Framework Nazionale per la Cybersecurity e la Data Protection § § § identità e dei relativi processi di autenticazione. In particolare, la category ora include due nuove subcategory (PR.AC-6 e PR.AC-7) dedicate alla gestione delle identità e dei processi di autenticazione. È stata introdotta una subcategory PR.DS-8 che introduce l’uso di meccanismi di controllo dell’integrità applicati ai dispositivi hardware. È stata introdotta una subcategory PR.PT-5 che introduce l’uso di meccanismi per il soddisfacimento di requisiti di resilienza. È stata introdotta una subcategory RS.AN-5 per trattare informazioni inerenti alle vulnerabilità. Profili – I Profili rappresentano il risultato della selezione, da parte di un’organizzazione, di specifiche subcategory del Framework. Tale selezione è basata su diversi fattori: la valutazione del rischio, il contesto di business, l’applicabilità delle varie subcategory all’organizzazione. I profili possono essere utilizzati come opportunità per migliorare lo stato di sicurezza mettendo a confronto un profilo attuale (profilo corrente), con il profilo desiderato (profilo target). Rimandando a [3] per una trattazione dettagliata, si ricorda che, per sviluppare un profilo, un’organizzazione deve esaminare ciascuna delle subcategory e, sulla base dei propri obiettivi e della valutazione dei propri rischi, determinare quali siano applicabili nel proprio contesto. Le subcategory potranno essere integrate con ulteriori pratiche non previste dal Framework al fine di gestire in maniera completa il rischio. Il profilo attuale può quindi essere utilizzato per definire priorità e misurare i progressi verso il profilo desiderato. I profili possono essere utilizzati, inoltre, per effettuare un’autovalutazione o per comunicare il proprio livello di gestione del rischio cyber all’interno o all’esterno dell’organizzazione. Implementation Tier – Gli Implementation Tier forniscono contesto sul livello di integrazione dei processi di gestione del rischio cyber all’interno dell’organizzazione. Sono previsti quattro livelli di valutazione, dal più debole al più forte: Parziale - Il modello di gestione del rischio di cybersecurity di una organizzazione è parziale se questo non tiene conto in modo sistematico del rischio cyber o delle minacce ambientali. Il rischio cyber è gestito con processi ad hoc e spesso in modo reattivo. Il livello di consapevolezza del rischio a livello organizzativo è limitato. Non esistono processi di condivisione delle informazioni inerenti alla cybersecurity con entità esterne. Informato - Il modello di gestione del rischio cyber di una organizzazione è informato se l’organizzazione ha dei processi interni che tengono conto del rischio cyber, ma questi non sono estesi a tutta l’organizzazione. Il livello di consapevolezza del rischio cyber è sufficientemente esteso, ma questo non è accompagnato da processi di gestione pervasivi che coinvolgano tutti i livelli dell’organizzazione. L’organizzazione comprende il suo ruolo nell’ecosistema di riferimento, ma lo scambio informativo relativo agli eventi di cybersecurity è limitato e tipicamente passivo. Ripetibile - Il modello di gestione del rischio cyber di una organizzazione è ripetibile se è formalmente definito ed approvato e se l’organizzazione aggiorna regolarmente le proprie pratiche di cybersecurity basandosi sull’output del processo di risk management. La gestione del rischio cyber è pervasiva a tutti i livelli organizzativi ed il personale è formato per gestire i ruoli che in merito gli vengono assegnati. L’organizzazione scambia regolarmente informazione inerenti alla cybersecurity con altri attori operanti nello stesso ecosistema. Adattivo - Il modello di gestione del rischio cyber di una organizzazione è adattivo se l’organizzazione adatta le sue procedure di cybersecurity regolarmente attraverso l’utilizzo delle esperienze passate e degli indicatori di rischio. Attraverso un processo adattivo l’organizzazione si adegua in modo continuo a minacce in continua evoluzione ed è capace di 11