Guida all'attuazione del CIR 2024/2690

Politica sulla sicurezza dei sistemi informatici e di rete

Richiede una politica documentata sulla sicurezza dei sistemi informatici e di rete, approvata dalla direzione, che definisca l'approccio del soggetto alla gestione della sicurezza, riesaminata a intervalli pianificati e aggiornata dopo incidenti o cambiamenti significativi. Costituisce il quadro di riferimento per tutte le misure successive.

Politica di gestione dei rischi

Richiede un quadro di gestione dei rischi con una metodologia definita, l'identificazione dei rischi per i sistemi informatici e di rete, l'analisi e la valutazione rispetto a criteri di accettazione del rischio, un piano di trattamento e l'approvazione del rischio residuo da parte della direzione, riesaminato a intervalli pianificati.

Gestione degli incidenti

Richiede politiche e procedure per il rilevamento, l'analisi, il contenimento, la risposta e il ripristino dagli incidenti, con ruoli definiti, registrazione, escalation e comunicazione, e un riesame strutturato post-incidente che reimmetta le lezioni apprese nelle misure.

Continuità operativa e gestione delle crisi

Richiede un piano di continuità operativa e di ripristino in caso di disastro basato su un'analisi dell'impatto operativo, la gestione dei backup e della ridondanza con procedure di ripristino testate e un piano di gestione delle crisi con ruoli definiti, riesaminato e testato a intervalli pianificati.

Sicurezza della catena di approvvigionamento

Richiede una politica di sicurezza della catena di approvvigionamento che disciplini i rapporti con i fornitori diretti e i prestatori di servizi, compresi criteri di sicurezza per la selezione, requisiti contrattuali e un registro dei fornitori mantenuto e monitorato lungo l'intero ciclo di vita del rapporto.

Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi informatici e di rete

Richiede che la sicurezza sia integrata nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, coprendo pratiche di sviluppo sicuro, gestione della configurazione, gestione delle modifiche, test di sicurezza, gestione delle patch e trattamento delle vulnerabilità lungo l'intero ciclo di vita.

Politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi di cibersicurezza

Richiede che il soggetto definisca politiche e procedure per valutare se le proprie misure di gestione dei rischi sono efficaci, compresi monitoraggio, riesame e valutazione indipendente, in modo che le carenze siano individuate e le misure siano migliorate nel tempo.

Pratiche di igiene informatica di base e formazione alla sicurezza

Richiede pratiche di igiene informatica di base e un programma di sensibilizzazione alla sicurezza per tutto il personale, con formazione specifica per ruolo per il personale con compiti di sicurezza e per la direzione, che copra politiche, minacce e obblighi di segnalazione.

Crittografia

Richiede una politica e procedure sull'uso della crittografia, compresa la selezione di algoritmi e robustezza delle chiavi adeguati ai dati, e la gestione delle chiavi che copra generazione, archiviazione, rotazione e distruzione, riesaminate rispetto alle migliori pratiche attuali.

Sicurezza delle risorse umane

Richiede misure di sicurezza delle risorse umane lungo l'intero ciclo di vita del rapporto di lavoro, compresa la verifica prima dell'assunzione ove appropriato, responsabilità di sicurezza definite, termini e condizioni e procedure per i cambiamenti di ruolo e la cessazione, affinché l'accesso termini quando termina il rapporto di lavoro.

Controllo degli accessi

Richiede una politica di controllo degli accessi con gestione dei diritti di accesso (11.2) e degli account privilegiati (11.3), sistemi di amministrazione (11.4), identificazione univoca (11.5), autenticazione (11.6) e autenticazione a più fattori o continua (11.7) per l'accesso ai sistemi critici e per l'accesso remoto, riesaminata a intervalli pianificati.

Gestione degli asset

Richiede una politica di gestione degli asset con la classificazione degli asset, un inventario dei sistemi informatici e di rete e degli asset di supporto, regole di trattamento in base alla classificazione e politiche per i supporti rimovibili e per la restituzione o lo smaltimento sicuro degli asset.

Sicurezza ambientale e fisica

Richiede la protezione delle strutture contro le minacce fisiche e ambientali, comprese le utenze di supporto, l'accesso fisico controllato ai sistemi e la protezione contro guasti quali interruzioni di corrente, incendi e allagamenti, in misura proporzionata al rischio per i sistemi.