18 Framework Nazionale per la Cybersecurity e la Data Protection un livello adeguato di protezione contro la minaccia cyber debba partire da una base di semplice e relativamente economica implementazione. In quest’ottica nell’Italian Cybersecurity Report del 2016 [4] sono stati proposti 15 Controlli Essenziali di Cybersecurity derivati dal Framework Nazionale attraverso un processo di progressiva semplificazione. È evidente che la sola implementazione di questi 15 controlli non assicura un livello adeguato di sicurezza. Essi rappresentano un insieme minimo di pratiche di sicurezza che non possono essere ignorate; una base dalla quale deve partire un percorso di miglioramento progressivo che porti ad allinearsi con la metodologia di gestione della cybersecurity basata sul Framework Nazionale. In Tabella 2 sono riportati i 15 Controlli Essenziali organizzati in otto tematiche di cybersecurity. Per una discussione approfondita sulle tematiche e i relativi controlli si rimanda il lettore al documento originale [4]. Nei prossimi paragrafi, invece, per ciascuna tematica, verrà discussa la relazione dei relativi controlli con la nuova versione del Framework Nazionale. Tabella 2: I Controlli Essenziali di Cybersecurity Tematiche Governance 5 Controlli Essenziali di Cybersecurity Esiste ed è mantenuto aggiornato un inventario dei sistemi, dispositivi, software, servizi e applicazioni informatiche in uso all’interno del perimetro aziendale. I servizi web (social network, cloud computing, posta elettronica, spazio web, ecc...) offerti da terze parti a cui si è registrati sono quelli strettamente necessari. Sono individuate le informazioni, i dati e i sistemi critici per l’azienda affinché siano adeguatamente protetti. È stato nominato un referente che sia responsabile per il coordinamento delle attività di gestione e di protezione delle informazioni e dei sistemi informatici. Sono identificate e rispettate le leggi e/o i regolamenti con rilevanza in tema di cybersecurity che risultino applicabili per l’azienda. Protezione da malware 6 Tutti i dispositivi che lo consentono sono dotati di software di protezione (antivirus, antimalware, ecc...) regolarmente aggiornato. 7 Le password sono diverse per ogni account, della complessità adeguata e viene valutato l’utilizzo dei sistemi di autenticazione più sicuri offerti dal provider del servizio (es. autenticazione a due fattori). 8 Il personale autorizzato all’accesso, remoto o locale, ai servizi informatici dispone di utenze personali non condivise con altri; l’accesso è opportunamente protetto; i vecchi account non più utilizzati sono disattivati. 1 Inventario dispositivi e software 2 3 4 Gestione password e account Ogni utente può accedere solo alle informazioni e ai sistemi di cui necessita e/o di sua competenza. Il personale è adeguatamente sensibilizzato e formato sui rischi di cybersecurity e sulle pratiche da adottare per l’impiego sicuro degli strumenti aziendali (es. riconoscere allegati e-mail, utilizzare solo 10 software autorizzato, ...). I vertici aziendali hanno cura di predisporre per tutto il personale aziendale la formazione necessaria a fornire almeno le nozioni basilari di sicurezza. 9 Formazione e consapevolezza