12 Framework Nazionale per la Cybersecurity e la Data Protection rispondere efficacemente ad attacchi sofisticati. Lo scambio informativo con altri attori operanti nello stesso ecosistema è continuo ed avviene in tempo reale. Livelli di priorità – I livelli di priorità permettono di supportare le organizzazioni e le aziende nella definizione di un programma di implementazione per raggiungere un profilo target che favorisca in modo prioritario gli interventi che maggiormente riducono i livelli di rischio a cui sono sottoposte. L’obiettivo complessivo è: § semplificare l’individuazione delle subcategory essenziali da implementare immediatamente e inderogabilmente; § supportare le organizzazioni durante il processo di analisi e gestione del rischio. La determinazione dei livelli di priorità assegnati alle subcategory deve essere effettuata sulla base di due specifici criteri: § capacità di ridurre il rischio cyber, agendo su uno o più fattori chiave per la sua determinazione, ovvero: – esposizione alle minacce, intesa come l’insieme dei fattori che aumentano o diminuiscono la probabilità con cui la minaccia stessa può manifestarsi; – probabilità di loro accadimento, ovvero la frequenza con cui una specifica minaccia può verificarsi nel tempo; – impatto conseguente sulle Business Operations o sugli Asset aziendali, intesa come entità del danno conseguente al verificarsi di una minaccia; § semplicità di implementazione delle subcategory, anche considerando il livello di maturità tecnologica e organizzativa tipicamente richiesto per realizzare la specifica azione. Il Framework prevede tre livelli generali di priorità: ALTA: interventi che permettono di ridurre sensibilmente uno dei tre fattori chiave del rischio cyber. Questi interventi sono prioritari e per loro natura sono da attuare indipendentemente dalla complessità realizzativa degli stessi; MEDIA: interventi che permettono di conseguire una riduzione di uno dei tre fattori chiave del rischio cyber e che risultano generalmente anche di semplice implementazione; BASSA: interventi che permettono di conseguire una riduzione di uno dei tre fattori chiave del rischio cyber, ma la cui complessità realizzativa è generalmente considerata elevata (ad esempio cambiamenti organizzativi rilevanti e/o modifiche infrastrutturali significative). Da notare che le subcategory assumono priorità specifica per la contestualizzazione (si veda §2.2) adottata oppure assumono priorità specifica al contesto dell’organizzazione (eventualmente basati sulla valutazione del rischio associato), pertanto ogni organizzazione, nell’adozione del Framework o nel corso dell’attività di contestualizzazione, potrebbe ridefinire specifici livelli di priorità per ogni subcategory. Livelli di maturità – I livelli di maturità permettono di fornire una misura della maturità di un processo di sicurezza, della maturità di attuazione di una tecnologia specifica o una misura della quantità di risorse adeguate impiegate per l’implementazione di una data subcategory. I livelli di maturità forniscono un punto di riferimento in base al quale ogni organizzazione può valutare la propria implementazione delle subcategory e fissare obiettivi e priorità per il loro miglioramento. I livelli devono essere definiti in progressione crescente, dal minore al maggiore. Ogni livello deve prevedere pratiche e controlli incrementali rispetto al livello di