Siete un soggetto NIS 2
Il termine per adottare le misure di base decorre dalla comunicazione con cui l'ACN vi ha inserito nell'elenco, e le misure sono diverse per soggetti essenziali e importanti.
Cosa faccio · 01
Sicurezza delle informazioni.
Trovo le falle prima di chi attacca, e costruisco la conformità che regge l'audit.
Dal test d'intrusione alla gestione dell'incidente, fino al sistema certificabile.
Quando serve
Le situazioni in cui mi chiamano.
Dovete certificarvi ISO/IEC 27001
Anche con le estensioni cloud ISO/IEC 27017 e 27018, che le gare e i clienti della PA chiedono sempre più spesso ai fornitori di servizi.
Un cliente vi chiede le prove
Il fornitore di un soggetto in perimetro riceve per contratto le stesse misure da dimostrare, anche quando per dimensione resta fuori dalla norma.
C'è stato un incidente
Serve contenerlo, capire da dove è entrato e notificarlo nei tempi previsti, che non si improvvisano la notte in cui il ransomware cifra i server.
Sicurezza delle informazioni
Ambiti e riferimenti.
Penetration testVulnerability assessmentIncident responseISO/IEC 27001NIS2NIST CSFZero Trust
Cosa consegno
Quello che resta all'organizzazione.
01
Gap analysis
NIS 2, Legge 90/2024 e GDPR rispetto allo stato reale di sistemi e processi, con le priorità e chi deve fare che cosa.
02
Analisi dei rischi
Secondo la ISO/IEC 27005, collegata agli asset dell'inventario e alle misure che si decide di adottare.
03
Sistema ISO/IEC 27001
Politiche, procedure, dichiarazione di applicabilità e registri, fino alla visita di certificazione e alle sorveglianze.
04
Continuità e incidenti
Piani di continuità operativa e di ripristino (BCP e DRP) e procedura di gestione e notifica degli incidenti significativi.
05
Test tecnici
Vulnerability assessment e penetration test, con un rapporto che separa ciò che è stato verificato da ciò che resta un'ipotesi.
Metodo
Cinque passi, ognuno verificabile.
Lo stesso rigore della forensics applicato alla consulenza: ogni fase lascia una traccia.
01
01
Analisi
Esame dei sistemi e dei processi; gap analysis rispetto a norme e minacce reali.
Cosa ottieni
- Assessment iniziale
- Gap analysis
- Registro dei rischi
02
Progettazione
Architettura, policy e documentazione. Ruoli e responsabilità chiari.
Cosa ottieni
- Policy
- RACI
- Roadmap di adeguamento
03
Implementazione
Hardening, applicazione sul campo, formazione e supporto operativo.
Cosa ottieni
- Hardening
- Formazione
- Supporto operativo
04
Verifica
Test, audit interni e simulazioni; preparazione alle visite di certificazione.
Cosa ottieni
- Audit interni
- Test e simulazioni
- Preparazione alla certificazione
05
Evidenza
Tracciabilità di ogni passaggio. Il risultato resta, e si dimostra.
Cosa ottieni
- Matrice requisiti
- Dossier delle evidenze
- Cruscotto direzionale
Dal campo.
Note su casi e norme che riguardano questo servizio.
Cybersicurezza e vulnerabilità
PHP2Shell: aggiornare PHP e sapere dove gira
Il 21 ottobre il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due vulnerabilità critiche nel nucleo del linguaggio: CVE-2026-109618 e…
ISO/IEC 27001Multifunzione a noleggio: il disco che esce dall'azienda
A fine contratto la multifunzione a noleggio è tornata al fornitore. Dentro c'erano anni di scansioni: buste paga, documenti d'identità, contratti. Nessuno sapeva che avesse un disco.
ISO/IEC 27001Password del fornitore: un accesso letto da tre lati
Secondo quanto rivendica un attaccante, è bastata una password "123456", su un'utenza legata a un fornitore di servizi IT, per arrivare al registro anagrafico nazionale danese e a circa 8,8…
Dal campoNIS 2 e sanità privata accreditata: chi rientra
La domanda che ricevo più spesso dalle strutture sanitarie private accreditate è sempre la stessa: la NIS 2 ci riguarda o no?
Legge 90/2024Legge 90/2024: chi è il referente per la cybersicurezza
La Legge 90/2024 ha chiesto a molte pubbliche amministrazioni di indicare un referente per la cybersicurezza. In più di un ente quel nome è servito a riempire una casella, mentre la norma…
Determinazioni ACNMisure di base ACN: il termine per i soggetti del 2025
Per i soggetti NIS 2 entrati nell'elenco ACN nel 2025 si avvicina il termine per adottare le misure di sicurezza di base. Non è una data uguale per tutti, e conviene capire da dove parte il…
Dal campoNIS 2 e manifattura: chi produce macchine è dentro
Chi produce macchinari, apparecchiature elettriche, elettronica o componenti per autoveicoli spesso scopre dal cliente di rientrare nella NIS 2, non dalla norma.
Dal campoNIS 2 in sanità: la responsabilità è della direzione
In molte strutture sanitarie la NIS 2 è ancora un tema per l'ufficio informatico. Il D.Lgs. 138/2024 la porta invece sul tavolo della direzione, con nome e cognome.
Dal campoLe utenze che restano accese dopo l'uscita
La domanda che in audit crea più silenzio non riguarda le policy. È questa: "mi mostra l'elenco delle utenze attive e l'elenco delle persone in forza oggi?"
Domande
Domande frequenti.
Basta una policy approvata per dire che una misura è adottata?
No. Adottare una misura significa che funziona ed è dimostrabile: un inventario degli asset conta se è aggiornato e se qualcuno ne risponde, una politica approvata e mai applicata non prova nulla.
Le misure di base ACN sono uguali per tutti?
No. La determinazione dell'ACN del 14 aprile 2025 le distingue fra soggetti essenziali e importanti, e il termine decorre dalla comunicazione ricevuta da ciascun soggetto. La data esatta va letta su quella comunicazione.
Chi deve approvare le misure di sicurezza?
Gli organi di amministrazione e direttivi. L'articolo 23 del D.Lgs. 138/2024 affida loro l'approvazione delle modalità di attuazione delle misure, la supervisione e la responsabilità per le violazioni; l'atto di approvazione è una prova da conservare.
Contatti
Parliamo del tuo problema.
Per una valutazione di sicurezza, un incarico forense, un presidio continuativo o una certificazione. Rispondo io, direttamente.
- info@fortibyte.it
- antonio-silvestro-amodeo
- Dove
- Crotone, incarichi su scala nazionale