14 Framework Nazionale per la Cybersecurity e la Data Protection uno strumento di supporto che facilità la creazione e l’aggiornamento di una contestualizzazione, attraverso la composizione di più prototipi. 2.2 Guida all’uso del Framework L’utilizzo del Framework si realizza attraverso due attività fondamentali descritte nel seguito di questa sezione: (i) la contestualizzazione del Framework ad uno specifico ambito applicativo e (ii) l’applicazione del Framework ad una organizzazione. 2.2.1 Contestualizzazione Contestualizzare il Framework per un ambito applicativo (es. un settore produttivo o una categoria omogenea di organizzazioni) significa specificare il suo core selezionando le function, category e subcategory rilevanti, e definire i livelli di priorità e maturità per le subcategory selezionate. Gli elementi fondanti del Framework, introdotti in §2.1, sono generali ed indipendenti rispetto, ad esempio, al settore produttivo, alla tipologia degli impiegati, alla dimensione e alla dislocazione sul territorio di una organizzazione che intende adottare il Framework. Quando si contestualizza il Framework, tutti o alcuni degli elementi precedentemente descritti possono essere tenuti in considerazione. Una contestualizzazione del Framework si crea attraverso i seguenti passi: 1. selezionare l'elenco delle function, category, subcategory che sono pertinenti per l'organizzazione in base a tutti o alcuni dei precedenti elementi (settore produttivo, dimensione e dislocazione sul territorio dell'organizzazione, ecc.); 2. definire i livelli di priorità per l'implementazione delle subcategory selezionate; 3. definire delle linee guida almeno per le subcategory a priorità alta; 4. specificare i livelli di maturità almeno per le subcategory a priorità alta. Tutte le organizzazioni che decidono di adottare una specifica contestualizzazione del Framework (cfr. §2.2.2) devono sempre implementare le subcategory a priorità alta, almeno al livello minimo di maturità. La definizione di una contestualizzazione è usualmente demandata alla singola organizzazione che decide di adottare il Framework, ma può essere anche fornita da una associazione di settore, un regolatore o, più in generale, da qualsiasi attore sia in grado di identificare ed applicare alla contestualizzazione un insieme di caratteristiche proprie di una o più organizzazioni. Nel processo di definizione è possibile implementare uno o più prototipi per cogliere nella contestualizzazione risultante i concetti che gli stessi includono. Ad esempio, una organizzazione potrebbe voler includere nella propria contestualizzazione del Framework elementi normativi rappresentati da diversi prototipi di contestualizzazione, per poi raffinare la contestualizzazione risultante rispetto alle proprie specificità.