Le organizzazioni non partono dallo stesso punto. Alcune dispongono di un’analisi dei rischi per processi o servizi. Invece altre lavorano su modelli costruiti attorno agli asset. Altre ancora devono sviluppare da zero una valutazione strutturata.
L’integrazione della categorizzazione ACN richiede quindi percorsi differenti, ma con un obiettivo comune: non duplicare documenti né forzare corrispondenze tra valori diversi, bensì costruire un collegamento dimostrabile tra attività, categoria di rilevanza, processi, asset, scenari, rischi e misure.
Ecco perché è necessaria l’integrazione della categorizzazione ACN nell’analisi dei rischi NIS 2.
Indice degli argomenti
L’integrazione è coerenza tra sguardi diversi
Integrare non è un esercizio di imitazione; non vuol dire attribuire al rischio interno lo stesso peso della categoria di rilevanza, né rincorrere l’illusione di un vocabolario perfettamente uniforme tra documenti diversi.
L’integrazione deriva dalla capacità di far dialogare due sguardi che osservano la stessa realtà da angolazioni differenti.
La categorizzazione mette a fuoco l’impatto potenziale della compromissione di attività e servizi.
L’analisi dei rischi, invece, apre il campo: probabilità, minacce, vulnerabilità, esposizione, misure esistenti, rischio residuo.
È naturale che i risultati non coincidano. Non è un errore e diventa un problema solo quando nessuno sa più spiegare perché.
Un’integrazione ben costruita restituisce un sistema leggibile in cui ogni:
- attività categorizzata trova il proprio posto;
- rischio si aggancia a un elemento concreto:
- misura ha una ragione chiara;
- decisione può essere ricostruita.
Da qui si può partire, davvero, per capire dove si trova l’organizzazione e come far evolvere il suo modo di pensare la sicurezza. L’integrazione ben fatta rende il sistema comprensibile.
Vediamo come arrivarci, partendo da dove ciascuna organizzazione realmente si trova.
Prima di integrare, la diagnosi
Il primo passo, qualunque sia lo scenario, è una diagnosi onesta del sistema esistente.
Quale metodo usa l’organizzazione, e qual è la sua unità di analisi: asset, processi, servizi, scenari? Quali scale vengono impiegate, come si valuta l’impatto, come si stima la probabilità, quali misure vengono considerate, come si calcola il rischio residuo? Chi approva i risultati, con quale frequenza avviene il riesame, quali strumenti sostengono il tutto?
Queste domande prevengono l’errore più frequente: tentare diintegrare la categorizzazione senza avere compreso il modello in cui deve entrare.
Il sistema esistente potrebbe avere una logica perfettamente valida. Non serve sostituirla; serve costruirle accanto un raccordo. Chi demolisce ciò che funziona per fare posto al nuovo obbligo non sta integrando.
Primo scenario: l’analisi esiste per processi o per servizi
Quando l’analisi interna è già impostata per processi o per servizi, l’integrazione è la più diretta, perché le unità osservate dai due modelli si assomigliano.
Assomigliarsi, però, non è coincidere e la corrispondenza va verificata caso per caso: l’attività indicata nella categorizzazione potrebbe coincidere con un processo oppure esserne una componente, oppure semplicemente chiamarsi in un altro modo.
La prima attività consiste dunque nel costruire una mappa: per ogni attività o servizio categorizzato si indicano il processo interno corrispondente, il responsabile, i servizi collegati, la categoria di rilevanza, la valutazione interna e le eventuali differenze.
La mappatura può produrre tre esiti:
- la corrispondenza completa, quando l’attività categorizzata coincide con l’unità dell’analisi;
- la corrispondenza parziale, quando l’attività abbraccia più processi o il processo abbraccia più attività;
- l’assenza di corrispondenza, quando l’elemento non compare affatto nell’analisi interna. Questo è l’esito che merita più attenzione, perché può segnalare una lacuna reale oppure derivare soltanto da una diversa struttura. Prima di correggere, occorre capire quale delle due cause è all’opera.
Costruita la mappa, arriva il confronto tra le valutazioni – e il confronto deve cercare la coerenza, non la coincidenza meccanica.
Un servizio con categoria di rilevanza alta e impatto interno alto, protetto da misure che riducono la probabilità fino a un rischio residuo medio, descrive un sistema perfettamente coerente: l’impatto resta alto, il rischio scende grazie alle misure.
Un servizio con categoria alta e impatto interno basso, invece, esige una spiegazione: la differenza può dipendere da scale diverse, da una valutazione invecchiata o da un’autentica sottostima.
In nessun caso il compito consiste nel ritoccare il numero perché torni: consiste nel verificare il ragionamento che lo ha prodotto.
Secondo scenario: l’analisi esiste, ma parte dagli asset
Quando l’analisi interna parte dagli asset, serve un passaggio in più, perché i due modelli guardano livelli diversi: la categorizzazione osserva attività e servizi mentre l’analisi del rischio osserva componenti.
Tra i due va costruito unlivello intermedio che colleghi attività, processo, informazioni, asset e dipendenze.
Un esempio concreto
L’attività è la gestione della catena del freddo. I processi che la realizzano: il monitoraggio delle temperature, la conservazione, la movimentazione, la gestione degli allarmi.
Gli asset coinvolti: i PLC, i sensori, i sistemi di supervisione, la rete industriale, il sistema di gestione del magazzino, l’infrastruttura di alimentazione, i servizi di manutenzione.
Ecco il punto delicato: la categoria attribuita all’attività non va copiata automaticamente su ciascun asset; perché gli asset hanno ruoli diversi dentro la stessa attività.
Un componente può essere ridondato, un altro può costituire un punto unico di guasto, un terzo può influire su una parte soltanto del processo.
La domanda giusta, per ciascuno, è: in quale modo la compromissione di questo asset può influire sull’attività? È questa formulazione a impedire le valutazioni artificiali – le cascate di “alto” distribuite a pioggia che rendono il sistema tanto allarmato quanto inutile.
Un’attenzione speciale per gli asset condivisi
Un sistema di identità può sostenere la posta elettronica, le applicazioni gestionali, l’accesso remoto, le piattaforme cloud e una costellazione di servizi interni: la sua compromissione non riguarda una sola applicazione, produce un effetto sistemico e la sua criticità deriva dall’insieme dei servizi che sostiene, non da uno di essi.
Il modello deve quindi saper rappresentare relazioni molti a molti – un asset che serve più attività, un’attività che dipende da più asset.
Le matrici semplici, a questo punto, non bastano più: occorre una struttura capace di rappresentare reti di dipendenza. Non è un vezzo metodologico; è la forma che la realtà ha davvero.
Terzo scenario: l’analisi parte dai controlli NIS 2
Nel terzo scenario, l’analisi parte direttamente dai controlli NIS 2, cioè dalle misure dell’art. 24 del decreto NIS.
Questo punto di partenza richiede un cambio di prospettiva più netto rispetto agli scenari precedenti: i controlli non osservano attività, servizi o asset, ma domini di misura.
Sono spesso valutati con un giudizio unico di maturità o adeguatezza che vale per l’intera organizzazione e proprio per questo non sono immediatamente trasferibili al livello operativo del rischio.
Il primo passo consiste nel costruire il livello intermedio mancante. Per ogni controllo occorre identificare:
- quali processi, servizi e asset ricadono sotto la sua protezione;
- con quale grado di copertura reale.
Un controllo può risultare “adeguato” nel giudizio complessivo, ma essere applicato in modo disomogeneo: pienamente implementato sugli accessi amministrativi cloud, parziale sugli accessi remoti di manutenzione, assente sui sistemi OT legacy.
Il giudizio aggregato nasconde queste differenze; applicarlo direttamente a un singolo asset produce una valutazione del rischio distorta, questa volta per difetto.
La domanda corretta, per ogni coppia controllo–asset o controllo–processo
La relazione tra controllo e unità di rischio, infatti, non è mai “uno a uno”. È una relazione “molti-a-molti”, che opera in entrambe le direzioni:
- un controllo attraversa numerosi asset e servizi;
- un asset è protetto da più controlli contemporaneamente, e la sua sicurezza dipende dalla combinazione delle misure, non dal controllo più forte preso isolatamente.
Un sistema con crittografia robusta ma privo di un piano di continuità credibile resta vulnerabile, indipendentemente dalla solidità del primo controllo.
Per questo la domanda corretta, per ogni coppia controllo–asset o controllo–processo, non è “il controllo è presente?”, ma “in che misura questo controllo riduce concretamente il rischio di questa specifica unità?”.
È una domanda che separa due piani spesso confusi:
- la conformità formale (policy approvata, procedura documentata);
- l’efficacia operativa (il controllo incide davvero sul rischio dell’asset?).
I controlli trasversali
Un controllo può essere formalmente conforme ma inefficace, oppure non pienamente conforme ma compensato da altre misure che mantengono basso il rischio residuo.
L’integrazione non deve allineare conformità e rischio, ma spiegare e documentare gli scarti tra i due, caso per caso.
Un’attenzione particolare va ai controlli trasversali – gestione degli asset, supply chain security, formazione – che non si legano a un singolo servizio ma attraversano l’intera rete di dipendenze costruita negli scenari precedenti. La loro criticità deriva dall’insieme di ciò che sostengono: un fornitore critico coinvolto in più processi vitali richiede un livello di attenzione che nessuna valutazione isolata, per servizio, potrebbe restituire.
Di conseguenza, anche questo scenario non tollera matrici semplici a doppia entrata.
La struttura utile resta la rete di dipendenze introdotta nel secondo scenario, arricchita di un ulteriore livello – quello dei controlli – che si sovrappone alla mappa di attività, processi e asset senza sostituirla.
Quarto scenario: l’analisi non è mai stata fatta
La quarta situazione è meno rara di quanto si creda.
L’organizzazione può disporre di politiche, controlli, tecnologie avanzate, perfino certificazioni e, tuttavia, non possedere una valutazione organica dei propri rischi.
Per chi si trova qui, la categorizzazione trasmessa ad ACN non è un vincolo in più ma è, piuttosto, un dono.
Fornisce un elenco iniziale di attività e servizi, una struttura per macro-aree, una categoria di rilevanza, una prima rappresentazione dell’impatto.
Il perimetro – che è la parte più faticosa di ogni analisi che parte da zero – è già tracciato.
Il percorso può cominciare da lì.
Per ogni attività occorre identificare il responsabile, i processi, le informazioni, gli asset, le dipendenze, gli scenari, le minacce, le vulnerabilità e le misure esistenti. Poi valutare l’impatto, la probabilità, il rischio e il rischio residuo.
L’organizzazione non parte dal foglio bianco e questo è il vantaggio. Ma deve guardarsi da una tentazione: considerare la categoria come un rischio già calcolato.
La categoria è il punto di partenza del ragionamento, non il suo risultato. Il lavoro vero inizia dopo.
La matrice di riconciliazione
Qualunque sia lo scenario di partenza, lo strumento che tiene insieme il percorso è la matrice di riconciliazione.
Le sue voci tipiche: la macro-area ACN, l’attività o il servizio, la categoria preassegnata e quella attribuita con la motivazione dell’eventuale modifica, il processo interno e il responsabile, le informazioni, gli asset, le dipendenze, lo scenario, l’impatto interno, la probabilità, il rischio, le misure, il rischio residuo e le azioni previste.
La matrice non deve necessariamente vivere in un unico foglio: può essere implementata in un sistema, distribuita su più archivi collegati, integrata negli strumenti già in uso.
Ciò che conta è la tracciabilità: ogni attività deve condurre ai rischi, ogni rischio alle misure, ogni misura a una responsabilità.
Un esempio operativo mostra la catena completa in azione.
L’attività è l’erogazione di un servizio digitale, con categoria di impatto alto. Il processo è la gestione delle richieste; le informazioni sono i dati degli utenti, i documenti, lo stato delle pratiche; gli asset sono il portale, il sistema di identità, il database, la rete, il servizio cloud; le dipendenze includono il fornitore applicativo, la connettività, il cloud, i servizi esterni.
Lo scenario applicato è il ransomware; le vulnerabilità rilevate sono gli account privilegiati privi di autenticazione forte, i backup accessibili dallo stesso ambiente, il monitoraggio insufficiente.
L’impatto potenziale: l’interruzione del servizio, la possibile perdita di dati, i ritardi, le conseguenze sugli utenti.
Le misure decise: l’autenticazione multifattore, la separazione delle credenziali, i backup isolati, il monitoraggio, le procedure di ripristino.
Il rischio residuo: medio.
L’intera catena è leggibile da un capo all’altro, e la categoria – si noti – non è stata copiata da nessuna parte. È stata utilizzata.
Dalla mappa al piano di trattamento
L’integrazione produce valore nel momento in cui modifica le decisioni.
Dopo aver collegato categorie, processi, asset e rischi, occorre stabilire le priorità: le attività a impatto più elevato possono richiedere analisi più approfondite, test più frequenti, maggiore monitoraggio, misure più robuste, tempi di intervento più brevi, un coinvolgimento più stretto del vertice.
Non esiste un automatismo, ma una logica di proporzionalità, che pesa insieme la rilevanza, il rischio, le dipendenze, la maturità delle misure e il residuo.
Il piano di trattamento che ne discende deve indicare, per ogni azione, il responsabile, le risorse, la scadenza, il risultato atteso e la verifica.
Vale una regola che non conosce eccezioni: una misura senza scadenza rimane un’intenzione; una scadenza senza responsabile rimane un auspicio; un responsabile senza risorse rimane una dichiarazione.
I piani falliscono quasi sempre in uno di questi tre punti e quasi mai nella scelta della misura.
La governance, l’aggiornamento, le evidenze
L’integrazione non può essere affidata alla sola funzione tecnica, perché il rischio riguarda l’organizzazione.
I responsabili delle attività devono partecipare: conoscono le conseguenze, comprendono le priorità, sanno valutare le alternative.
La funzione di sicurezza coordina il metodo, le strutture tecniche forniscono le nformazioni sugli asset, i responsabili dei servizi valutano l’impatto, il vertice approva i criteri e assume le decisioni sui rischi residui.
È questa distribuzione dei ruoli a impedire che l’analisi degradi a esercizio nformatico.
Il sistema, inoltre, deve vivere nel tempo.
La categorizzazione non è immutabile: un nuovo fornitore modifica l’esposizione, una migrazione cloud cambia l’architettura, un incidente aggiorna la conoscenza, una nuova attività allarga il perimetro.
Occorre, quindi, definire gli eventi che attivano il riesame – nuovi servizi, modifiche rilevanti, nuove tecnologie, nuove minacce, incidenti, cambiamenti organizzativi, aggiornamenti normativi – perché l’analisi deve seguire la realtà, non inseguirla in ritardo.
Infine, tutto deve essere dimostrabile.
Le evidenze comprendono i criteri metodologici, la mappa di riconciliazione, l’analisi dei rischi, le motivazioni, il piano di trattamento, le approvazioni, i verbali, i riesami, gli indicatori e i risultati delle verifiche.
L’obiettivo non è accumulare carte ma è dimostrare il processo. Chi osserva il sistema – un auditor, un ispettore, un nuovo responsabile – deve poter comprendere che cosa è stato valutato, con quali criteri, da chi, con quali risultati e quali decisioni ne sono discese.
Integrare la categorizzazione ACN nell’analisi dei rischi: rendere reale la conformità
Nei capitoli della tetralogia precedente siamo passati da un documento trasmesso entro una scadenza, a una conclusione che trascende quel documento: la categorizzazione, l’analisi dei rischi e il sistema di gestione non sono tre adempimenti diversi, ma tre momenti dello stesso processo.
La categorizzazione individua le attività e i servizi e ne rappresenta l’impatto potenziale; l’analisi comprende gli eventi che possono minacciarli; il sistema di gestione trasforma quella conoscenza in responsabilità, misure, risorse e decisioni.
Le organizzazioni partono da situazioni diverse, e va bene così.
Chi possiede un’analisi per processi costruirà un collegamento diretto; chi lavora per asset aggiungerà la relazione con attività e servizi; chi non ha ancora una valutazione userà la categorizzazione come perimetro iniziale.
Il metodo cambia, l’obiettivo no: costruire un unico sistema.
La conformità diventa reale quando il risultato da perseguire non è la coincidenza perfetta tra numeri prodotti da modelli diversi, ma è la capacità di ricostruire una catena coerente: dal servizio al rischio, dal rischio alla misura, dalla misura alla responsabilità.
Solo allora ciò che l’organizzazione ha comunicato all’ACN e ciò che fa ogni giorno per proteggersi diventano parti dello stesso sistema.
Alla fine, la maturità organizzativa non si misura dal numero dei documenti prodotti, ma si misura dalla capacità di trasformare informazioni, rischi e obblighi in decisioni coerenti.
È questa capacità a rendere un modello NIS 2 solido, governabile, verificabile e, quando servirà, difendibile.
Partecipa alla community