Direttiva NIS 2 – 4 Case history

Presentiamo 4 case history relativi all’implementazione della Direttiva NIS 2 – Fonte: European Cyber Security Organisation (ECSO)

Case history 1 – Implementazione NIS 2 – azienda settore energetico

L’implementazione del NIS2 di un’organizzazione del settore energetico si basa sul quadro di conformità NIS1 esistente, affrontando al contempo diverse sfide organizzative per migliorare la propria posizione di sicurezza.

Pur avendo stabilito misure di sicurezza attraverso leggi nazionali specifiche del settore, l’azienda ha individuato aree chiave da migliorare, in particolare nel coordinamento tra le diverse funzioni di sicurezza.

La valutazione iniziale ha rivelato sfide strutturali: dipartimenti di sicurezza IT e OT separati con una sinergia limitata, un modello di SOC ibrido con una terza parte esterna e definizioni di ruolo poco chiare tra CSIRT, SOC, organizzazione CISO e team di conformità.

Per risolvere queste lacune, è stata costituita una task force completa che comprendeva il CISO, il responsabile della sicurezza OT, i rappresentanti legali e della conformità, l’audit interno e i consulenti esterni.

La strategia di implementazione si è concentrata sulla maturazione e sull’armonizzazione del quadro di sicurezza, adottando la norma ISO/IEC 27001 come quadro di riferimento e mappando gli standard NIST e IEC 62443.

Tra i miglioramenti principali vi sono stati il potenziamento della gestione del rischio per coprire i rischi della catena di approvvigionamento, l’introduzione di una modellazione della superficie di attacco, l’ampliamento delle capacità del SOC con la caccia alle minacce e il rafforzamento delle capacità di risposta agli incidenti del CSIRT.

Si sono inoltre concentrati sulla maturazione della gestione delle crisi, sulla semplificazione della segnalazione degli incidenti e sul miglioramento delle misure di continuità operativa.

L’esperienza ha fornito insegnamenti preziosi: l’importanza di una forte comunicazione con l’alta dirigenza in materia di responsabilità, la necessità di un ampio coinvolgimento degli stakeholder fin dall’inizio, il valore di basarsi su strutture esistenti razionalizzando al contempo i processi e i vantaggi di un approccio agile all’implementazione

Case history 2 – Implementazione NIS 2 – azienda settore healthcare

La base per l’implementazione del NIS2 è costituita da un solido quadro di gestione delle informazioni che garantisce la governance attraverso regolari discussioni a livello di consiglio di amministrazione.

Sulla base degli audit NIS1 condotti con successo, si prevede di essere già conformi a molte disposizioni del NIS2, ma si prevede di verificarlo con revisori esterni.

L’allocazione delle risorse è stata valutata con attenzione, con piani per espandere oltre il precedente impegno di tempo del 30-40% di due membri del personale per soddisfare i requisiti più ampi del NIS2.

Il quadro di riferimento per la cybersecurity dell’organizzazione integra diversi standard (ISO27k, NIST, COBIT) in controlli pratici su tutte le operazioni informatiche e aziendali.

La sicurezza della catena di approvvigionamento, già rafforzata dalla conformità GDPR e GxP, comprende valutazioni complete dei fornitori e la protezione dell’ambiente OT. Il loro SOC consolidato gestisce la segnalazione degli incidenti, richiedendo un adattamento minimo oltre all’aggiornamento delle definizioni di soglia.

Un aspetto fondamentale è il mantenimento dell’agilità della conformità, in quanto l’azienda deve far fronte a molteplici normative in arrivo (NIS2, CER, ESG, direttive sulla catena di fornitura).

La struttura di gestione delle informazioni è progettata per adattarsi rapidamente ai cambiamenti legislativi, garantendo una conformità continua ai requisiti in evoluzione.

Case history 3 – Implementazione NIS 2 – azienda settore servizi ITC

Essendo nuovi ai requisiti normativi NIS, la loro transizione beneficia di un forte impegno a livello esecutivo, con un comitato dedicato composto dal Direttore Generale, dal Responsabile della Conformità e dai responsabili delle linee di business pertinenti che supervisionano il progetto di conformità.

La loro preparazione operativa è supportata da un processo di gestione degli incidenti, potenziato da un servizio MDR gestito esternamente.

Pur mantenendo processi consolidati per la sicurezza della catena di approvvigionamento e i requisiti contrattuali, l’organizzazione riconosce la necessità di rafforzare le procedure di audit di terzi per gestire meglio i rischi associati.

In prospettiva, l’organizzazione prevede un aumento degli audit di sicurezza, ma mantiene la fiducia nella propria posizione e competenza in materia di cybersecurity.

Case history 4 – Implementazione NIS 2 – azienda settore Managed Security Service Provider

L’implementazione di NIS2 da parte degli MSSP evidenzia una duplice responsabilità unica nel panorama della cybersecurity.

In quanto entità essenziale, devono garantire la propria conformità e contemporaneamente fornire servizi di sicurezza e supporto alla segnalazione degli incidenti ai propri clienti.

L’organizzazione ha adottato un allineamento con il framework NIST per affrontare i requisiti NIS2 in modo sistematico. Il loro approccio completo alla sicurezza inizia con una solida raccolta di informazioni sulle minacce informatiche e la mappatura delle risorse attraverso un database di gestione delle configurazioni.

Le misure di protezione integrano sia le valutazioni di vulnerabilità del Red Team che l’identificazione dei punti deboli del Blue Team, alimentando direttamente i processi di sviluppo. Le loro capacità di rilevamento si concentrano su un Security Operations Centre avanzato, che combina il SIEM per una gestione completa dei log con la tecnologia SOAR per una risposta automatizzata.

Particolarmente degna di nota è la struttura di gestione degli incidenti, che opera una chiara distinzione tra incidenti informatici e crisi informatiche per allinearsi alle definizioni di incidente significativo del NIS2.

Il tutto è supportato da un CSIRT interno che si occupa sia della risposta agli incidenti che della gestione delle crisi.

Una sfida particolare emerge nelle operazioni transfrontaliere, dove un MSSP che fornisce servizi da un Paese a entità con asset critici in più nazioni si trova ad affrontare l’incertezza sui requisiti specifici.