Framework Nazionale per la Cybersecurity e la Data Protection l'operatività dell'organizzazione stessa. Tale passaggio è importante soprattutto per le fasi successive, in quanto consente di valutare propriamente gli impatti durante l'analisi dei rischi e di agevolare pertanto la comprensione delle effettive necessità di protezione; D. Determinare il profilo corrente - È previsto che sia valutato lo stato di implementazione e il livello di maturità per ciascuna subcategory del Framework. Questo permette di definire uno o più profili correnti in relazione alle aree/funzioni previste per l'implementazione del programma; E. Analizzare il rischio - Determinare e valutare i rischi mediante l'adozione di una metodologia considerata appropriata, in relazione alle specifiche caratteristiche organizzative e di mercato nel quale opera l'organizzazione. Alcuni spunti in merito al processo di analisi e gestione dei rischi sono forniti in [3] §7.2; F. Determinare il profilo target - Attraverso il processo di trattamento del rischio, l'organizzazione deve poter definire un profilo target che, differentemente da quello corrente, rappresenta il livello di implementazione e di maturità che si ambisce a conseguire per ciascuna subcategory del Framework. Laddove questo sia possibile è auspicabile che la selezione di tali livelli possa essere effettuata avendo a priori integrato il cybersecurity risk management all'interno del programma di enterprise risk management, in modo che la gestione del rischio cyber possa beneficiare di decisioni prese al livello organizzativo più elevato (i.e., top management), avvalendosi di una visione sistemica complessiva a supporto del processo decisionale; G. Determinare il gap rispetto al profilo target - Completare una comparazione tra il profilo target e quello corrente per identificare i gap esistenti nella gestione della cybersecurity; H. Definire e attuare una roadmap per raggiungere il profilo target - La fase attuativa del processo di adozione del Framework consiste nel definire l'insieme di attività necessarie a raggiungere il profilo target determinato nella fase precedente. Ciò significa elaborare un piano specifico per realizzare i singoli controlli del Framework, secondo un piano temporale che varierà in relazione agli effettivi rischi individuati e in funzione delle condizioni specifiche in cui opera la singola organizzazione; I. Misurare le performance - Affinché l'efficienza del profilo target sia oggetto di revisioni periodiche e miglioramento continuo, è necessario che siano definite delle metriche di monitoraggio in grado di evidenziarne anche i costi operativi. Le valutazioni sull'efficienza del profilo corrente devono essere utilizzate per definire il nuovo profilo target. È previsto che il Framework possa essere impiegato per la valutazione del livello di maturità delle attività e processi di cybersecurity. Questa applicazione, complementare alla precedente, prevede un processo più snello che permetta di valutare rapidamente i gap esistenti e di definire un piano di azione per il loro miglioramento. Il processo operativamente prevede passaggi analoghi a quelli descritti in precedenza, fatto salvo per il passaggio relativo alla valutazione del rischio. 2.3 Integrazione dei Controlli Essenziali L’illusione che solo le grandi imprese siano bersaglio di attacchi da parte dei cyber-criminali lascia spesso le medie, piccole e micro imprese totalmente impreparate ad affrontare la minaccia cyber. Ciò non solo espone le imprese stesse a minacce in grado di minarne la sopravvivenza, ma aumenta il rischio cyber all’interno dell’intera filiera produttiva in cui esse operano. Per tali imprese implementare una gestione del rischio cyber basata sul Framework Nazionale può risultare troppo complesso e oneroso. È chiaro quindi che un percorso volto a raggiungere 17