16 Framework Nazionale per la Cybersecurity e la Data Protection § migliorare o definire, se non presente, un programma di cybersecurity e data protection in maniera strutturata e integrata, fondato sulla gestione del rischio, che possa essere implementato in presenza di modelli preesistenti di governance della security; § permettere di determinare agevolmente il livello di maturità delle attività di cybersecurity e data protection identificando, a seconda dei casi, gli interventi migliorativi o di razionalizzazione dei costi, a favore di una redistribuzione ragionata delle risorse; § completare benchmark tra aziende e organizzazioni operanti in settori specifici o aventi analoghe caratteristiche che possano, a livello nazionale, favorire il miglioramento dei livelli di sicurezza, abilitando contestualmente il mercato del cyber insurance; § agevolare e facilitare la comunicazione con il top management (es. amministratori e consigli di amministrazione, azionisti ecc.) e con gli interlocutori esterni (ad esempio agenzie di rating, fornitori e partner), affinché siano rappresentati chiaramente i livelli di rischio cyber al quale le organizzazioni sono esposte e affinché siano identificati gli investimenti e le risorse da mettere in campo per un adeguata riduzione del rischio. Figura 3: Applicazione del Framework. L’applicazione del Framework prevede i seguenti passi essenziali (si veda Figura 3): A. Identificare una contestualizzazione del Framework - Nel caso in cui l’organizzazione appartenga ad un settore regolato, questa dovrebbe utilizzare una delle contestualizzazioni fornite dal proprio regolatore di settore, o definire una propria contestualizzazione implementando eventuali prototipi che colgono i regolamenti applicabili. Nel caso in cui l’organizzazione non appartenga ad un settore regolato può identificare tra le contestualizzazioni disponibili quella da utilizzare nel processo di implementazione del Framework, piuttosto che definirne una specifica. B. Definire priorità e ambito - Identificare periodicamente gli obiettivi strategici e le priorità di business dell'organizzazione in modo da selezionare aree e funzioni chiave che necessitino specifica focalizzazione. C. Identificare sistemi e asset - Individuazione delle informazioni e dei sistemi (sia dell'ambito IT che di quello industriale) che l'organizzazione ritiene vitali e critici per garantire