Siete un soggetto NIS 2
Il termine per adottare le misure di base decorre dalla comunicazione con cui l'ACN vi ha inserito nell'elenco, e le misure sono diverse per soggetti essenziali e importanti.
Cosa faccio · 01
Sicurezza delle informazioni.
Trovo le falle prima di chi attacca, e costruisco la conformità che regge l'audit.
Dal test d'intrusione alla gestione dell'incidente, fino al sistema certificabile.
Quando serve
Le situazioni in cui mi chiamano.
Dovete certificarvi ISO/IEC 27001
Anche con le estensioni cloud ISO/IEC 27017 e 27018, che le gare e i clienti della PA chiedono sempre più spesso ai fornitori di servizi.
Un cliente vi chiede le prove
Il fornitore di un soggetto in perimetro riceve per contratto le stesse misure da dimostrare, anche quando per dimensione resta fuori dalla norma.
C'è stato un incidente
Serve contenerlo, capire da dove è entrato e notificarlo nei tempi previsti, che non si improvvisano la notte in cui il ransomware cifra i server.
Sicurezza delle informazioni
Ambiti e riferimenti.
Penetration testVulnerability assessmentIncident responseISO/IEC 27001NIS2NIST CSFZero Trust
Cosa consegno
Quello che resta all'organizzazione.
01
Gap analysis
NIS 2, Legge 90/2024 e GDPR rispetto allo stato reale di sistemi e processi, con le priorità e chi deve fare che cosa.
02
Analisi dei rischi
Secondo la ISO/IEC 27005, collegata agli asset dell'inventario e alle misure che si decide di adottare.
03
Sistema ISO/IEC 27001
Politiche, procedure, dichiarazione di applicabilità e registri, fino alla visita di certificazione e alle sorveglianze.
04
Continuità e incidenti
Piani di continuità operativa e di ripristino (BCP e DRP) e procedura di gestione e notifica degli incidenti significativi.
05
Test tecnici
Vulnerability assessment e penetration test, con un rapporto che separa ciò che è stato verificato da ciò che resta un'ipotesi.
Metodo
Cinque passi, ognuno verificabile.
Lo stesso rigore della forensics applicato alla consulenza: ogni fase lascia una traccia.
- 01
Analisi
Esame dei sistemi e dei processi; gap analysis rispetto a norme e minacce reali. - 02
Progettazione
Architettura, policy e documentazione. Ruoli e responsabilità chiari. - 03
Implementazione
Hardening, applicazione sul campo, formazione e supporto operativo. - 04
Verifica
Test, audit interni e simulazioni; preparazione alle visite di certificazione. - 05
Evidenza
Tracciabilità di ogni passaggio. Il risultato resta, e si dimostra.
Domande
Domande frequenti.
Basta una policy approvata per dire che una misura è adottata?
No. Adottare una misura significa che funziona ed è dimostrabile: un inventario degli asset conta se è aggiornato e se qualcuno ne risponde, una politica approvata e mai applicata non prova nulla.
Le misure di base ACN sono uguali per tutti?
No. La determinazione dell'ACN del 14 aprile 2025 le distingue fra soggetti essenziali e importanti, e il termine decorre dalla comunicazione ricevuta da ciascun soggetto. La data esatta va letta su quella comunicazione.
Chi deve approvare le misure di sicurezza?
Gli organi di amministrazione e direttivi. L'articolo 23 del D.Lgs. 138/2024 affida loro l'approvazione delle modalità di attuazione delle misure, la supervisione e la responsabilità per le violazioni; l'atto di approvazione è una prova da conservare.
Contatti
Parliamo del tuo problema.
Per una valutazione di sicurezza, un incarico forense, un presidio continuativo o una certificazione. Rispondo io, direttamente.
- info@fortibyte.it
- antonio-silvestro-amodeo
- Dove
- Crotone, incarichi su scala nazionale