Executive Summary 1.1 Guida alla lettura La sezione 2 introduce la nuova versione del Framework, descrivendone i contenuti, proponendo una breve guida all’uso, e discutendo l’integrazione delle novità apportate con il documento sui Controlli Essenziali di Cybersecurity. Per favorire una maggiore leggibilità e fornire un testo auto-contenuto, alcuni dei concetti fondamentali definiti in [3] sono brevemente introdotti nella Sezione 2.1. In particolare, si introducono le tre nozioni fondamentali di Framework Core, Profile e Implementation Tier. Il Framework Core rappresenta la struttura del ciclo di vita del processo di gestione della cybersecurity, sia dal punto di vista tecnico che organizzativo ed è strutturato gerarchicamente in function, category e subcategory. Il Framework definisce, per ogni function, category e subcategory, le attività abilitanti, quali processi e tecnologie, da realizzare per gestire la singola function. A questo scopo il Framework Core associa ad ogni singola subcategory i riferimenti alle pratiche di sicurezza previste da standard di settore o da regolamentazioni generali vigenti e che sono il punto di partenza per una implementazione corretta e sicura. L’Appendice A presenta il Framework Core nella sua interezza. Le diverse subcategory del Framework sono molte e hanno l’obiettivo di coprire in modo esaustivo tutte le possibili esigenze di una organizzazione. Pertanto, nella maggioranza dei casi, una singola organizzazione è interessata solamente ad un sottoinsieme delle stesse. I Profili rappresentano il risultato della selezione di specifiche subcategory del Framework; la selezione è basata su diversi fattori: la valutazione del rischio, il contesto di business, l’applicabilità delle varie subcategory all’organizzazione ecc. I Profili possono anche essere utilizzati come opportunità per migliorare lo stato di sicurezza mettendo a confronto un profilo attuale con il profilo desiderato. Infine, gli Implementation Tier forniscono contesto sul livello di integrazione dei processi di gestione del rischio cyber. La Sezione 2.1 prosegue introducendo i concetti dei livelli di priorità e livelli di maturità che permettono di realizzare uno strumento flessibile che si adatta alle specifiche esigenze dell’organizzazione e tiene conto della sua maturità nell’affrontare il rischio cyber. Infine viene introdotto un nuovo strumento, dal nome di prototipi di contestualizzazione, adatto a rappresentare norme, regolamenti o best practice di settore attraverso un a opportuna selezione di subcategory. Gli elementi del Framework, precedentemente introdotti, sono generali ed indipendenti rispetto al settore produttivo, alla tipologia degli impiegati, alla dimensione e alla dislocazione sul territorio di una organizzazione che intende adottare il Framework. Quando si applica il Framework, tutti o alcuni degli elementi precedentemente descritti possono essere tenuti in considerazione. Nella Sezione 2.2 si presenta la guida all’utilizzo del Framework attraverso la contestualizzazione ad uno specifico ambito applicativo e le modalità di applicazione ad una singola organizzazione. Contestualizzare il Framework per uno specifico ambito applicativo (es. un settore produttivo o una categoria omogenea di organizzazioni) richiede di specificare il core di interesse selezionando le function, category e subcategory rilevanti, e di definire i livelli di priorità e maturità per le subcategory selezionate eventualmente facendo uso di prototipi precedente te definiti. Nella Sezione 2.3 si presentano i 15 Controlli Essenziali di Cybersecurity [4] organizzati in otto tematiche. Per ciascuna tematica, sono discusse la relazione dei relativi controlli con la nuova versione del Framework Nazionale coerente con la protezione dei dati personali. La Sezione 3 e l’Appendice B presentano il prototipo di contestualizzazione del Framework per cogliere gli elementi fondamentali del Regolamento. Il prototipo fornisce una guida di supporto alla pianificazione delle attività necessarie per adeguarsi alla normativa e di successivo monitoraggio per l’implementazione e gestione delle attività previste dal Regolamento. Per ciascuna subcategory individuata si forniscono i relativi riferimenti alla normativa GDPR di interesse. 7