NIST Cybersecurity Framework 2.0, cambia lo standard della cyber security: ecco come

Il 26 febbraio 2024 il NIST ha pubblicato in forma ufficiale il Cybersecurity Framework (CSF) versione 2.0: un rilascio atteso e puntualmente avvenuto nei tempi previsti, dopo il rilascio della bozza (Public Draft) ad agosto 2023 sulla quale era stata aperta la fase di “Discussion Draft” con commenti e feedback raccolti fino al 4 novembre 2023.

Il percorso disegnato dal NIST per progettare il CSF 2.0 era partito nel febbraio 2022 attraverso una fase di consultazione, con una richiesta pubblica di informazioni (RFI: Request for Information), “Evaluating and Improving NIST Cybersecurity Resources: The Cybersecurity Framework and Cybersecurity Supply Chain Risk Management”.

La RFI richiedeva informazioni sull’uso del NIST Cybersecurity Framework e raccomandazioni per migliorare l’efficacia del framework e il suo allineamento con altre risorse di cybersecurity. L’RFI chiedeva anche suggerimenti per informare altre iniziative di cybersecurity del NIST, in particolare per quanto riguarda i rischi di cybersecurity della catena di approvvigionamento.

Al momento della pubblicazione dell’RFI, il Vicesegretario al Commercio Don Graves ha dichiarato che: “Ogni organizzazione ha bisogno di gestire il rischio di cybersecurity come parte della propria attività, che si tratti di industria, governo o università. È fondamentale per la loro resilienza e per la sicurezza economica della nostra nazione. Ci sono molti strumenti disponibili per aiutarci, e il CSF è uno dei principali framework per la manutenzione della cybersecurity nel settore privato. Vogliamo che le organizzazioni del settore pubblico e privato contribuiscano a renderlo ancora più utile e diffuso, anche per le piccole imprese”.

Il NIST ha ricevuto oltre 130 risposte alle RFI da organizzazioni, associazioni, stakeholder, disponibili sul sito web del NIST CSF.

NIST Cybersecurity Framework 2.0: cosa cambia

La nuova versione del CSF 2.0 mantiene lo stesso approccio pragmatico della precedente versione.

Non è una norma (come, per esempio, è la ISO/IEC 27001) ma rappresenta, piuttosto, un insieme di linee guida e metodologie che (citiamo dal documento ufficiale):

“è stato progettato per essere utilizzato da organizzazioni di tutte le dimensioni e settori, tra cui industria, governo, università e organizzazioni non profit, indipendentemente dal livello di maturità dei loro programmi di cybersecurity. Il CSF è una risorsa fondamentale che può essere adottata volontariamente e attraverso politiche e mandati governativi. La tassonomia del CSF e gli standard, le linee guida e le pratiche di riferimento non sono specifici per paese e le versioni precedenti del CSF sono state utilizzate con successo da molti governi e altre organizzazioni sia all’interno che all’esterno degli Stati Uniti.

Questo documento descrive i risultati desiderabili che un’organizzazione può aspirare a raggiungere. Non prescrive i risultati né il modo in cui possono essere raggiunti. Le descrizioni di come un’organizzazione può raggiungere tali risultati sono fornite in una serie di risorse online che integrano il CSF e sono disponibili sul sito web del NIST CSF.

Queste risorse offrono una guida aggiuntiva sulle pratiche e sui controlli che potrebbero essere utilizzati per raggiungere i risultati e hanno lo scopo di aiutare un’organizzazione a comprendere, adottare e utilizzare il CSF”.

La struttura del framework e la metodologia non sono sostanzialmente cambiate rispetto al CSF 1.1, tuttavia possiamo segnalare alcune modifiche interessanti.

Il titolo è stato cambiato in “Cybersecurity Framework 2.0” dall’originale “Framework for Improving Critical Infrastructure Cybersecurity”, confermando che il Cybersecurity Framework (CSF) 2.0 è stato progettato per aiutare le organizzazioni di tutte le dimensioni e di tutti i settori.

Tuttavia, come precisato nel CSF stesso: “CSF non abbraccia un approccio unico per tutti. Ogni organizzazione presenta rischi comuni e unici, nonché diverse propensioni e tolleranze al rischio, missioni specifiche e obiettivi da raggiungere. Per forza di cose, il modo in cui le organizzazioni implementano il CSF varierà”.

L’ambito di applicazione del Framework è stato aggiornato per riflettere l’utilizzo da parte di tutte le organizzazioni; se nella versione 1.1. il Framework dichiarava di essere finalizzato alla sicurezza delle infrastrutture critiche statunitensi, la versione 2.0 è stata modificata per concentrarsi sulle organizzazioni di tutto il mondo: questo riflette l’uso del Framework a livello globale.

Sono stati inclusi nuovi riferimenti ad altri framework e risorse, quali: il NIST Privacy Framework, le Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations (SP 800-161r1), la serie Integrating Cybersecurity and Enterprise Risk Management (NIST IR 8286) e l’Artificial Intelligence Risk Management Framework (AI 100-1).

Il CSF si basa sulla gestione del rischio informatico e, nella versione 1.1, considerava 5 classi di attività o “Functions” che devono integrarsi in modo sequenziale per identificare, gestire e reagire ai rischi e agli attacchi cyber.

Le 5 funzioni – rappresentate con 5 colori diversi – nel CSF 1.1 erano:

1. Identify (ID) (identificare)
2. Protect (PR) (proteggere)
3. Detect (DE) (indagare)
4. Respond (RS) (reagire)
5. Recover (RC) (riparare)

Le funzioni organizzano le attività di base della cyber security al loro livello più alto e – come si può vedere – strutturano la gestione del rischio di cyber security in modo sequenziale, secondo una scansione temporale rispetto all’incidente informatico, con un “prima” (Identify e Protect), un “durante (Detect) ed un “dopo” (Respond e Recover).

Segnaliamo che questo approccio è stato ripreso anche nel recente aggiornamento della ISO/IEC 27001:2022, pubblicata il 25 ottobre 2022 e che si è molto avvicinata alla metodologia del CSF.

Utilizzando questo schema è così possibile organizzare le informazioni, prendere decisioni sulla gestione del rischio, affrontare le minacce e valutare gli investimenti in cyber security.

Una delle modifiche più significative è nelle Functions, che sono diventate 6: oltre alle 5 già presenti nel CSF 1.1, è stata aggiunta una nuova funzione GOVERN (GV) per enfatizzare l’importanza della governance della gestione del rischio di cyber security.

Questa nuova funzione è così descritta:

“La strategia, le aspettative e la politica di gestione del rischio di cybersecurity dell’organizzazione sono stabilite, comunicate e monitorate. La funzione GOVERN fornisce i risultati per informare ciò che un’organizzazione può fare per raggiungere e dare priorità ai risultati delle altre cinque funzioni nel contesto della sua missione e delle aspettative degli stakeholder. Le attività di governance sono fondamentali per incorporare la cyber security nella più ampia strategia di gestione del rischio aziendale (ERM) di un’organizzazione. GOVERN si occupa della comprensione del contesto organizzativo, della definizione della strategia di cyber security e della gestione del rischio della catena di fornitura di cyber security, dei ruoli, delle responsabilità e delle autorità, della politica e della supervisione della strategia di cyber security.”.

La governance della cyber security – secondo quanto descritto nel CSF 2.0 – può includere la determinazione delle priorità e della tolleranza al rischio dell’organizzazione, dei clienti e della società in generale; la valutazione dei rischi e degli impatti della cyber security; la definizione di politiche e procedure di cyber security; la comprensione dei ruoli e delle responsabilità in materia di cyber security.

Già nel CSF 1.1 le 5 Functions erano rappresentate come una ruota, perché tutte le Funzioni sono collegate tra loro. Ad esempio, un’organizzazione classificherà le risorse nell’ambito della funzione IDENTIFY e adotterà misure per proteggere tali risorse nell’ambito della funzione PROTECT.

Gli investimenti nella pianificazione e nei test delle funzioni GOVERN e IDENTIFY sosterranno il rilevamento tempestivo di eventi imprevisti nella funzione DETECT, oltre a consentire azioni di risposta e recupero per gli incidenti di cyber security nelle funzioni RESPOND e RECOVER.

La funzione GOVERN è al centro della ruota perché informa il modo in cui un’organizzazione implementerà le altre cinque funzioni.

Ogni Funzione prende il nome da un verbo che ne riassume il contenuto ed è suddivisa in Categorie.

Le sottocategorie dividono ulteriormente ogni categoria in risultati più specifici delle attività tecniche e gestionali e rappresentano – in sostanza – i singoli controlli da verificare ed eventualmente implementare dall’organizzazione.

Le funzioni, le categorie e le sottocategorie si applicano a tutte le ITC utilizzate da un’organizzazione, comprese information technology (IT), Internet of Things (IoT), e operational technology (OT).

Si applicano inoltre a tutti i tipi di ambienti tecnologici, compresi i sistemi cloud, mobili e di intelligenza artificiale.

Nella nuova Function GOVERN sono presenti le seguenti Categories:

1. Organizational Context (GV.OC): le circostanze – missione, aspettative degli stakeholder e requisiti legali, normativi e contrattuali – che circondano le decisioni di gestione del rischio di cybersecurity dell’organizzazione sono comprese (nel CSF 1.1 era la ID.BE).
2. Risk Management Strategy (GV.RM): le priorità, i vincoli, le dichiarazioni di tolleranza e di propensione al rischio e le ipotesi dell’organizzazione sono stabilite, comunicate e utilizzate per supportare le decisioni sul rischio operativo (precedentemente era la ID.RM).
3. Roles, Responsibilities, and Authorities (GV.RR): i ruoli, le responsabilità e le autorità in materia di cybersecurity per promuovere la responsabilità, la valutazione delle prestazioni e il miglioramento continuo sono stabiliti e comunicati (era la ID.GV-2).
4. Policies, Processes, and Procedures (GV.PO): le politiche, i processi e le procedure di cybersecurity dell’organizzazione sono stabiliti, comunicati e applicati (precedentemente era la ID.GV-1).
5. Oversight (GV.OV): i risultati delle attività e delle prestazioni di gestione del rischio di cybersecurity a livello di organizzazione vengono utilizzati per informare, migliorare e adeguare la strategia di gestione del rischio.
6. Cybersecurity Supply Chain Risk Management (GV.SC): i processi di gestione del rischio della catena di approvvigionamento informatico sono identificati, stabiliti, gestiti, monitorati e migliorati dalle parti interessate dell’organizzazione (era la ID.SC).

Come si può vedere, non si tratta in generale di Categories nuove, ma che erano quasi tutte già presenti all’interno della Function “IDENTIFY”, mentre ora hanno trovato una collocazione in GOVERN a sottolineare l’importanza di questa funzione.

A seguito di questa rimodulazione, le Categories della function IDENTIFY (ID) sono state ridotte a tre, essendo le altre state trasferite in GOVERN. Inoltre nella function IDENTIFY è stata aggiunta la categoria Improvement (ID.IM).

Le altre cinque funzioni erano presenti già nel CSF 1.1 e nella nuova versione del CSF sono così descritte:

1. IDENTIFY (ID) – I rischi attuali di cyber security dell’organizzazione sono compresi. La comprensione degli asset dell’organizzazione (ad esempio, dati, hardware, software, sistemi, strutture, servizi, persone), dei fornitori e dei relativi rischi di cyber security consente all’organizzazione di dare priorità ai propri sforzi in linea con la strategia di gestione del rischio e con le esigenze della missione identificate in GOVERN. Questa funzione comprende anche l’identificazione di opportunità di miglioramento per le politiche, i piani, i processi, le procedure e le pratiche dell’organizzazione che supportano la gestione del rischio di cyber security per informare gli sforzi nell’ambito di tutte e sei le Funzioni.
2. PROTECT (PR) – Vengono utilizzate le protezioni per gestire i rischi di cyber security dell’organizzazione. Una volta identificati e classificati gli asset e i rischi, PROTECT supporta la capacità di proteggere tali asset per prevenire o ridurre la probabilità e l’impatto di eventi avversi di cyber security, nonché per aumentare la probabilità e l’impatto di sfruttare le opportunità. I risultati coperti da questa funzione includono la gestione delle identità, l’autenticazione e il controllo degli accessi; la consapevolezza e la formazione; la sicurezza dei dati; la sicurezza delle piattaforme (cioè la protezione dell’hardware, del software e dei servizi delle piattaforme fisiche e virtuali); e la resilienza dell’infrastruttura tecnologica.
3. DETECT (DE) – Individuazione e analisi di possibili attacchi e compromissioni di cyber security. La funzione DETECT consente di individuare e analizzare tempestivamente anomalie, indicatori di compromissione e altri eventi potenzialmente negativi che possono indicare la presenza di attacchi e incidenti di cyber security. Questa funzione supporta il successo delle attività di risposta e recupero degli incidenti.
4. RESPOND (RS) – Vengono intraprese azioni relative a un incidente di cyber security rilevato. RESPOND supporta la capacità di contenere gli effetti degli incidenti di cyber security. I risultati di questa funzione riguardano la gestione degli incidenti, l’analisi, la mitigazione, la segnalazione e la comunicazione.
5. RECOVER (RC) – Ripristino delle attività e delle operazioni interessate da un incidente di cyber security. RECOVER supporta il ripristino tempestivo delle normali operazioni per ridurre gli effetti degli incidenti di cyber security e consentire una comunicazione adeguata durante gli sforzi di ripristino.

Le azioni che supportano GOVERN, IDENTIFY, PROTECT e DETECT devono avvenire in modo continuo, mentre le azioni che supportano RESPOND e RECOVER devono essere pronte in ogni momento e avvenire quando si verificano incidenti di cyber security. Tutte le Funzioni hanno ruoli fondamentali in relazione agli incidenti di cyber security.

I risultati di GOVERN, IDENTIFY e PROTECT aiutano a prevenire e preparare gli incidenti, mentre quelli di GOVERN, DETECT, RESPOND e RECOVER aiutano a scoprire e gestire gli incidenti.

Panoramica dei componenti del CSF 2.0

La pubblicazione del 26 febbraio 2024 comprende molti componenti, disponibili e scaricabili dalla pagina ufficiale:

1. CSF Core, il nucleo del CSF, che è una tassonomia di risultati di alto livello in materia di cyber security che può aiutare qualsiasi organizzazione a gestire i propri rischi di cyber security. I componenti del CSF Core sono una gerarchia di Funzioni, Categorie e Sottocategorie che descrivono in dettaglio ogni risultato. Questi risultati possono essere compresi da un ampio pubblico, tra cui dirigenti, manager e professionisti, indipendentemente dalle loro competenze in materia di cyber security. Poiché i risultati sono neutri dal punto di vista settoriale, nazionale e tecnologico, offrono all’organizzazione la flessibilità necessaria per affrontare i rischi, le tecnologie e le considerazioni sulla missione che la caratterizzano.
2. Profili organizzativi del CSF, che sono un meccanismo per descrivere la postura attuale e/o target di cyber security di un’organizzazione in termini di risultati del CSF Core. Il NIST fornisce un modello di profilo organizzativo CSF personalizzabile sotto forma di foglio di calcolo in formato Excel utilizzabile per creare profili attuali e target per la propria organizzazione. Il modello facilita il confronto fianco a fianco tra i profili attuali e quelli target per identificare e analizzare le lacune. In altre parole, attraverso la creazione di un profilo attuale (lo stato “as is”), le organizzazioni possono eseguire una Gap Analysis: valutare in che misura sono lontane dallo stato “to be”, cioè dai risultati descritti nelle Categorie e Sottocategorie del CSF Core.
3. Livelli (Tiers) CSF, che possono essere applicati ai profili organizzativi CSF per caratterizzare il rigore della governance e delle pratiche di gestione del rischio di cyber security di un’organizzazione. I livelli possono anche fornire un contesto su come un’organizzazione considera i rischi di cybersecurity e i processi in atto per gestirli. I livelli, come illustrati nell’Appendix B. CSF Tiers (pag.24), riflettono le pratiche di un’organizzazione per la gestione del rischio di cyber security come parziale (livello 1), informata sul rischio (livello 2), ripetibile (livello 3) e adattabile (livello 4). I livelli descrivono una progressione che va da risposte informali e ad hoc ad approcci agili, informati sul rischio e migliorati continuamente. La scelta dei livelli aiuta a definire il tono generale di come un’organizzazione gestirà i propri rischi di cyber security. I livelli dovrebbero integrare la metodologia di gestione del rischio di cyber security di un’organizzazione piuttosto che sostituirla. La progressione a livelli superiori è incoraggiata quando i rischi sono maggiori o quando un’analisi costi-benefici indica una riduzione fattibile ed efficace dei rischi negativi per la cyber security.

Sono inoltre fornite in una serie di risorse online che integrano il CSF e sono disponibili sul sito web del NIST CSF. Queste risorse offrono una guida aggiuntiva sulle pratiche e sui controlli che potrebbero essere utilizzati per raggiungere i risultati e hanno lo scopo di aiutare un’organizzazione a comprendere, adottare e utilizzare il CSF. Esse comprendono:

1. Riferimenti informativi che rimandano a fonti di orientamento su ciascun risultato, a partire da standard globali esistenti, linee guida, quadri, regolamenti, politiche, ecc. I riferimenti informativi possono essere specifici per settore o tecnologia. Possono essere prodotti dal NIST o da un’altra organizzazione. Alcuni riferimenti informativi hanno un ambito di applicazione più ristretto rispetto a una sottocategoria. Ad esempio, un particolare controllo della SP 800-53, “Security and Privacy Controls for Information Systems and Organizations”, può essere uno dei tanti riferimenti necessari per raggiungere il risultato descritto in una Sottocategoria. Rappresenta, in pratica, una linea guida dalla quale attingere maggiori dettagli sull’applicazione di una sottocategoria.
2. Esempi di implementazione che illustrano i modi per raggiungere ciascun risultato. Forniscono esempi teorici di passi concisi e orientati all’azione per aiutare a raggiungere i risultati delle sottocategorie. I verbi utilizzati per esprimere gli esempi sono: condividere, documentare, sviluppare, eseguire, monitorare, analizzare, valutare ed esercitare. Gli esempi non costituiscono un elenco completo di tutte le azioni che un’organizzazione potrebbe intraprendere per raggiungere un risultato, né rappresentano una base di azioni necessarie per affrontare i rischi di cyber security.
3. Guide rapide (QSG: Quick Start Guide) che forniscono indicazioni pratiche sull’utilizzo del CSF e delle sue risorse online, compresa la transizione dalle versioni precedenti del CSF alla versione 2.0. Sono brevi documenti su argomenti specifici legati al CSF e sono spesso adattate a un pubblico specifico. Le QSG possono aiutare un’organizzazione a implementare il CSF perché distillano parti specifiche del CSF in “primi passi” attuabili che un’organizzazione può prendere in considerazione nel percorso di miglioramento della propria posizione di cyber security e della gestione dei rischi associati. Le guide vengono aggiornate e, se necessario, ne vengono aggiunte di nuove.
4. Profili di comunità e modelli di profilo organizzativo che aiutano un’organizzazione a mettere in pratica il CSF e a stabilire le priorità per la gestione dei rischi di cyber security.

Il documento principale CSF Core è strutturato come segue:

1. La sezione 2 illustra le basi del CSF Core: Funzioni, Categorie e Sottocategorie.
2. La sezione 3 definisce i concetti di profili e livelli (Tiers) di CSF.
3. La sezione 4 fornisce una panoramica di alcuni componenti della suite di risorse online del CSF: Riferimenti informativi, Esempi di implementazione e Guide rapide (Quick Start Guides: QSGs).
4. La sezione 5 illustra come un’organizzazione può integrare il CSF con altri programmi di risk management.
5. L’Appendice A è il CSF Core.
6. L’Appendice B contiene un’illustrazione dei livelli del CSF.
7. L’Appendice C è un glossario della terminologia del CSF.

Nell’Appendix A. CSF Core è riportata la Table 1 (pag.15) che riassume le 6 Functions e le relative Categories del CSF Core.

Per un elenco completo delle Functions, Categories e Subcategories del Framework Core 2.0. si rimanda alla Appendix A. Framework Core (pag.16 e seguenti).

Perché il CSF è importante anche per l’Italia

Il NIST CSF non è l’unico framework esistente, ma sicuramente è uno dei più conosciuti, utilizzato in tutte le organizzazioni del mondo per affrontare i rischi informatici in modo strutturato e con l’uso di metodologie standardizzate.

Questa sua diffusione è motivata sia dall’autorevolezza del NIST, sia dall’approccio metodologico del framework, che risulta tra i più pratici ed efficaci per un’analisi dei cyber rischi.

Per questo è stato tradotto ed adottato in molte nazioni oltre agli USA.

La versione italiana è il “Framework Nazionale per la Cybersecurity e la Data Protection”, realizzato da CIS-Sapienza – Research Center of Cyber Intelligence and Information Security e dal CINI (Consorzio Interuniversitario Nazionale per l’Informatica) Cybersecurity National Lab. La versione 2.0 di febbraio 2019 può essere scaricata da qui.

La versione italiana riprende sostanzialmente il NIST CSF v.1.1, con alcune varianti.

Infatti, le Subcategories sono in tutto 108 nella versione originale del NIST CSF 1.1, mentre nella versione italiana del Framework Nazionale per la Cybersecurity e la Data Protection diventano 117, perché sono state aggiunte alcune sottocategorie che sono riferite al GDPR (che ovviamente non esiste negli USA) e che riguardano la Data Protection.

Per esempio, abbiamo la sottocategoria DP-ID.AM-7: “Sono definiti e resi noti ruoli e responsabilità inerenti al trattamento e la protezione dei dati personali per tutto il personale e per eventuali terze parti rilevanti”.

Il Framework Nazionale per la Cybersecurity e la Data Protection è stato adottato come strumento di controllo per le organizzazioni italiane sottoposte alla NIS (Direttiva (UE) 2016/1148), recepita dall’Italia con il D.lgs. n.65 del 18 maggio 2018.

Abbiamo, quindi, motivo di credere che anche per la NIS 2 (Direttiva (UE) 2022/2555), entrata in vigore il 17 gennaio 2023 e che dovrà essere recepita dagli stati UE entro il 18 ottobre 2024, l’Italia utilizzerà il NIST CSF.

È quindi altrettanto probabile che l’Italia, attraverso ACN (Agenzia per la Cybersicurezza Nazionale), adotterà il CSF 2.0 in una versione italiana, così come è stato fatto per il CSF v.1.1.