Non sappiamo quale framework seguire
Framework Nazionale, ISO 27001, NIST: non sono mete da raggiungere ma bussole per orientarsi. Ecco come scegliere senza perdersi.
Il problema
Consulenti, fornitori e clienti citano sigle diverse: Framework Nazionale, ISO/IEC 27001, NIST CSF, CIS Controls. Ognuno sembra quello giusto. Il rischio è doppio: restare fermi perché non si sa da dove partire, oppure inseguire una certificazione senza aver capito cosa proteggere.
Come capire se ti riguarda
- Avete iniziato un progetto partendo da un elenco di controlli, non dai vostri servizi.
- Lavorate con più framework contemporaneamente, senza un collegamento tra loro.
- Pensate che "essere conformi" equivalga a "essere sicuri".
Il primo passo
Prima il metodo, poi la bussola. Servizi critici, inventario, fornitori e impatto sono il vostro territorio: il framework serve a verificare di non aver dimenticato nulla.
Come risolverlo
- Se siete soggetti NIS, partite dalle misure ACN. Sono il riferimento normativo, costruito sulla struttura del Framework Nazionale. *Chi: referente sicurezza. Evidenza: mappatura misure-stato.*
- ISO/IEC 27001 se vi serve dimostrarlo. È certificabile: utile se clienti o gare lo chiedono, e porta un sistema di gestione con audit periodici.
- NIST CSF per parlare con il mondo. Diffuso a livello internazionale, utile per gruppi e fornitori esteri. La struttura per funzioni lo rende leggibile anche dalla direzione.
- Mappate una volta, usate tante. Molti controlli si sovrappongono: una tabella di corrispondenza evita di fare tre volte lo stesso lavoro. *Evidenza: matrice di mappatura.*
- Misurate il percorso, non il voto. Il framework serve a vedere dove siete e dove volete arrivare, con priorità e tempi.
Come evitare che si ripeta
Una volta scelta la bussola, tenetela: cambiare framework ogni anno significa ricominciare da capo. Si aggiunge un secondo riferimento solo se un obbligo o un cliente lo chiede.
Quando chiedere aiuto
Quando dovete conciliare più obblighi (NIS2, privacy, requisiti dei clienti), un esperto può costruire la mappatura unica e risparmiarvi mesi.
Dal libro
«Un framework è una bussola, non una meta.»
— *NIS2. La carta che guida*, capitolo 13
Uno spunto in più
Chiedete a chi vi propone un framework: "Quale problema nostro risolve?". Se la risposta è solo "è il più completo", non è ancora la domanda giusta.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.