Di recente, durante un convegno, è stato detto che la NIS2 si attiva a seguito di una violazione informatica e questo è un errore molto comune ma anche molto grave. La NIS2 non si attiva solo in caso di violazione ma interviene anche prima che l’incidente si manifesti.
È importante chiarire subito un aspetto fondamentale: la NIS2 è una direttiva proattiva e non solo reattiva. Il D.Lgs. 138/2024, all’art.25 c.4, definisce che un incidente può essere considerato significativo se:
a) ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato;
b) ha avuto ripercussioni o è idoneo a provocare ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.
Come è possibile notare c’è una distinzione ben precisa nelle due definizioni: “ha causato” fa riferimento ad un evento ormai occorso e verificatosi, mentre “è in grado di causare” fa riferimento ad un incidente che potrebbe verificarsi a seguito di alcuni fattori scatenanti nel futuro.
Stessa riflessione vale su “ha avuto ripercussioni“, che indica un effetto già verificatosi nel passato e concluso e “è idoneo a provocare ripercussioni” , che invece si riferisce a un evento potenziale che potrebbe verificarsi in futuro.
Già l’articolo 17, circa la condivisione delle informazioni sulla sicurezza informatica, aveva stabilito che le informazioni su “minacce informatiche, quasi-incidenti, vulnerabilità, tecniche e procedure, indicatori di compromissione, tattiche avversarie, informazioni specifiche sugli attori delle minacce, allarmi di sicurezza informatica e raccomandazioni concernenti la configurazione degli strumenti di sicurezza informatica per individuare le minacce informatiche, se tale condivisione di informazioni” hanno lo scopo di “prevenire o rilevare gli incidenti, a recuperare dagli stessi o a mitigarne l’impatto” (Art. 17, c.1, lettera a)).
Se tutto questo non bastasse, si potrebbe fare anche riferimento al concetto di “quasi-incidenti” ossia “eventi che avrebbero potuto configurare un incidente senza che quest’ultimo si sia tuttavia verificato, ivi incluso il caso in cui l’incidente sia stato efficacemente evitato” (D.Lgs. Art.2, c1, lettera u)).
Impatti sulla notifica
Questa differenza non è banale poiché la notifica fatta all’ACN può riguardare un quasi-incidente e quindi non solo su un incidente significativo occorso. Questo implica la capacità di individuazione della minaccia prima che si manifesti sotto forma d’incidente e produca potenziali danni. Provando a ragionare dal punto di vista della normativa, è interessante osservare cosa accadrebbe se a seguito di un’ispezione, si scoprisse che l’organizzazione ha:
- Un’ottima capacità di gestire la reazione alle violazioni di sicurezza: è in grado di compiere rapidamente ripristini di dati, di configurazioni, di sistemi.
- Non abbia minimamente curato gli aspetti di individuazione preventiva delle potenziali minacce e quindi dei suddetti quasi-incidenti.
È chiaro che l’Autorità si vedrebbe costretta a notare tale distonia e a rilevare la parziale non conformità. È d’obbligo ribadire che il rischio è l’eventualità “di subire un danno connessa a circostanze più o meno prevedibili” (Treccani); tale prevedibilità porta il rischio ad essere:
- Ipotizzabile e quindi…
- Parametrizzabile e quindi…
- Contrattualizzabile.
Da questa semplice riflessione, come è noto, discendono i livelli di servizio (SLA) che garantiscono l’erogazione sicura e continuativa anche in condizioni straordinarie. Non avere la capacità di identificare una minaccia significa non avere nessuna capacità di gestire i rischi e questo viola perfettamente quanto previsto dalla NIS2.
Qualche tempo fa un provvedimento del Garante per la Protezione dei Dati Personali, sanzionava una pubblica amministrazione che aveva un SOC non presidiato. Lo scopo di un SOC, prima ancora che contrastare una violazione, è quello di individuare l’insorgere di potenziali minacce. La minaccia, dice sempre la Treccani, è un “pericolo incombente” oppure un “annuncio più o meno esplicito di un male“. Quindi, quando sia parla di minaccia, si affronta una condizione non ancora esplicitata o, per lo meno, non del tutto definita. La vigilanza continua di sistemi, reti, applicativi, servizi è essenziale quando parliamo di cybersecurity e lo scopo è anticipare la manifestazione del rischio e ridurre le violazioni di sicurezza.
Questione culturale e tecnica
Dal punto di vista culturale è preoccupante vedere come i concetti di prevenzione siano spesso teorici e non trovino applicazione negli aspetti più tecnici nonostante la norma imponga l’implementazione di sistemi di controllo. Spesso ci si riduce ad adottare il minimo indispensabile: firewall, antivirus, intrusion detection system, intrusion prevention system, ma non si affiancano le attività di monitoraggio “umano” di tali sistemi. Altrettanto spesso si tende a promuovere queste soluzioni tecniche come “auto-gestite”, utopia mai realizzata veramente e meravigliosamente smentita proprio dai data breach. I CED di amministrazioni centrali, così come quelle di grandi aziende, sono spesso dotati di sistemi all’avanguardia ma, altrettanto spesso, non opportunamente vigilati. Se bastasse l’auto gestione a garantire la sicurezza, tali violazioni non ci sarebbero. Questo riapre il dibattito (semmai fosse stato chiuso) sugli aspetti culturali legati alla cybersecurity e alla prevenzione.
Conclusioni
Questo articolo tende a concentrarsi su due aspetti importanti: il primo è che le norme vanno lette molto attentamente. Una norma non orientata alla prevenzione è sostanzialmente inutile, si limiterebbe a contenere i danni di un incidente invece che a prevenirli. Il secondo aspetto è che, stando alla norma, un’attività ispettiva potrebbe concentrarsi anche sulle capacità di monitoraggio e individuazione delle minacce e non solo su quelle di reazione alle violazioni.
Sono precisazioni tutt’altro che banali o di forma: rappresentano, invece, una differenza sostanziale tra una buona organizzazione e una fragile se non addirittura inefficace. Soprattutto rappresentano una differenza tra un comportamento in linea con la normativa ed uno che invece non lo è.
