Uno degli errori più frequenti nella gestione della sicurezza informatica è considerare l’inventario degli asset come un adempimento puramente tecnico. Una lista di server, endpoint, firewall, applicazioni, database, apparati di rete, servizi cloud e account amministrativi.
Informazioni certamente utili, ma insufficienti se non vengono collocate dentro un contesto più ampio.
Indice degli argomenti
NIS2 e inventario asset: dall’elenco tecnico alla mappa del rischio
La NIS2 richiede alle organizzazioni di spostare il baricentro: non basta sapere quali tecnologie sono presenti, occorre comprendere quali attività e servizi aziendali quelle tecnologie supportano, quale impatto avrebbe una loro indisponibilità o compromissione, chi ne è responsabile, chi le gestisce, quali fornitori intervengono e quali misure di protezione risultano proporzionate.
Un inventario tecnico fotografa l’infrastruttura. Un inventario realmente utile alla gestione del rischio descrive il rapporto tra tecnologia, attività aziendali e continuità operativa.
La criticità nasce dal contesto
Un server non è critico perché è un server. Un’applicazione non è critica perché viene usata da molte persone. Un firewall non è critico solo perché protegge il perimetro. Un servizio cloud non è critico perché contiene dati. Tutti questi elementi diventano critici nella misura in cui sostengono attività rilevanti per l’organizzazione.
La criticità, quindi, non nasce dall’asset isolato, ma dalla funzione che quell’asset abilita.
Un gestionale può essere marginale per una piccola attività amministrativa, ma essenziale se governa ordini, produzione, spedizioni, fatturazione, tracciabilità o magazzino.
Un file server può contenere documenti ordinari oppure disegni tecnici, distinte base, contratti, documentazione regolatoria o informazioni necessarie alla continuità produttiva.
Una VPN può essere un canale accessorio oppure il mezzo attraverso cui un fornitore accede a sistemi indispensabili per il funzionamento di un impianto o di un servizio.
Per questo un inventario costruito solo per categorie tecnologiche rischia di essere incompleto dal punto di vista del rischio. Dice che cosa esiste, ma non spiega perché è importante.
NIS2 e inventario degli asset: dal processo al servizio IT
Per rendere l’inventario degli asset utile in ottica NIS2 è necessario partire dalle attività aziendali e dai servizi che l’organizzazione eroga o utilizza. La domanda iniziale non dovrebbe essere quali asset abbiamo, ma quali attività dobbiamo garantire e quali servizi IT le supportano.
Un’attività di produzione può dipendere da ERP, MES, sistemi di controllo, postazioni operative, rete di stabilimento, sistemi di etichettatura, backup e strumenti di monitoraggio. Un’attività di gestione clienti può dipendere da CRM, posta elettronica, centralino, portale web, documentale e sistemi di ticketing. Un’attività amministrativa può dipendere da contabilità, fatturazione elettronica, conservazione digitale, home banking, sistemi fiscali e archivi documentali.
Questo passaggio consente di identificare i servizi IT realmente rilevanti. Non tutti i servizi hanno lo stesso peso e non tutti devono essere trattati con lo stesso livello di priorità. La rilevanza dipende dall’attività che supportano e dall’impatto che una loro compromissione avrebbe sul business. In altre parole, il servizio IT eredita la criticità dell’attività che abilita.
Dal servizio IT all’asset
Una volta identificati i servizi IT, occorre scendere sugli asset che li erogano o li rendono disponibili. Un servizio può dipendere da più componenti: applicazione, database, server, storage, rete, firewall, sistema di autenticazione, backup, connettività, piattaforme cloud, strumenti di monitoraggio e accessi amministrativi. In molti casi, un singolo asset può supportare più servizi e più attività aziendali.
Questo rende necessario mappare le dipendenze. Se un database sostiene più applicazioni, la sua criticità non può essere valutata guardando una sola funzione. Se un’infrastruttura di virtualizzazione ospita sistemi diversi, alcuni marginali e altri essenziali, la valutazione deve considerare l’impatto complessivo. Se un sistema di autenticazione centralizzato condiziona l’accesso a servizi critici, la sua indisponibilità può avere effetti molto più ampi di quanto emerga da una semplice lista tecnica.
L’inventario degli asset, quindi, non deve limitarsi a riportare nome, indirizzo IP, sistema operativo o ubicazione. Deve consentire di comprendere relazioni, dipendenze e impatti.
Le informazioni che fanno la differenza
Un inventario maturo dovrebbe contenere informazioni utili alla gestione, non solo alla classificazione tecnica. Per ogni asset rilevante occorre poter identificare almeno il servizio supportato, l’attività aziendale collegata, il livello di criticità, l’owner e il referente tecnico.
Devono inoltre essere chiari gli eventuali fornitori coinvolti, i dati trattati, le dipendenze principali, le misure di protezione applicate, i requisiti di disponibilità, le modalità di backup e i tempi attesi di ripristino.
Non si tratta di appesantire l’organizzazione con un eccesso di campi o registri. Si tratta di raccogliere le informazioni necessarie a prendere decisioni corrette.
Durante un incidente, sapere che un server è indisponibile è solo il primo dato. Serve capire quali attività sono impattate, quali utenti o reparti non possono lavorare, quali fornitori devono essere coinvolti, quali servizi devono essere ripristinati prima, quali dati potrebbero essere compromessi e quale impatto operativo si sta generando.
Se l’inventario non contiene queste relazioni, il tempo necessario per ricostruirle durante la crisi aumenta. E durante una crisi il tempo è una variabile critica.
Owner, responsabilità e fornitori
Ogni asset rilevante dovrebbe avere un owner. Non necessariamente la persona che lo amministra tecnicamente, ma la funzione o il ruolo che ne comprende il valore per il business e che può contribuire a definirne criticità, requisiti di continuità e priorità di ripristino.
Accanto all’owner devono essere chiari i referenti tecnici interni o esterni. Chi gestisce l’asset? Chi può modificarlo? Chi ha accessi privilegiati? Chi interviene in caso di guasto o incidente? Quali fornitori sono coinvolti? Esistono contratti, SLA o procedure di escalation?
La presenza di un fornitore non è neutra. Se un fornitore accede a un asset critico, gestisce credenziali privilegiate, interviene da remoto o detiene competenze difficilmente sostituibili, diventa parte della superficie di rischio dell’organizzazione. Per questo l’inventario degli asset deve dialogare con la gestione della supply chain.
Conclusione
La NIS2 rende evidente un principio che dovrebbe essere già alla base di ogni programma serio di cyber security: non si può proteggere correttamente ciò che non si conosce, ma conoscere non significa soltanto elencare.
Un inventario realmente utile non è una lista di asset. È una mappa delle relazioni tra attività aziendali, servizi IT, tecnologie, dati, responsabilità, fornitori, impatti e misure di sicurezza. Solo questa visione consente di collegare la sicurezza informatica alla gestione del rischio e alla continuità operativa.
Con la NIS2, quindi, l’obiettivo non è costruire un inventario degli asset più lungo, ma un inventario più intelligente.
Da questa mappa emerge inevitabilmente il ruolo delle terze parti: molti asset e servizi critici, infatti, sono gestiti, supportati o accessibili da fornitori esterni.
Partecipa alla community