, account e dispositivi. \u00c8 la categoria pi\u00f9 ampia delle dieci e quella che genera pi\u00f9 lavoro operativo.<\/li>\n
- j) Autenticazione a pi\u00f9 fattori:<\/strong> MFA e comunicazioni sicure dove necessario. La fornisce il provider di identit\u00e0, ma occorre poter dimostrare su quali account \u00e8 attiva.<\/li>\n<\/ul>\n
Di queste dieci misure, sei si dimostrano soprattutto con documentazione e processi<\/strong>. Si redige la politica, si definisce la procedura, si conserva il verbale. Le altre quattro<\/strong>, insieme ad alcune parti di due delle precedenti, non si dimostrano con un documento, ma con lo stato reale dei dispositivi e degli accessi a una data precisa.<\/p>\nE questa seconda parte, quella che si dimostra con i dati, \u00e8 proprio quella che Factorial IT genera in continuo<\/strong>. Vediamola nel dettaglio.<\/p>\nQuali misure della NIS2 copre Factorial IT?<\/h2>\n
Uno strumento di questo tipo non sostituisce n\u00e9 un consulente n\u00e9 un auditor. Quello che fa, invece, \u00e8 produrre da solo met\u00e0 del fascicolo che andr\u00e0 presentato, la parte che si dimostra con i dati. Ecco le sei misure coperte e l’evidenza<\/strong> che deriva da ciascuna.<\/p>\n\n\n\n| Misura (art. 21.2)<\/th>\n | Che cosa richiede<\/th>\n | L’evidenza necessaria<\/th>\n | Come la produce Factorial<\/th>\n<\/tr>\n<\/thead>\n |
\n\ni) Gestione degli asset<\/a><\/strong><\/td>\n| Inventario degli asset con un responsabile identificato<\/td>\n | Inventario datato, con un responsabile assegnato a ciascun dispositivo<\/td>\n | Inventario in tempo reale di un parco misto macOS, Windows, Linux, iOS e Android, con ogni dispositivo collegato a una persona, un team e un reparto<\/td>\n<\/tr>\n | \ni) Controllo degli accessi<\/a><\/strong><\/td>\n| Ciclo di vita degli account e privilegio minimo<\/td>\n | Registro datato di attivazioni, modifiche e revoche<\/td>\n | Provisioning e revoca attivati dall’evento HR, con integrazione con il provider di identit\u00e0<\/td>\n<\/tr>\n | \ni) Sicurezza delle risorse umane<\/a><\/strong><\/td>\n| Procedure di ingresso, cambio ruolo e uscita<\/td>\n | L’esecuzione, non la procedura scritta. Le ore tra l’uscita e la chiusura dell’ultimo accesso<\/td>\n | L’uscita viene eseguita a partire dal dato HR, cos\u00ec la revoca e la sua registrazione avvengono nello stesso momento<\/td>\n<\/tr>\n | \nh) Crittografia e cifratura<\/a><\/strong><\/td>\n| Politiche di cifratura applicate e verificate<\/td>\n | Percentuale del parco dispositivi con cifratura attiva a una data precisa<\/td>\n | Applicazione e verifica di FileVault e BitLocker, con l’elenco dei dispositivi non conformi e la tracciabilit\u00e0 della correzione<\/td>\n<\/tr>\n | \ne) Acquisizione e manutenzione dei sistemi<\/a><\/strong><\/td>\n| Sistemi aggiornati e software ancora supportati<\/td>\n | Livello di patch per dispositivo, tempo medio di applicazione ed elenco dei sistemi a fine vita (EOL)<\/td>\n | Monitoraggio delle versioni, politiche di aggiornamento e rilevamento delle vulnerabilit\u00e0 note e dei software fuori supporto<\/td>\n<\/tr>\n | \ng) Igiene informatica<\/a><\/strong><\/td>\n| Protezione dai codici malevoli distribuita e attiva su tutti i dispositivi<\/td>\n | Copertura reale dell’agente, dispositivo per dispositivo<\/td>\n | Verifica dello stato dell’agente di protezione su ciascun dispositivo e segnalazione di quelli che ne sono privi<\/td>\n<\/tr>\n | \nb) Gestione degli incidenti<\/a><\/strong><\/td>\n| Notifica iniziale entro 24 ore e valutazione dell’impatto entro 72<\/td>\n | Il perimetro dell’incidente e la tracciabilit\u00e0 della risposta, con orari<\/td>\n | La console restituisce all’istante l’utente del dispositivo coinvolto, i suoi accessi, le sue applicazioni e lo storico delle azioni<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\ni) Gestione degli asset<\/h3>\nQuasi tutti hanno un elenco di dispositivi. Quasi nessuno lo tiene collegato alle persone<\/strong>, e senza questo collegamento diventa impossibile dimostrare la revoca degli accessi o il perimetro di un incidente.<\/p>\nC’\u00e8 un secondo errore ricorrente. L’inventario si ferma spesso ai portatili, mentre la norma include anche i servizi affidati a fornitori esterni. In Factorial IT l’inventario raccoglie hardware, software installato e versioni da un’unica console<\/strong>, su un parco misto macOS, Windows, Linux, iOS e Android, e ogni dispositivo \u00e8 collegato a una persona, un team e un reparto grazie alla connessione con il sistema HR. Include inoltre le applicazioni SaaS effettivamente in uso, comprese quelle sottoscritte al di fuori dell’IT.<\/p>\nL’evidenza generata da Factorial IT:<\/strong> inventario scaricabile, datato, con un responsabile per asset e la percentuale di copertura del report.<\/p>\ni) Controllo degli accessi<\/h3>\nIl principio del privilegio minimo \u00e8 facile da enunciare e difficile da comprovare. Ci\u00f2 che un audit chiede non \u00e8 la politica dei permessi, ma l’elenco di chi ha accesso a che cosa oggi, e da quando<\/strong>. Nella maggior parte delle organizzazioni questo elenco non esiste come tale e va ricostruito entrando applicazione per applicazione.<\/p>\nFactorial IT mantiene aggiornato questo inventario degli accessi per persona e automatizza il provisioning in base al ruolo<\/strong>, con regole che assegnano gruppi, permessi e licenze a partire dai dati del software HR. Le applicazioni in cui l’automazione non \u00e8 possibile vengono coperte da un flusso di ticket che lascia la stessa traccia verificabile.<\/p>\nL’evidenza generata da Factorial IT:<\/strong> un registro datato di attivazioni, modifiche e revoche, e la mappa degli accessi per persona in qualsiasi momento.<\/p>\ni) Sicurezza delle risorse umane<\/h3>\nLa procedura di offboarding \u00e8 scritta in quasi tutte le aziende. Ci\u00f2 che manca \u00e8 la prova della sua esecuzione.<\/p>\n Quasi nessuna organizzazione sa dire quante ore siano passate, sulle ultime dodici uscite, tra l’ultimo giorno del dipendente e la chiusura dell’ultimo accesso. \u00c8 esattamente ci\u00f2 che viene verificato.<\/p>\n L’ingresso e l’uscita si attivano direttamente dal software HR di Factorial, non da un ticket. Quando una nuova persona entra nel team, si effettua il provisioning di account e accessi in base al ruolo<\/strong>. Quando quel dipendente lascia l’azienda, si revocano gli accessi, si blocca il dispositivo e si liberano le licenze<\/strong>. Gli AI Agents individuano tutti gli accessi, i dispositivi e le applicazioni assegnati a una persona ed eseguono l’uscita completa, cos\u00ec la revoca e la sua registrazione avvengono nello stesso momento.<\/p>\nL’evidenza generata da Factorial IT:<\/strong> la tracciabilit\u00e0 completa di ogni uscita, con l’orario di revoca di ciascun accesso e il tempo trascorso dall’ultimo giorno del dipendente.<\/p>\nh) Crittografia e cifratura<\/h3>\nLa domanda dell’auditor non \u00e8 mai se esiste la cifratura del disco. Riguarda su quale percentuale del parco dispositivi \u00e8 attiva e a quale data \u00e8 stata verificata<\/strong>. La politica che impone la cifratura esiste in quasi tutte le aziende, ma il dato su quali dispositivi la rispettano oggi no.<\/p>\nFactorial IT applica e verifica FileVault e BitLocker sull’intero parco<\/strong>, e consente di definire politiche di configurazione per ruolo, sistema operativo o stato di sicurezza. Rientrano qui il firewall, il blocco della sessione, la politica delle password e le restrizioni sulle periferiche. Gli scostamenti vengono rilevati e corretti automaticamente.<\/p>\nL’evidenza generata da Factorial IT:<\/strong> la percentuale di conformit\u00e0 per regola a una data precisa, l’elenco nominativo dei dispositivi non conformi e la tracciabilit\u00e0 delle correzioni. \u00c8 questo elenco nominativo che conta, perch\u00e9 \u00e8 ci\u00f2 che trasforma un numero in un’evidenza utilizzabile.<\/p>\ne) Acquisizione e manutenzione dei sistemi<\/h3>\nQuesta categoria copre la sicurezza lungo tutta la vita di un sistema, dall’acquisto al ritiro, e include la gestione delle vulnerabilit\u00e0. Sulla postazione di lavoro si traduce in due cose, tenere i software aggiornati<\/strong> e non lasciare in produzione sistemi che non ricevono pi\u00f9 patch<\/strong>.<\/p>\nLa prima cosa si fa in quasi tutte le aziende, ma si comprova in pochissime. Si applicano le patch, eppure non c’\u00e8 modo di rispondere al tempo medio che intercorre tra la pubblicazione di un aggiornamento critico e la sua applicazione sull’intero parco, che \u00e8 proprio la metrica richiesta. La seconda pesa ancora di pi\u00f9, perch\u00e9 un dispositivo con un sistema operativo fuori supporto \u00e8 una violazione esplicita, non una semplice raccomandazione, e questi dispositivi tendono a comparire proprio durante l’audit.<\/p>\n Ci\u00f2 che Factorial IT tiene aggiornato.<\/p>\n \n- Il monitoraggio delle versioni di sistema operativo e applicazioni sull’intero parco.<\/li>\n
- Le politiche di aggiornamento, con il relativo livello di applicazione per dispositivo.<\/li>\n
- Le vulnerabilit\u00e0 note rilevate su ciascun dispositivo, con il relativo stato di correzione.<\/li>\n
- I software fuori supporto, segnalati direttamente nell’inventario.<\/li>\n<\/ul>\n
L’evidenza generata da Factorial IT:<\/strong> il livello di patch per dispositivo, il tempo medio di applicazione e l’elenco dei sistemi senza supporto.<\/p>\ng) Igiene informatica<\/h3>\nL’igiene informatica raccoglie le pratiche di sicurezza di base che si danno per scontate ma che bisogna poter dimostrare, e una di queste \u00e8 la protezione dai codici malevoli<\/strong> su tutti i dispositivi. Ci\u00f2 che viene verificato non \u00e8 avere un antivirus sotto contratto, ma che sia installato e attivo su ciascun dispositivo.<\/p>\nE qui conviene essere precisi. Factorial IT non \u00e8 l’antivirus, \u00e8 il livello che dimostra che c’\u00e8 e che funziona.<\/p>\n Ci\u00f2 che si mostra in un audit \u00e8 di solito la fattura dell’antivirus. Ci\u00f2 che si verifica \u00e8 la copertura effettiva, e quasi sempre c’\u00e8 tra il 3% e l’8% di dispositivi senza agente o con l’agente fermo, di norma per una reinstallazione, un dispositivo nuovo che nessuno ha registrato o un utente con permessi di amministratore locale. Factorial IT verifica lo stato dell’agente di protezione su ciascun dispositivo<\/strong> e segnala quelli che ne sono privi.<\/p>\nL’evidenza generata da Factorial IT:<\/strong> la copertura effettiva dell’antimalware, dispositivo per dispositivo, con data.<\/p>\nb) Gestione degli incidenti<\/h3>\nLa NIS2 impone di notificare gli incidenti significativi in tempi molto brevi, con un preallarme entro 24 ore e una valutazione dell’impatto entro 72<\/strong>. Rispettare questo calendario dipende dalla capacit\u00e0 di rispondere in fretta a una domanda precisa, cio\u00e8 fin dove \u00e8 arrivato l’incidente.<\/p>\nIl problema non sta nel rilevare, ma nel delimitare. Ci\u00f2 che blocca la notifica \u00e8 sapere quali dati, quali accessi e quali sistemi erano alla portata del dispositivo compromesso<\/strong>, e rispondere a mano richiede giorni.<\/p>\nQuando un incidente coinvolge un dispositivo, la console restituisce all’istante l’utente, i suoi accessi, le sue applicazioni e lo storico delle azioni sul dispositivo. Include blocco e cancellazione da remoto, con la tracciabilit\u00e0 di ogni azione.<\/p>\n L’evidenza generata da Factorial IT:<\/strong> il perimetro dell’incidente e la tracciabilit\u00e0 della risposta, con orari.<\/p>\nDove Factorial IT fa il grosso del lavoro<\/h2>\nOltre alle sei misure precedenti, ce ne sono altre quattro in cui Factorial IT risolve la parte che dipende dai dati<\/strong>, la pi\u00f9 onerosa da mettere insieme, come gi\u00e0 visto. Il resto di queste misure si completa con altri strumenti o con un processo interno. Non \u00e8 la stessa cosa delle misure che Factorial IT non copre affatto, che vedremo pi\u00f9 avanti. Su questi quattro punti lo strumento porta qualcosa di concreto, l’inventario, la tracciabilit\u00e0 o la visibilit\u00e0 che di solito richiedono settimane per essere ricostruiti a mano.<\/p>\n\n\n\n| Misura (art. 21.2)<\/th>\n | Che cosa richiede<\/th>\n | La parte coperta da Factorial<\/th>\n | La parte non coperta<\/th>\n<\/tr>\n<\/thead>\n | \n\nb) Gestione degli incidenti<\/a><\/strong><\/td>\n| Rilevare l’incidente e delimitarne il perimetro per notificare nei termini<\/td>\n | Il perimetro e la tracciabilit\u00e0 di ci\u00f2 che \u00e8 successo sul dispositivo<\/td>\n | Il rilevamento. Factorial IT non \u00e8 n\u00e9 un SIEM n\u00e9 un SOC<\/td>\n<\/tr>\n | \nj) Autenticazione a pi\u00f9 fattori<\/a><\/strong><\/td>\n| Avere la MFA attiva dove necessario e poter dimostrare su quali account lo \u00e8<\/td>\n | La visibilit\u00e0 sugli account che la hanno attiva<\/td>\n | La MFA in s\u00e9, fornita dal provider di identit\u00e0<\/td>\n<\/tr>\n | \ni) Revisione degli accessi<\/a><\/strong><\/td>\n| Verificare periodicamente che ogni persona abbia solo i permessi di cui ha bisogno<\/td>\n | L’inventario degli accessi per persona e l’esecuzione della revoca<\/td>\n | Il processo formale di ricertificazione periodica con approvatori<\/td>\n<\/tr>\n | \nd) Catena di approvvigionamento<\/a><\/strong><\/td>\n| Conoscere e valutare il rischio dei fornitori e dei servizi in uso<\/td>\n | L’inventario reale dei servizi in uso, incluso lo shadow IT<\/td>\n | La valutazione e la stipula dei contratti con i fornitori, che \u00e8 un processo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\nb) Gestione degli incidenti<\/h3>\nUn incidente di sicurezza ha due momenti. Rilevarlo<\/strong> e, una volta rilevato, capire fin dove \u00e8 arrivato<\/strong>. Sono due lavori distinti, svolti da strumenti distinti.<\/p>\nIl rilevamento, cio\u00e8 accorgersi che sta succedendo qualcosa di grave, \u00e8 compito di un SIEM o di un SOC. Un SIEM<\/strong> \u00e8 un sistema che raccoglie e correla i log di tutta l’infrastruttura per generare un allarme quando rileva un’anomalia. Un SOC<\/strong> \u00e8 il team di persone che sorveglia quegli allarmi. Factorial IT non \u00e8 n\u00e9 l’uno n\u00e9 l’altro, e non pretende di esserlo.<\/p>\nCi\u00f2 che fa, invece, una volta rilevato l’incidente, \u00e8 delimitarlo. Quando il dispositivo coinvolto \u00e8 gestito da Factorial IT, la console restituisce all’istante chi lo utilizzava, a che cosa aveva accesso quella persona e quali azioni erano state eseguite sul dispositivo<\/strong>. \u00c8 esattamente ci\u00f2 che serve per notificare nei termini, ma l’allarme che innesca l’intero processo arriva da un’altra parte.<\/p>\nj) Autenticazione a pi\u00f9 fattori<\/h3>\nL’autenticazione a pi\u00f9 fattori (MFA) \u00e8 fornita dal provider di identit\u00e0 (Google Workspace, Microsoft Entra ID o altro), dove i dipendenti effettuano l’accesso. Factorial IT non sostituisce quel provider e non attiva la MFA da s\u00e9<\/strong>.<\/p>\nDove Factorial IT aiuta \u00e8 sul fronte del controllo. La norma non richiede solo di avere la MFA, richiede di poter dimostrare su quali account \u00e8 realmente attiva<\/strong>, e questa fotografia \u00e8 spesso dispersa tra pi\u00f9 strumenti. L’integrazione con il provider di identit\u00e0 permette di riunire questa informazione in un unico punto.<\/p>\ni) Revisione degli accessi<\/h3>\nRivedere gli accessi significa verificare di tanto in tanto che ogni persona continui ad avere solo i permessi di cui ha bisogno<\/strong>, n\u00e9 pi\u00f9 n\u00e9 meno. Ci sono due facce. La prima \u00e8 disporre dell’elenco di chi accede a che cosa. La seconda \u00e8 il processo formale in cui un responsabile esamina quell’elenco e ne firma l’approvazione, ci\u00f2 che si chiama ricertificazione.<\/p>\nFactorial IT risolve la prima faccia. Mantiene sempre aggiornato l’inventario degli accessi per persona<\/strong> ed esegue la revoca quando serve. Ci\u00f2 che non fornisce \u00e8 il circuito di approvazione, ovvero il flusso in cui ogni responsabile di area rivede periodicamente gli accessi del proprio team e attesta di averli convalidati.<\/p>\nd) Catena di approvvigionamento<\/h3>\nQuesta misura punta a controllare il rischio che entra dai fornitori, soprattutto quelli di software e servizi digitali. Anche qui ci sono due parti. Sapere quali fornitori e servizi si stanno davvero usando, poi valutare e contrattualizzare quei fornitori con le dovute garanzie.<\/p>\n \u00c8 sulla prima che Factorial IT d\u00e0 il suo contributo. Individua le applicazioni SaaS realmente in uso nell’organizzazione<\/strong>, comprese quelle sottoscritte al di fuori del reparto IT, ci\u00f2 che si chiama shadow IT<\/em>. Questo inventario reale \u00e8 il punto di partenza della misura, perch\u00e9 non si pu\u00f2 controllare il rischio di un fornitore di cui non si conosceva nemmeno l’utilizzo. Ci\u00f2 che resta fuori \u00e8 la seconda parte, la valutazione e la contrattualizzazione di ciascun fornitore<\/strong>, che \u00e8 un processo di business e non un dato.<\/p>\nCi\u00f2 che Factorial IT non copre, e come affrontarlo<\/h2>\nQueste quattro aree restano fuori da Factorial IT, perch\u00e9 nessuno strumento di questa categoria copre le dieci misure dell’articolo 21.2. Eppure sapere come affrontarle e in quale ordine \u00e8 ci\u00f2 che separa un progetto di sei settimane da uno di sei mesi.<\/p>\n \n\n\n| Misura (art. 21.2)<\/th>\n | Perch\u00e9 non \u00e8 un software<\/th>\n | Che cosa fa risparmiare Factorial IT<\/th>\n<\/tr>\n<\/thead>\n | \n\na) Governance, politica e analisi dei rischi<\/a><\/strong><\/td>\n| Sono decisioni di direzione che qualcuno deve firmare<\/td>\n | L’inventario degli asset, da cui parte l’analisi dei rischi<\/td>\n<\/tr>\n | \ng) Formazione e sensibilizzazione<\/a><\/strong><\/td>\n| Richiede una piattaforma di formazione con tracciamento per dipendente<\/td>\n | L’elenco dei dipendenti per reparto che alimenta quella piattaforma<\/td>\n<\/tr>\n | \nc) Backup, continuit\u00e0 e infrastruttura<\/a><\/strong><\/td>\n| \u00c8 un altro livello, fatto di server, rete e sedi, non la postazione di lavoro<\/td>\n | L’inventario dei sistemi su cui si definisce il piano di continuit\u00e0<\/td>\n<\/tr>\n | \nf) Vigilanza, audit e test di intrusione<\/a><\/strong><\/td>\n| La vigilanza continua \u00e8 un SOC e l’audit lo esegue un terzo indipendente<\/td>\n | L’evidenza che l’auditor chiede gi\u00e0 nel primo incontro, gi\u00e0 generata<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\na) Governance, politica e analisi dei rischi<\/h3>\nQuesto non \u00e8 un software perch\u00e9 si tratta di decisioni di direzione. Un documento che nessuno approva non vale come evidenza, e nessuno strumento pu\u00f2 firmare al posto dell’azienda la politica di sicurezza o l’analisi dei rischi.<\/p>\n Il modo di affrontarlo \u00e8 con una societ\u00e0 di consulenza<\/strong>, ma delimitando l’incarico. Per un’azienda con meno di 300 persone \u00e8 un progetto di quattro-sei settimane<\/strong>, che dovrebbe consegnare quattro elementi concreti.<\/p>\n | | | | | | | | | | | | | | | | | |